Investigación de Spoofhound · 2026-11-08
Estado de DMARC 2026 — España
Tres de cada cuatro dominios españoles pueden ser suplantados por correo.
Spoofhound analizó el web español: 24.449 dominios que reciben correo, de los sitios populares del país y de empresas locales cartografiadas en todas las comunidades autónomas, Baleares y Canarias incluidas, comprobados con el mismo motor que nuestra comprobación de dominio gratuita.
Compruebe su dominio — gratisLa cifra clave
Tres de cada cuatro dominios españoles que reciben correo pueden ser suplantados. De 24.449 dominios comprobados, 18.297 (74,8 %) no tienen una política DMARC aplicada: sin registro, solo supervisión o un registro defectuoso. Los sistemas de correo receptores nunca reciben la orden de bloquear los falsos enviados en su nombre.
Tres cifras cuentan la historia:
- •El 25,2 % aplica DMARC. Está a la par de India (24,9 %) y el Reino Unido (24,5 %), por detrás de los Países Bajos (30,6 %) y muy por delante de Francia (15,7 %) e Italia (13,4 %). Contando solo empresas, España está en el 25,0 %. Consulte cómo se comparan todos los países que hemos medido.
- •La mayor parte de la protección se queda en cuarentena. De los 6.152 dominios españoles que aplican DMARC, dos de cada tres (4.182) usan p=quarantine, que manda los falsos a la carpeta de spam. Solo 1.970, el 8,1 % de todos los dominios, usan p=reject, que los bloquea por completo.
- •La brecha de las pequeñas empresas: 22,4 % frente a 55,7 %. Las empresas españolas con uno a tres locales aplican DMARC al 22,4 %, por delante de las del Reino Unido (20,1 %) y Francia (13,4 %). Los sitios .es del top 100.000 llegan al 55,7 %.
El dominio español medio obtiene 34,8 sobre 100 en la comprobación completa de seguridad del correo, y el 87,1 % tiene al menos un problema que corregir.
DMARC en el web español
El 75 % de los dominios españoles que reciben correo pueden ser suplantados
18.297 de los 24.449 dominios comprobados no tienen una política DMARC aplicada.
Sin registro DMARC
Solo supervisión (p=none)
Registro defectuoso o duplicado
p=quarantine
p=reject
Rojo: los receptores nunca reciben la orden de bloquear los falsos · Verde: el correo de impostores se pone en cuarentena o se rechaza.
España se reparte casi a partes iguales entre dominios sin registro DMARC (36,2 %) y dominios que publican uno pero lo dejan en p=none (38,3 %). Siete de cada diez del grupo p=none (6.626) no piden informes DMARC, así que su registro ni bloquea los falsos ni avisa a nadie de ellos. Los informes son los que muestran cada servicio que envía correo en nombre del dominio. Leerlos y terminar el trabajo es exactamente lo que hace Spoofhound.
El resto de la cadena
| Comprobación | Hallazgo | Dominios |
|---|---|---|
| SPF | Sin registro: cualquier servidor puede enviar en nombre del dominio | 1.209 (4,9 %) |
| SPF | Registro que termina en +all o ?all: publicado, pero permite a todos | 284 (1,2 %) |
| DKIM de Microsoft 365 | Ambos selectores de firma rotos: el correo saliente puede fallar la autenticación hoy mismo | 44 |
| MTA-STS | Protege el correo entrante contra la interceptación: adoptado (41 de ellos solo en modo de prueba) | 82 (0,3 %) |
| TLS-RPT | Informa de entregas seguras fallidas: adoptado | 136 (0,6 %) |
| BIMI | Logotipo verificado en la bandeja de entrada: activo | 244 (1,0 %) |
El SPF está en buena forma: solo el 4,9 % de los dominios españoles no tiene ninguno, menos que en Sudáfrica (5,8 %) y en los Países Bajos (6,5 %). Los estándares más recientes apenas han llegado: alrededor de 1 de cada 100 dominios usa MTA-STS, TLS-RPT o BIMI.
Pequeñas empresas frente a las más grandes
| Población | Dominios comprobados | Sin registro DMARC | Solo supervisión | Aplicado |
|---|---|---|---|---|
| Empresas españolas con 1–3 locales (tiendas, oficinas, oficios) | 18.479 | 38,8 % | 38,6 % | 22,4 % |
| Empresas españolas con 4–9 locales | 319 | 22,6 % | 40,1 % | 37,3 % |
| Empresas españolas con 10 o más locales | 147 | 15,0 % | 34,7 % | 50,3 % |
| Sitios .es del top 100.000 | 490 | 18,0 % | 26,3 % | 55,7 % |
La protección sube con el tamaño: la mitad de las empresas españolas con diez o más locales aplica DMARC (50,3 %). Las pequeñas empresas se reparten a partes iguales entre sin registro (38,8 %) y p=none (38,6 %), y el 90,7 % tiene al menos un problema de seguridad del correo.
Quién está más expuesto
La mayoría de los sectores españoles protege uno de cada cinco dominios
Proporción de los dominios de cada sector que reciben correo en p=quarantine o p=reject (dominios comprobados entre paréntesis).
Pastelerías (173)
Salones de belleza (222)
Bodegas (296)
Arquitectos (178)
Panaderías (325)
Peluquerías (290)
Despachos de abogados (350)
Tiendas de bicicletas (375)
Inmobiliarias (714)
Concesionarios (268)
Talleres mecánicos (425)
Asesorías fiscales (115)
Ópticas (193)
Agencias de viajes (211)
Tiendas de muebles (339)
Tiendas de ropa (686)
Supermercados (265)
Agentes de seguros (173)
Oficinas públicas (313)
Oficinas de empresa (1.615)
Empresas de informática (266)
Azul: profesiones que manejan dinero de clientes · línea discontinua: media española (25,2 %).
Los sectores españoles son muy parejos: de las pastelerías a los concesionarios, casi todos están entre el 17 % y el 25 %. Las profesiones que manejan dinero no están mejor protegidas. Los despachos de abogados (19,4 %), las inmobiliarias (19,7 %) y las asesorías fiscales (21,7 %) están por debajo de la media nacional, aunque gestionan los pagos a los que apunta el correo de impostores. Las empresas de informática van en cabeza con el 44,0 %.
Metodología
Población. 24.449 dominios españoles que reciben correo (publican registros MX que funcionan), de dos fuentes:
- empresas españolas cartografiadas en OpenStreetMap con un sitio web propio, con cualquier terminación: 19.265 dominios
- cada dominio .es de la clasificación de popularidad Tranco top 1 millón: 5.880 dominios que reciben correo
696 dominios aparecen en ambas. Se excluyen perfiles sociales, directorios y páginas alojadas que la empresa no controla.
Comprobaciones. Cada dominio se analizó con el motor propio de Spoofhound, el mismo de la comprobación de dominio gratuita. Cubre SPF, DKIM (selectores conocidos de los principales proveedores de correo como Microsoft, Google, SendGrid, Mailchimp y otros), DMARC, MTA-STS, TLS-RPT y BIMI. Cada cifra refleja un análisis en los 30 días previos al 2026-11-08.
Límites honestos.
- Sector público. Los dominios públicos que podemos identificar (.gob.es, .edu.es, dominios de gobiernos autonómicos, nombres de ayuntamientos y diputaciones, y oficinas cartografiadas como públicas) son 384, el 1,6 % de la muestra, y aplican DMARC al 32,8 %. Sin ellos la cifra es 25,0 %: la cifra principal es, en la práctica, una cifra de empresas.
- Sesgo de la muestra. La muestra de empresas cubre empresas cartografiadas con sitio web, lo que tiende hacia oficios visibles y orientados al consumidor. Las cifras por sector se basan en 110 a 1.600 dominios cada una.
- DKIM. DKIM solo puede confirmarse presente, nunca ausente.
- Qué significa «aplicado». p=quarantine o p=reject en el propio dominio. Los registros defectuosos cuentan como no aplicados, porque así los tratan los servidores de correo receptores.
Datos © colaboradores de OpenStreetMap (ODbL) · lista Tranco del proyecto de investigación Tranco.
¿Dónde se sitúa su dominio en estas cifras? Descúbralo en 30 segundos.
Compruebe su dominio — gratis