Investigación de Spoofhound · 2026-11-08
Estado de DMARC 2026 — Estados Unidos
Cuatro de cada cinco empresas estadounidenses pueden ser suplantadas por correo.
Spoofhound analizó las empresas estadounidenses: 113.484 dominios que reciben correo, casi todos de empresas locales cartografiadas en los 50 estados, comprobados con el mismo motor que nuestra comprobación de dominio gratuita. Es una de las mayores muestras de nuestras investigaciones.
Compruebe su dominio — gratisLa cifra clave
Cuatro de cada cinco empresas estadounidenses que reciben correo pueden ser suplantadas. De 113.484 dominios comprobados, 91.419 (80,6 %) no tienen una política DMARC aplicada: sin registro, solo supervisión o un registro defectuoso. Los sistemas de correo receptores nunca reciben la orden de bloquear los falsos enviados en su nombre.
Tres cifras cuentan la historia:
- •El 19,4 % aplica DMARC. Por detrás del Reino Unido (24,5 %), India (24,9 %), Sudáfrica (34,1 %) y Arabia Saudí (45,7 %), y por delante de Francia (15,7 %). Contando solo empresas, Estados Unidos está en el 19,0 %. Vea cómo se comparan todos los países que hemos medido.
- •La mitad no tiene ningún registro DMARC: 48,6 %. 55.208 dominios no publican nada, así que sus propietarios nunca sabrían que alguien envía correo en su nombre.
- •La brecha de las pequeñas empresas: 18,5 % frente a 73,5 %. Las empresas estadounidenses con uno a tres locales aplican DMARC al 18,5 %. Las empresas estadounidenses cuyo sitio web está en el top 100.000 mundial llegan al 73,5 %.
El dominio empresarial estadounidense medio obtiene 28,9 sobre 100 en la comprobación completa de seguridad del correo, y el 84,7 % tiene al menos un problema que corregir.
DMARC en las empresas estadounidenses
El 81 % de los dominios de empresas estadounidenses pueden ser suplantados
91.419 de los 113.484 dominios comprobados no tienen una política DMARC aplicada.
Sin registro DMARC
Solo supervisión (p=none)
Registro defectuoso o duplicado
p=quarantine
p=reject
Rojo: los receptores nunca reciben la orden de bloquear los falsos · Verde: el correo de impostores se pone en cuarentena o se rechaza.
Estados Unidos tiene uno de los mayores grupos sin registro que hemos medido: casi la mitad de los dominios (48,6 %), frente al 39,2 % de India y el 34,2 % de Sudáfrica. Otro tercio publica un registro pero lo deja en p=none (31,5 %). Ese grupo de solo supervisión es el que más importa comercialmente. Estas empresas ya empezaron y puede que reciban informes, pero se detuvieron antes del ajuste que de verdad bloquea el correo de impostores. Terminar ese trabajo es exactamente lo que hace Spoofhound.
El resto de la cadena
| Comprobación | Hallazgo | Dominios |
|---|---|---|
| SPF | Sin registro: cualquier servidor puede enviar en nombre del dominio | 20.225 (17,8 %) |
| SPF | Registro que termina en +all o ?all: publicado, pero permite a todos | 3.365 (3,0 %) |
| DKIM de Microsoft 365 | Ambos selectores de firma rotos: el correo saliente puede fallar la autenticación hoy mismo | 385 |
| MTA-STS | Protege el correo entrante contra la interceptación: adoptado (339 de ellos solo en modo de prueba) | 656 (0,6 %) |
| TLS-RPT | Informa de entregas seguras fallidas: adoptado | 944 (0,8 %) |
| BIMI | Logotipo verificado en la bandeja de entrada: activo | 899 (0,8 %) |
En Estados Unidos el problema empieza antes de DMARC. Casi una de cada cinco empresas no tiene ningún registro SPF, una de las tasas más altas que hemos medido: el triple que Sudáfrica (5,8 %) y muy por encima de India (11,6 %). Sin SPF, una empresa no puede llegar a aplicar DMARC sin romper su propio correo. Los estándares más recientes apenas han llegado: menos de 1 de cada 100 dominios usa MTA-STS, TLS-RPT o BIMI.
Pequeñas empresas frente a las grandes
| Población | Dominios comprobados | Sin registro DMARC | Solo supervisión | Aplicado |
|---|---|---|---|---|
| Empresas estadounidenses con 1–3 locales (tiendas, oficinas, oficios) | 109.355 | 49,7 % | 31,4 % | 18,5 % |
| Empresas estadounidenses con 4–9 locales | 1.687 | 16,5 % | 36,3 % | 46,5 % |
| Empresas estadounidenses con 10 o más locales | 908 | 6,5 % | 31,1 % | 62,1 % |
| Empresas estadounidenses cuyo sitio web está en el top 100.000 mundial | 2.070 | 2,7 % | 23,8 % | 73,5 % |
La protección crece de forma constante con el tamaño. Las cadenas y las marcas conocidas ya han hecho buena parte del trabajo: solo una de cada quince con diez o más locales carece de registro DMARC. Las pequeñas empresas son lo contrario: la mitad no publica nada y el 85,6 % tiene al menos un problema de seguridad del correo. Son las que más sufren el fraude de facturas falsas y la suplantación, porque no tienen un equipo de seguridad que lo detecte.
Quién está más expuesto
Los comercios de la calle comercial protegen menos de un dominio de cada diez
Proporción de los dominios de cada sector que reciben correo en p=quarantine o p=reject (dominios comprobados entre paréntesis).
Peluquerías (3.208)
Tiendas de bicicletas (1.504)
Cervecerías (1.552)
Salones de belleza (3.010)
Floristerías (1.004)
Panaderías (2.160)
Talleres mecánicos (3.980)
Joyerías (1.352)
Concesionarios (3.782)
Agencias inmobiliarias (2.604)
Fontaneros (635)
Asesores fiscales (366)
Climatización (HVAC) (937)
Bufetes de abogados (3.761)
Contables (729)
Arquitectos (648)
Oficinas de empresa (5.528)
Asesores financieros (489)
Empresas de informática (954)
Agentes de seguros (2.278)
Azul: profesiones que manejan dinero de clientes · línea discontinua: media estadounidense (19,4 %).
Los comercios de una calle comercial típica están en lo más bajo: peluquerías y salones de belleza, floristerías, panaderías y tiendas de bicicletas protegen todos menos de un dominio de cada diez. Las profesiones que manejan dinero lo hacen mejor, pero siguen expuestas. Las agencias inmobiliarias (18,4 %) y los bufetes de abogados (23,2 %) son el blanco habitual del fraude por transferencia en la compra de viviendas, y tres de cada cuatro dejan su nombre sin proteger. Los agentes de seguros van en cabeza con el 51,4 %, probablemente porque las grandes aseguradoras configuran el correo de sus agentes.
Metodología
Población. 113.484 dominios estadounidenses que reciben correo (registros MX operativos), de dos fuentes:
- empresas estadounidenses cartografiadas en OpenStreetMap con sitio web propio, en cualquier terminación: 111.716 dominios
- cada dominio .us del ranking de popularidad Tranco top 1 millón: 1.864 dominios que reciben correo
96 dominios figuran en ambas. Se excluyen perfiles sociales, directorios y páginas alojadas que la empresa no controla.
Comprobaciones. Cada dominio fue analizado por el motor propio de Spoofhound, el mismo de la comprobación de dominio gratuita. Cubre SPF, DKIM (selectores conocidos de los grandes proveedores de correo como Microsoft, Google, SendGrid, Mailchimp y otros), DMARC, MTA-STS, TLS-RPT y BIMI. Cada cifra refleja un análisis en los 30 días previos al 2026-11-08.
Límites honestos.
- Un informe empresarial, no nacional. Los sitios web populares de Estados Unidos usan sobre todo .com, que no identifica ningún país, así que el web popular estadounidense no puede muestrearse como el .uk del Reino Unido o el .in de India. Las cifras de Estados Unidos describen empresas cartografiadas; la fila de comparación usa empresas cartografiadas cuyo sitio web también está en el top 100.000 de Tranco.
- Sector público excluido. Los dominios gubernamentales y universitarios son solo el 1,3 % de la muestra (aplican al 53,5 %). En la lista Tranco, los dominios .gov aplican al 63,5 % y los .edu al 57,5 %, muy por delante de las empresas.
- Sesgo de muestra. La muestra cubre empresas cartografiadas con sitio web, lo que sesga hacia oficios visibles orientados al consumidor. Las cifras de cada sector se basan en 300 a 5.500 dominios, suficiente para citarlas.
- DKIM. DKIM solo puede confirmarse presente, nunca ausente.
- Qué significa «aplicado». p=quarantine o p=reject en el propio dominio. Los registros defectuosos cuentan como no aplicados, porque así los tratan los servidores receptores.
Datos © colaboradores de OpenStreetMap (ODbL) · lista Tranco del proyecto de investigación Tranco.
¿Dónde se sitúa su dominio en estas cifras? Descúbralo en 30 segundos.
Compruebe su dominio — gratis