Investigação Spoofhound · 2026-11-08
Estado do DMARC 2026 — Espanha
Três em cada quatro domínios espanhóis podem ser falsificados por e-mail.
O Spoofhound analisou a web espanhola: 24 449 domínios que recebem e-mail, dos sites populares do país e de empresas locais cartografadas em todas as regiões, incluindo as Baleares e as Canárias, verificados com o mesmo motor da nossa verificação de domínio gratuita.
Verifique o seu domínio — grátisO número-chave
Três em cada quatro domínios espanhóis que recebem e-mail podem ser falsificados. Dos 24 449 domínios verificados, 18 297 (74,8%) não têm uma política DMARC aplicada: nenhum registo, só monitorização ou um registo defeituoso. Os sistemas de correio recetores nunca recebem a instrução de bloquear as falsificações enviadas em seu nome.
Três números contam a história:
- •25,2% aplicam DMARC. Está ao nível da Índia (24,9%) e do Reino Unido (24,5%), atrás dos Países Baixos (30,6%) e bem à frente de França (15,7%) e de Itália (13,4%). Contando só empresas, a Espanha está nos 25,0%. Veja como se comparam todos os países que medimos.
- •A maior parte da proteção fica pela quarentena. Dos 6 152 domínios espanhóis que aplicam DMARC, dois em cada três (4 182) usam p=quarantine, que envia as falsificações para a pasta de spam. Só 1 970, 8,1% de todos os domínios, usam p=reject, que as bloqueia por completo.
- •A lacuna das pequenas empresas: 22,4% contra 55,7%. As empresas espanholas com um a três locais aplicam DMARC a 22,4%, à frente das do Reino Unido (20,1%) e de França (13,4%). Os sites .es espanhóis do top 100 000 chegam aos 55,7%.
O domínio espanhol médio obtém 34,8 em 100 na verificação completa de segurança de e-mail, e 87,1% têm pelo menos um problema a corrigir.
DMARC na web espanhola
75% dos domínios espanhóis que recebem e-mail podem ser falsificados
18 297 dos 24 449 domínios verificados não têm uma política DMARC aplicada.
Sem registo DMARC
Só monitorização (p=none)
Registo defeituoso ou duplicado
p=quarantine
p=reject
Vermelho: os recetores nunca recebem a instrução de bloquear as falsificações · Verde: o correio de impostores é posto em quarentena ou rejeitado.
A Espanha divide-se quase em partes iguais entre domínios sem registo DMARC (36,2%) e domínios que publicam um mas o deixam em p=none (38,3%). Sete em cada dez do grupo p=none (6 626) não pedem relatórios DMARC, pelo que o seu registo nem bloqueia as falsificações nem avisa ninguém delas. São os relatórios que mostram cada serviço que envia correio em nome de um domínio. Lê-los e terminar o trabalho é exatamente o que o Spoofhound faz.
O resto da cadeia
| Verificação | Constatação | Domínios |
|---|---|---|
| SPF | Nenhum registo: qualquer servidor pode enviar em nome do domínio | 1 209 (4,9%) |
| SPF | Registo termina em +all ou ?all: publicado, mas permite a todos | 284 (1,2%) |
| DKIM do Microsoft 365 | Ambos os seletores de assinatura avariados: o correio enviado pode falhar a autenticação já hoje | 44 |
| MTA-STS | Protege o correio recebido contra interceção: adotado (41 destes só em modo de teste) | 82 (0,3%) |
| TLS-RPT | Reporta entregas seguras falhadas: adotado | 136 (0,6%) |
| BIMI | Logótipo verificado na caixa de entrada: ativo | 244 (1,0%) |
O SPF está em boa forma: só 4,9% dos domínios espanhóis não têm nenhum, menos do que na África do Sul (5,8%) e nos Países Baixos (6,5%). Os padrões mais recentes mal chegaram: cerca de 1 em cada 100 domínios usa MTA-STS, TLS-RPT ou BIMI.
Pequenas empresas contra empresas maiores
| População | Domínios verificados | Sem registo DMARC | Só monitorização | Aplicado |
|---|---|---|---|---|
| Empresas espanholas com 1–3 locais (lojas, escritórios, ofícios) | 18 479 | 38,8% | 38,6% | 22,4% |
| Empresas espanholas com 4–9 locais | 319 | 22,6% | 40,1% | 37,3% |
| Empresas espanholas com 10 ou mais locais | 147 | 15,0% | 34,7% | 50,3% |
| Sites .es espanhóis do top 100 000 | 490 | 18,0% | 26,3% | 55,7% |
A proteção sobe com a dimensão: metade das empresas espanholas com dez ou mais locais aplica DMARC (50,3%). As pequenas empresas dividem-se em partes iguais entre nenhum registo (38,8%) e p=none (38,6%), e 90,7% têm pelo menos um problema de segurança de e-mail.
Quem está mais exposto
A maioria dos setores espanhóis protege cerca de um em cada cinco domínios
Parte dos domínios de cada setor que recebem e-mail em p=quarantine ou p=reject (domínios verificados entre parênteses).
Pastelarias (173)
Institutos de beleza (222)
Adegas (296)
Arquitetos (178)
Padarias (325)
Cabeleireiros (290)
Escritórios de advogados (350)
Lojas de bicicletas (375)
Agências imobiliárias (714)
Concessionários auto (268)
Oficinas auto (425)
Consultores fiscais (115)
Oculistas (193)
Agências de viagens (211)
Lojas de móveis (339)
Lojas de roupa (686)
Supermercados (265)
Agentes de seguros (173)
Serviços públicos (313)
Escritórios de empresas (1 615)
Empresas de informática (266)
Azul: profissões que gerem dinheiro de clientes · linha tracejada: média espanhola (25,2%).
Os setores espanhóis são invulgarmente homogéneos: das pastelarias aos concessionários, quase todos ficam entre 17% e 25%. As profissões que gerem dinheiro de clientes não estão mais protegidas. Os escritórios de advogados (19,4%), as agências imobiliárias (19,7%) e os consultores fiscais (21,7%) estão todos abaixo da média nacional, apesar de gerirem os pagamentos que o correio de impostores tem como alvo. As empresas de informática lideram com 44,0%.
Metodologia
População. 24 449 domínios espanhóis que recebem e-mail (registos MX funcionais), de duas fontes:
- empresas espanholas cartografadas no OpenStreetMap com site próprio, em qualquer terminação: 19 265 domínios
- cada domínio .es do ranking de popularidade Tranco top 1 milhão: 5 880 domínios que recebem e-mail
696 domínios aparecem em ambas. Excluem-se perfis sociais, diretórios e páginas alojadas que a empresa não controla.
Verificações. Cada domínio foi analisado pelo motor do Spoofhound, o mesmo da verificação de domínio gratuita. Abrange SPF, DKIM (seletores conhecidos dos principais fornecedores de e-mail, como Microsoft, Google, SendGrid, Mailchimp e outros), DMARC, MTA-STS, TLS-RPT e BIMI. Cada número reflete uma análise nos 30 dias até 2026-11-08.
Limites honestos.
- Setor público. Os domínios do Estado, regionais, municipais e escolares que conseguimos identificar (.gob.es, .edu.es, domínios dos governos regionais, nomes com ayuntamiento e diputación, e serviços cartografados como públicos) são 384 domínios, 1,6% da amostra, e aplicam DMARC a 32,8%. Sem eles, o número é 25,0%, pelo que, na prática, o número principal é um número de empresas.
- Enviesamento da amostra. A amostra abrange empresas cartografadas com site, o que pende para atividades visíveis e viradas para o consumidor. Os números por setor assentam em 110 a 1 600 domínios cada.
- DKIM. O DKIM só pode ser confirmado como presente, nunca como ausente.
- O que significa «aplicado». p=quarantine ou p=reject no próprio domínio. Os registos defeituosos contam como não aplicados, porque é assim que os servidores de correio recetores os tratam.
Dados © contribuidores do OpenStreetMap (ODbL) · lista Tranco do projeto de investigação Tranco.
Onde se situa o seu domínio nestes números? Descubra em 30 segundos.
Verifique o seu domínio — grátis