Lo más importante
- 56,8 % de los dominios no tiene un DMARC que pida bloquear los correos falsos: o no tiene DMARC (28,1 %), o lo tiene solo en modo observación (25,5 %), o lo aplica solo a una parte del correo (3,2 %).
- Las webs menos visitadas están peor. Entre las 100 primeras, el 54 % está protegido; entre las que ocupan los puestos 501 a 996, solo el 36,5 %.
- No depende del proveedor de correo. Microsoft 365, Google Workspace y el resto salen casi igual: lo que cambia es si alguien lo ha configurado.
- 96 de los 118 dominios que no reciben correo no tienen DMARC con
p=reject, lo recomendado para un dominio que no envía nada. Es el caso más fácil de proteger, y por eso de los preferidos para suplantar. - Solo el 0,6 % publica MTA-STS, que obliga a cifrar el correo que reciben.
Por qué importa
Sin DMARC con p=quarantine o p=reject, un estafador puede mandar un correo que diga venir de facturas@tuempresa.es, y los servidores que lo reciben no tienen ninguna instrucción para frenarlo. Es la base de los fraudes de facturas falsas y de cambio de cuenta bancaria. Además, desde 2024 Gmail y Yahoo, y desde 2025 Outlook, exigen DMARC a quien envía mucho correo (los detalles en los requisitos de Gmail, Yahoo y Outlook).
Cómo tienen el DMARC
De los que sí tienen DMARC, el 81 % pide recibir informes (rua=): es lo que permite saber quién envía con tu dominio antes de endurecer la política. Ver qué política elegir.
Cuanto menos visitada, más expuesta
18 % sin DMARC · 100 dominios
18 % sin DMARC · 150 dominios
26,4 % sin DMARC · 250 dominios
34,1 % sin DMARC · 496 dominios
La tendencia apunta a las empresas más pequeñas, que son las que menos tiempo y menos técnicos tienen para esto, y las que más sufren un fraude de factura falsa.
SPF y DKIM
- El 12,4 % no tiene SPF, y el 3,3 % lo tiene con un error que lo invalida (dos registros, más de 10 consultas DNS o una errata).
- De los que tienen SPF, la mayoría termina en
-all(55,1 % del total) o en~all(30,2 %). - Encontramos una clave DKIM en el 61,1 %. Es un mínimo: DKIM solo se encuentra si se conoce el nombre de la clave, y solo probamos los habituales.
- El 68,2 % cumple lo que se puede comprobar desde fuera de lo que piden Gmail y Yahoo a quien envía en volumen: un SPF sin errores y un DMARC publicado.
Con qué proveedor reciben el correo
La Administración pública
En la muestra hay 29 dominios .gob.es. De ellos, 18 no tienen DMARC y solo 8 bloquean la suplantación (nota media 53/100). Son pocos para sacar conclusiones generales, pero llama la atención en dominios que la gente asocia con trámites, multas y devoluciones de impuestos, temas favoritos de los fraudes por correo.
¿Y tu dominio?
Lo comprobamos en unos segundos, gratis y sin registrarte. Te decimos qué te falta y te damos el registro DNS listo para copiar.