p=none, que informa pero no impide nada (899). En la práctica, cualquiera puede enviar un correo que parezca venir de ese ayuntamiento — la técnica del fraude del cambio de número de cuenta, aplicada a sus proveedores y a sus vecinos.Cómo está repartido
| Situación | Ayuntamientos | % |
|---|---|---|
| Sin DMARC — cualquiera puede escribir en su nombre | 3.191 | 66.8% |
DMARC que no bloquea (p=none) | 899 | 18.8% |
Cuarentena (p=quarantine): va a spam | 419 | 8.8% |
Protegido (p=reject): lo rechaza | 271 | 5.7% |
Cuanto más pequeño el municipio, más expuesto
El porcentaje baja de forma continua según crece la población: no es un dato disperso, es una escalera. Y es la respuesta a quien piense que la muestra tira del resultado — el sesgo, si lo hubiera, iría en contra de la cifra, no a favor: hasta las ciudades más grandes están mayoritariamente expuestas. Calculado sobre los 4.780 municipios con población conocida.
| Tamaño del municipio | Analizados | Suplantables | % |
|---|---|---|---|
| Menos de 1.000 hab. | 2.655 | 2.412 | 90.8% |
| 1.000 a 5.000 | 1.192 | 987 | 82.8% |
| 5.000 a 20.000 | 605 | 473 | 78.2% |
| 20.000 a 100.000 | 280 | 190 | 67.9% |
| Más de 100.000 hab. | 48 | 28 | 58.3% |
Por provincia
Solo se incluyen provincias con al menos 25 municipios analizados, para que el porcentaje signifique algo. Quedan fuera 0 provincias por muestra corta. Ordenadas de peor a mejor:
| Provincia | Analizados | Suplantables | % |
|---|
Descargar los datos en CSV — libres de usar citando la fuente. Si eres periodista y quieres el detalle de tu provincia, escríbenos a info@altruia.es.
Cómo lo hemos medido
La comprobación es externa y pasiva: se consultan los registros DNS públicos de cada dominio, los mismos que consulta cualquier servidor de correo al recibir un mensaje. No accedemos a ningún sistema, no enviamos correo a nadie y no hay ninguna prueba intrusiva.
- La muestra son los municipios españoles con sitio web oficial declarado en Wikidata (4.780 dominios medidos). 29 no respondieron y quedan FUERA del denominador: no poder medir no es un hallazgo.
- Se considera suplantable un dominio sin registro DMARC, o con DMARC en
p=none. - Se cuenta un resultado por dominio. Varios municipios que compartan dominio cuentan una vez.
- Fecha de la medición: 2026-09-28. Los registros DNS cambian: un ayuntamiento puede corregirlo en minutos, y es gratis.
p=reject, así que los ayuntamientos bien protegidos se caían del denominador e inflaban el porcentaje. Lo contamos porque una cifra sobre instituciones públicas tiene que poder auditarse, incluidos sus fallos.¿Y tu dominio?
La misma comprobación, para el tuyo, en diez segundos y gratis. Sin registro y sin tocar tus sistemas.
Comprobar mi dominio →Metodología ampliada en cómo medimos · El mismo estudio sobre empresas de salud y energía · Sala de prensa · Quiénes somos.