Estudio propio · datos abiertos · 2026-08-10

El 85.8% de los ayuntamientos españoles no puede impedir que suplanten su correo

Hemos comprobado 4.777 dominios municipales desde fuera, con consultas DNS públicas. 4.098 no tienen una política que bloquee el correo falsificado en su nombre. A estas entidades les obliga el Esquema Nacional de Seguridad desde 2010.

Ayuntamientos analizados
4.777
Suplantables
4.098
Porcentaje
85.8%
Qué significa «suplantable». Que el dominio no tiene una política DMARC que bloquee el fraude: o no existe el registro (3.275 casos), o está en modo observación p=none, que informa pero no impide nada (823). En la práctica, cualquiera puede enviar un correo que parezca venir de ese ayuntamiento — la técnica del fraude del cambio de número de cuenta, aplicada a sus proveedores y a sus vecinos.

Cómo está repartido

SituaciónAyuntamientos%
Sin DMARC — cualquiera puede escribir en su nombre3.27568.6%
DMARC que no bloquea (p=none)82317.2%
Cuarentena (p=quarantine): va a spam4068.5%
Protegido (p=reject): lo rechaza2735.7%

Cuanto más pequeño el municipio, más expuesto

El porcentaje baja de forma continua según crece la población: no es un dato disperso, es una escalera. Y es la respuesta a quien piense que la muestra tira del resultado — el sesgo, si lo hubiera, iría en contra de la cifra, no a favor: hasta las ciudades más grandes están mayoritariamente expuestas. Calculado sobre los 4.777 municipios con población conocida.

Tamaño del municipioAnalizadosSuplantables%
Menos de 1.000 hab.2.6522.41691.1%
1.000 a 5.0001.19298682.7%
5.000 a 20.00060447378.3%
20.000 a 100.00028019469.3%
Más de 100.000 hab.492959.2%

Por provincia

Solo se incluyen provincias con al menos 25 municipios analizados, para que el porcentaje signifique algo. Quedan fuera 7 provincias por muestra corta. Ordenadas de peor a mejor:

ProvinciaAnalizadosSuplantables%
Palencia131131100.0%
Burgos35034598.6%
Castellón13213098.5%
Ávila24423998.0%
Cáceres14814598.0%
Sevilla10610397.2%
Huelva817896.3%
León20119396.0%
Segovia20819995.7%
Huesca14413795.1%
Zamora13112494.7%
Albacete868194.2%
Guadalajara858094.1%
Valladolid716591.5%
Jaén978890.7%
Zaragoza827490.2%
Valencia25322588.9%
Santa Cruz de Tenerife363288.9%
Alicante14112588.7%
Toledo12911488.4%
Cuenca655787.7%
Teruel1139886.7%
Soria958286.3%
Granada17213880.2%
Salamanca17814279.8%
Ciudad Real816479.0%
Las Palmas342573.5%
Badajoz16411771.3%
Córdoba782430.8%
Cádiz461328.3%
Málaga1062523.6%
Almería10387.8%

Descargar los datos en CSV — libres de usar citando la fuente. Si eres periodista y quieres el detalle de tu provincia, escríbenos a info@altruia.es.

Cómo lo hemos medido

La comprobación es externa y pasiva: se consultan los registros DNS públicos de cada dominio, los mismos que consulta cualquier servidor de correo al recibir un mensaje. No accedemos a ningún sistema, no enviamos correo a nadie y no hay ninguna prueba intrusiva.

Lo que este estudio NO dice. No es el censo de los ayuntamientos de España: la fuente cubre unos 4.800 de los ~8.100 municipios, así que los porcentajes describen a los municipios con web declarada en Wikidata y no deben leerse como el dato nacional. Tampoco significa que ninguno haya sufrido un ataque: describe una puerta abierta, no un robo. Y no publicamos qué ayuntamiento concreto está expuesto — el detalle nominal no se hace público, porque sería repartir un mapa de puertas abiertas de instituciones públicas.
Un error que cazamos antes de publicar. La primera pasada dio un 91% de expuestos y cero ayuntamientos protegidos. Cero no era plausible: nuestro propio motor no emite la señal que el clasificador buscaba para p=reject, así que los ayuntamientos bien protegidos se caían del denominador e inflaban el porcentaje. Lo contamos porque una cifra sobre instituciones públicas tiene que poder auditarse, incluidos sus fallos.

¿Y tu dominio?

La misma comprobación, para el tuyo, en diez segundos y gratis. Sin registro y sin tocar tus sistemas.

Comprobar mi dominio →

Metodología ampliada en cómo medimos · El mismo estudio sobre empresas de salud y energía · Sala de prensa · Quiénes somos.

¿Por dónde sigo?

Todo lo que publicamos sobre esto, ordenado por lo que quieras hacer.

Quiero saber si estoy expuesto

Quiero entender qué me obliga

Quiero arreglarlo

Quiero ver los datos