Durante el Mes de la Concientización sobre Ciberseguridad, un proyecto independiente llamado Defaults Exposed publicó la edición de octubre de 2026 de su Censo de Seguridad de Dominios. Escaneó 632.901.201 nombres de dominio obtenidos de los archivos de zona de ICANN, OpenINTEL y CommonCrawl los días 11 y 12 de octubre, encontró que 361.301.790 existen y calificó a 332.492.319 según la autenticación de correo, el DNS y la configuración web que publican. Los datos agregados se publicaron abiertamente en Zenodo bajo una licencia Creative Commons Attribution 4.0, con tablas también en Kaggle y Hugging Face. Esa apertura importa. Las cifras de adopción de DMARC suelen llegar envueltas en el marketing de un proveedor. Esta vez cualquiera puede volver a contar cada número.
Las cifras principales
El censo encontró 83.466.694 dominios con un registro DMARC publicado, el 25,1 por ciento de todos los dominios calificados. De esos, 39.758.587 aplican su política con p=quarantine o p=reject, el 47,6 por ciento de los dominios con registro. El ajuste más estricto, p=reject, aparece en 18.601.119 dominios. Es el valor que ordena a los servidores receptores rechazar el correo que finge provenir del dominio, y cubre bastante menos del seis por ciento del internet calificado.
Las capas de apoyo cuentan la misma historia. 157.065.571 dominios publican un registro SPF, pero solo 61.408.709 lo terminan con el calificador estricto -all. Donde el censo pudo comprobar DKIM, el 50,5 por ciento de los dominios publica una clave de firma. Solo 32.980.787 dominios solicitan informes agregados de DMARC, lo que significa que la mayoría de quienes publican un registro no tienen visibilidad sobre quién está fallando la autenticación suplantándolos.
La brecha de aplicación es la noticia
Un registro DMARC con p=none es una política de monitoreo, no una defensa. Indica a los receptores que entreguen el correo falsificado con normalidad y que solo envíen un informe al propietario. El censo demuestra que esta es la posición mayoritaria incluso entre las organizaciones que se tomaron la molestia de publicar un registro. Más de la mitad de quienes publican DMARC nunca han pasado de la fase de observación.
Para quienes hacen email marketing la brecha es también un problema de entregabilidad, no solo de seguridad. Gmail exige SPF y DKIM a los remitentes masivos desde febrero de 2024, y Outlook.com exige una firma DKIM válida a los remitentes de volumen desde mayo de 2025. Un cuarto de la web calificada sigue sin publicar registro DMARC, y cada uno de esos dominios puede ser falsificado libremente por cualquier campaña de phishing o fraude de facturas dirigida a sus clientes.
Una base de referencia que puedes comprobar
Como todos los datos agregados son públicos, estas cifras sirven de base de referencia honesta. Entre los dominios de nivel superior con al menos 500.000 dominios calificados, .nl tiene la mayor proporción con nota superior a F, el 58,6 por ciento, seguido de .ch con el 58,2 por ciento. De los 10.000 sitios más visitados, los 9.840 que el censo pudo calificar promedian 66 puntos, frente a 47 del total. Los sitios grandes y bien gestionados lo hacen mejor, pero incluso ese promedio deja un margen enorme para el correo falsificado.
La conclusión práctica para cualquier remitente es sencilla. Publicar el registro es el primer cuarto del trabajo. Pasar a quarantine, luego a reject, y leer los informes agregados es el resto. Excello Mail te muestra todas las fuentes que envían en nombre de tus dominios y te guía de p=none a p=reject sin romper el correo legítimo. Regístrate gratis en Excello Mail y descubre en qué lado del censo están tus dominios.