Radiografía de las webs de los 80 ayuntamientos de Huelva: casi todas tienen los mismos huecos

Hemos leído la portada de la web oficial de los 80 ayuntamientos de la provincia de Huelva, como lo haría un buscador, y hemos comprobado lo que se puede verificar desde fuera: seguridad, accesibilidad, obligaciones legales y protección del correo. De 76 webs analizables, la nota media es 53 sobre 100. Solo 3 superan el 70.

No es un ranking ni señala a nadie: publicamos solo cifras agregadas. Y la conclusión principal es buena: casi todo lo que falla es lo mismo en casi todas, y se arregla una vez.

Qué falla, y en cuántas

Lo básico está bien resuelto: prácticamente todas tienen HTTPS, se ven en el móvil y enlazan su sede electrónica. Los huecos están en tres sitios.

1. La declaración de accesibilidad

El Real Decreto 1112/2018 obliga a los sitios web del sector público a publicar una declaración de accesibilidad, fácil de encontrar desde la portada o desde todas las páginas. En 69 de 76 webs (91 %) la portada no enlaza ninguna. No decimos que la web sea inaccesible, que es algo que hay que auditar a mano: decimos que falta el documento que la norma exige y que es lo primero que se mira en una revisión.

2. El correo del ayuntamiento se puede suplantar

De los 69 dominios municipales que usan correo, 62 no tienen DMARC y 4 lo tienen en modo «solo vigilar». En total, el 96 % no pide a los servidores de correo que rechacen un mensaje falso enviado en nombre del ayuntamiento. Solo 3 lo impiden.

Un correo que parece venir del ayuntamiento, con una factura, una notificación o un enlace de pago, es el ataque más barato que existe contra vecinos y proveedores. El Esquema Nacional de Seguridad incluye una medida específica de protección del correo electrónico (mp.s.1), y las guías del CCN recomiendan SPF, DKIM y DMARC para cumplirla. Cualquier dominio se puede comprobar gratis en 10 segundos.

3. Seguridad básica y cookies

• Cabeceras de seguridad. Al 99 % le falta alguna de las tres básicas (HSTS, X-Content-Type-Options, protección frente a marcos) y el 91 % no tiene ninguna. Son líneas de configuración del servidor, no un desarrollo.
• Analítica sin aviso. 59 webs (78 %) cargan analítica de terceros en la portada sin ningún aviso de cookies a la vista. La normativa de cookies exige informar y pedir consentimiento antes de medir con herramientas de terceros.

La buena noticia: se arregla una vez

62 de las 76 webs (82 %) usan la misma plataforma compartida de portales municipales. Por eso comparten nota (51 de media, frente a 64 del resto) y comparten huecos: 61 sin declaración de accesibilidad enlazada, 62 sin cabeceras de seguridad, 58 con analítica sin aviso.

Visto al revés: una plantilla de declaración de accesibilidad, un aviso de cookies y tres cabeceras en la plataforma corrigen de golpe decenas de municipios. Lo único que hay que hacer dominio a dominio es el DMARC.

Por tamaño, los municipios de más de 10.000 habitantes sacan 65 de media; los de menos de 2.000 habitantes, 51. Los municipios grandes, que suelen tener web propia en lugar de la compartida, salen mejor.

Qué puede hacer un ayuntamiento esta semana

1. Publicar la declaración de accesibilidad con el modelo oficial y enlazarla en el pie de la web.
2. Publicar DMARC en modo de vigilancia con una dirección de informes, revisar quién envía correo en su nombre y subir la política a cuarentena o rechazo.
3. Pedir a quien gestione el servidor las tres cabeceras de seguridad.
4. Quitar la analítica de terceros o ponerla detrás de un aviso de cookies con consentimiento.

La radiografía de tu ayuntamiento, gratis

Si trabajas en un ayuntamiento de la provincia, te enviamos sin coste el detalle del tuyo: qué se ha comprobado, qué falla y cómo se corrige. Escríbenos a info@onubia.com desde un correo del ayuntamiento. Y si después quieres que lo arreglemos, casi todo cabe en un contrato menor: mira cómo trabajamos con la administración y el checklist ENS.

Metodología y límites

• Muestra: los 80 municipios de la provincia y su web oficial (Wikidata, corregida a mano donde estaba desactualizada). 4 webs no se han podido analizar porque bloquean lectores automáticos o pintan su contenido con JavaScript; no cuentan en las cifras.
• Solo se lee la página de inicio y sus cabeceras, el 06/10/2026, con un lector identificado. No se ha hecho ninguna prueba intrusiva ni se ha accedido a nada que no sea público.
• La declaración de accesibilidad se busca como enlace en la portada. Una web puede tenerla publicada en otra dirección sin enlazarla; a efectos del usuario y de la norma, no está localizable.
• El correo se comprueba sobre el dominio de la web. Si un ayuntamiento usa otro dominio para su correo, ese no está medido. «Suplantable» = sin DMARC o con DMARC en p=none.
• La nota pondera cada comprobación por su obligación legal y su riesgo. Es una medida técnica, no una valoración del servicio municipal.
• Solo se publican datos agregados. Si detectas un error, escríbenos y lo corregimos.

Puedes citar estos datos indicando la fuente: Onubia (onubia.com). Para consultas de medios: info@onubia.com.