El 79 % de los negocios de Huelva con dominio propio no impide que suplanten su correo

Hemos consultado los registros públicos que protegen el correo de 1.455 dominios de negocios de la provincia de Huelva. El resultado: en 1.148 de ellos (79 %) alguien puede enviar un correo poniendo ese dominio como remitente sin que nada pida al servidor que lo recibe que lo rechace. Solo el 21 % lo impide.

¿Quieres saber cómo está el tuyo? Compruébalo gratis en 10 segundos, sin registro.

Qué hemos mirado

Tres registros del DNS de cada dominio, que cualquiera puede consultar:

• SPF dice qué servidores pueden enviar correo en nombre del dominio.
• DKIM firma cada mensaje para probar que es auténtico.
• DMARC dice qué hacer con los correos que no pasan esas pruebas: nada (p=none), mandarlos a spam (p=quarantine) o rechazarlos (p=reject). Sin DMARC, o con DMARC en p=none, el correo falso se entrega igual.

Los números

El SPF está bastante extendido: solo el 9 % no lo tiene o lo tiene mal. El hueco está en DMARC. Muchos proveedores de hosting lo crean por defecto en modo «solo vigilar» y ahí se queda para siempre.

Por sectores

El sector más expuesto es justo uno de los que más facturas y documentos mueve por correo: abogados, asesorías y gestorías, con el 88 % de dominios suplantables. El mejor, moda, calzado y joyería, se queda en el 68 %.

Por qué importa a un negocio pequeño

• El fraude de la factura. El cliente recibe la factura de siempre, con tu nombre y tu dominio, pero con otro número de cuenta. No hace falta entrar en tu correo: basta con que tu dominio no lo impida.
• El falso proveedor o el falso jefe. Un mensaje que parece tuyo pide un pago urgente o un cambio de datos bancarios.
• Tus correos reales llegan peor. Gmail y Outlook exigen cada vez más autenticación. Un dominio sin estos registros ve cómo sus presupuestos acaban en spam.

Qué hacer

1. Comprueba tu dominio. Tarda 10 segundos y no pide registro.
2. Si no tienes SPF o está duplicado, empieza por ahí: es un único registro.
3. Activa DKIM en tu proveedor de correo (Google Workspace, Microsoft 365, tu hosting).
4. Publica DMARC en p=none con una dirección de informes, revisa unas semanas quién envía en tu nombre y sube a quarantine o reject. Saltarse la revisión puede dejar fuera tus propios correos.

Si prefieres que lo hagamos nosotros, va incluido en la auditoría de seguridad exprés (690 €, precio cerrado), que revisa además la web, los certificados y las fugas de credenciales.

Metodología y límites

• Fuente: registros DNS públicos (MX, TXT de SPF y de DMARC), consultados el 06/10/2026. No se ha enviado ni abierto ningún correo.
• Muestra: 1.716 dominios propios enlazados en fichas de Google Maps de 14 municipios de la provincia. Se excluyen webs en subdominios de plataformas y los 261 dominios sin correo configurado. Quedan 1.455.
• «Suplantable» = sin DMARC o con DMARC en p=none. Que el correo falso llegue a la bandeja de entrada depende además de los filtros de cada proveedor; lo que medimos es si el dominio pide que se bloquee.
• DKIM no se puede medir desde fuera de forma fiable (cada proveedor usa un selector distinto), así que no entra en las cifras.
• Solo se publican datos agregados y grupos de 50 dominios o más. Ningún negocio aparece identificado.

Puedes citar estos datos indicando la fuente: Onubia (onubia.com). Para consultas de medios: info@onubia.com.