Defaults.Exposed › Informes
La curva de seguridad de la internet: cómo es un dominio medio en 2026
Publicado 2026-06-28
Cifras a 2026-06-28 · metodología v7. Este es un informe recurrente: cada edición vuelve a medir la misma población, de modo que la curva puede seguirse edición tras edición. Todas las cifras son agregadas — nunca publicamos la nota de ninguna empresa concreta. Consulta cómo calificamos para ver el método completo.
El dominio medio de la internet no es seguro. De los 260 millones de dominios que calificamos, la nota más común con gran diferencia es F, y el dominio típico se sitúa en D o por debajo. Menos de 1 de cada 27 dominios alcanza una C o superior. Esa es la curva de notas de la internet — y se inclina casi completamente hacia «expuesto».
¿Cuál es la nota de seguridad media de un dominio?
Si colocases en fila todos los dominios calificados del planeta y fueras hasta el medio, encontrarías un dominio con nota F — la más baja. La F no es un artefacto de redondeo ni una penalización por inactividad: un dominio obtiene una F cuando genuinamente falla en las protecciones básicas que impiden que su correo sea falsificado y que sus visitantes sean engañados. La mayor parte de la internet simplemente tiene esas protecciones desactivadas.
Esta es la distribución completa.
Distribución de notas en la internet (260M dominios)
| Nota | Dominios | Porcentaje | Qué significa |
|---|---|---|---|
| A+ | 6740 | 0,0% | Prácticamente blindado — supera casi todas las verificaciones |
| A | 49.762 | 0,0% | Sólido: correo bloqueado, TLS moderno, protecciones DNS clave activadas |
| B | 1.145.942 | 0,4% | Bueno, con lagunas menores |
| C | 8.582.117 | 3,3% | Mixto — alguna protección real, algunos problemas reales |
| D | 26.088.093 | 10,0% | Débil — la mayoría de las protecciones ausentes |
| F | 224.536.050 | 86,2% | Prácticamente desprotegido — puede ser suplantado |
Recorre esa tabla y la forma es inconfundible: la curva no es una campana centrada en «B». Es un precipicio. El 86,2% de la internet obtiene una F, otro 10,0% obtiene una D, y todo lo que está por encima de una C es una fracción mínima en comparación.
¿Qué tan poco frecuente es una buena nota?
Muy. En todo el censo:
- Solo el 0,46% de los dominios logra una B o superior — aproximadamente 1 de cada 220.
- Solo el 0,02% logra una A o A+ — aproximadamente 1 de cada 4600.
- Una C o superior — el umbral de «tiene alguna protección real» — lo alcanzan menos de 1 de cada 27 dominios.
Dicho de otro modo, un dominio genuinamente bien configurado no es la norma de la que te estás quedando atrás. Es una excepción rara. La buena noticia oculta en esa estadística: superar el umbral te pone por delante de la abrumadora mayoría de la internet, y la mayoría de los pasos son gratuitos.
¿Por qué la curva está tan inclinada hacia la F?
Tres razones, y ninguna de ellas es «la internet está llena de hackers»:
- Los ajustes por defecto están desactivados. Al registrar un dominio, la autenticación de correo (SPF, DKIM, DMARC), DNSSEC, CAA y las cabeceras de seguridad no se activan automáticamente. Alguien tiene que encenderlos — y casi nadie lo hace.
- Nadie avisa al propietario. El dueño de una pequeña empresa que compra un dominio nunca recibe la advertencia de que, por defecto, los delincuentes pueden enviar correos que aparentemente provienen exactamente de su dirección. No existe ningún mensaje de error que diga «tu dominio puede ser suplantado».
- Las protecciones son invisibles hasta que fallan. Un registro SPF inexistente no causa ningún problema visible — hasta que un estafador usa tu dominio para facturar a tus clientes, o tu correo legítimo empieza a caer en la bandeja de spam.
El resultado es una curva de notas que refleja negligencia, no malicia.
Lo que una F significa realmente para una empresa
Una nota de suspenso no es una puntuación abstracta. En términos prácticos, una F suele significar que una o más de estas situaciones son reales para ese dominio:
- Su correo puede ser falsificado. Sin SPF y DMARC forzados, cualquiera puede enviar un correo que parezca provenir exactamente de ese dominio — a sus clientes, empleados y proveedores — y que llegue a la bandeja de entrada. Este es el mecanismo de las estafas de facturas falsas y fraudes del CEO.
- Su correo legítimo tiene más probabilidades de ir al spam. Gmail y Yahoo desconfían cada vez más de los dominios sin autenticar, así que los presupuestos y facturas reales acaban silenciosamente en correo no deseado.
- No supera las verificaciones de seguridad de otras empresas. Los grandes clientes escanean el dominio de un proveedor antes de firmar. «Puede ser suplantado» es suficiente para perder el contrato.
- Su sitio web puede ahuyentar a los visitantes. Un certificado inexistente o defectuoso muestra a los compradores una página roja de «No es seguro».
¿Cómo cambia la curva de notas con el tiempo?
Dado que la flota de análisis vuelve a medir la población de forma continua, esta distribución está viva, no es una instantánea puntual. La publicamos como informe recurrente para que la curva pueda seguirse edición tras edición — si la internet se vuelve más segura, esta página lo mostrará. Compara las clasificaciones dinámicas aquí:
Preguntas frecuentes
¿Cuál es la nota media de seguridad de un dominio en 2026? La nota más común entre los 260 millones de dominios medidos es F, y el dominio típico (mediana) obtiene una D o inferior. Solo el 0,46% de los dominios logra una B o superior.
¿Qué porcentaje de sitios web suspende la seguridad básica? A fecha de 2026-06-28, el 86,2% de los dominios calificados obtiene una F — prácticamente desprotegidos y suplantables — y un 10,0% adicional obtiene una D.
¿Cuántos dominios tienen nota A? Solo 6740 dominios logran una A+ y 49.762 logran una A — en conjunto aproximadamente el 0,02% de todos los dominios calificados, o alrededor de 1 de cada 4600.
¿Una nota baja se debe simplemente a que el dominio está aparcado o inactivo? No. Un dominio obtiene una nota baja porque genuinamente falla en verificaciones reales y observables externamente — por ejemplo, puede ser suplantado porque no tiene SPF y DMARC forzados. Las verificaciones que genuinamente no pueden determinarse se marcan como N/A y se excluyen; nunca cuentan como fallo.
Comprueba dónde se sitúa tu dominio en la curva
Estas son medias poblacionales. Tu dominio podría estar entre el 0,46% que logra una B o superior — o entre el 86,2% que no la logra. Puedes comprobarlo de forma privada y gratuita, y ver exactamente cuáles de las 34 verificaciones superas y cómo corregir las que no.
Comprueba tu dominio → · Cómo calificamos → · Solo datos agregados; la nota individual de un dominio se muestra únicamente a su propietario verificado. Datos almacenados y procesados en la UE.