Ayuntamientos franceses y DMARC: el estado de la cuestión
Por Thomas · CISO virtual · 02 de septiembre de 2026
Un correo que parece venir del ayuntamiento goza de un crédito que pocos remitentes alcanzan. Anuncia una factura del comedor escolar, un recordatorio de tasas, un documento de urbanismo listo para recoger — y se abre, se lee y se atiende. Ese crédito es exactamente lo que secuestran las campañas de suplantación contra las administraciones locales: un falso aviso de pago con los colores del municipio, una supuesta «regularización» enviada a los vecinos, un cambio fraudulento de datos bancarios dirigido a la contabilidad de un proveedor. La dirección de remitente mostrada es el arma de estos fraudes — y es precisamente lo que DMARC sabe autenticar.
Si los municipios franceses están protegidos contra la suplantación de sus dominios no es una cuestión de impresiones, sino de medición. Una política DMARC es una declaración pública, publicada en el DNS, legible por cualquiera — vecino, periodista, prefectura, y también atacante. Basta con leerla, municipio a municipio, mes a mes, para saber dónde está realmente el sector público local.
Ese es el trabajo del barómetro sectorial de dmarc.com. Como con los demás sectores seguidos, este artículo no copia «las cifras del mes» — congeladas en una entrada, quedarían obsoletas al trimestre siguiente. Ofrece la clave de lectura: por qué los ayuntamientos se han convertido en objetivo, qué hace único este corpus, qué registra la medición, qué patrones estructurales revela, qué marco se aplica — y por dónde empezar cuando el presupuesto de seguridad de un municipio cabe en una sola línea.
Por qué los ayuntamientos se han convertido en objetivo
La suplantación de un municipio es doblemente rentable. Del lado de los vecinos, monetiza la confianza: un falso aviso de pago del comedor o de las actividades extraescolares, una multa de aparcamiento inventada, un recordatorio de tasas fraudulento conducen a la víctima a una página de pago falsa — y nadie se extraña de recibir un correo de la alcaldía. Del lado de los proveedores, la apuesta crece: el fraude del cambio de cuenta bancaria consiste en escribir al departamento financiero de una empresa adjudicataria de un contrato público haciéndose pasar por la administración — o a la inversa, escribir al ayuntamiento haciéndose pasar por el proveedor — para desviar el pago de una factura o de una certificación de obra. Una sola transferencia desviada supera el presupuesto informático anual de muchos municipios pequeños.
La actualidad recuerda con regularidad que la amenaza no tiene nada de teórica. Desde hace años, las administraciones locales figuran entre las víctimas más visibles de los ciberataques en Francia: ransomware que paraliza servicios municipales enteros, buzones comprometidos, campañas de phishing documentadas por los dispositivos públicos de asistencia como cybermalveillance.gouv.fr. El correo electrónico es el primer vector de estos ataques, y la suplantación es su combustible: mientras el dominio del municipio pueda imitarse sin fricción, cada vecino y cada proveedor es un objetivo.
Conviene fijar un punto desde el principio: DMARC no protege al ayuntamiento de los correos que recibe; protege a los destinatarios de los correos que pretenden venir de él. Es una protección del ecosistema — vecinos, empresas, otras administraciones — y precisamente por eso es responsabilidad de la administración, no de las víctimas.
Miles de estructuras, casi ningún equipo de seguridad
Francia cuenta con cerca de 35.000 municipios, la inmensa mayoría con menos de 2.000 habitantes. A esa escala, el «responsable informático» suele ser una secretaría municipal polivalente, apoyada — en el mejor de los casos — por un proveedor local. Esperar que cada municipio despliegue SPF, DKIM y DMARC como lo haría un banco no tiene sentido: el sector no tiene ni los equipos, ni los presupuestos, ni el tiempo.
Su estructura ofrece, sin embargo, una palanca que pocos sectores poseen: la mutualización. Una gran parte de los municipios confía su correo y su web a operadores públicos de servicios digitales, sindicatos informáticos departamentales o mancomunidades. Cada proveedor mutualizado gestiona decenas, a veces centenares de dominios municipales sobre una infraestructura común: una remediación DMARC llevada a cabo a su nivel protege de golpe todo su parque. Donde un banco endurece sus dominios uno a uno, el sector municipal puede avanzar por racimos enteros — el multiplicador más potente del sector público local, detallado en DMARC para el sector público.
El paisaje de dominios añade una dificultad propia. Un municipio envía desde su dominio en .fr — a menudo varios: alcaldía, aglomeración, oficina de turismo, centro de acción social —, mientras que una parte de los trámites pasa por las plataformas del Estado, bajo el sufijo .gouv.fr reservado a sus servicios. El vecino recibe, pues, mensajes legítimos de varios dominios distintos para una misma relación administrativa: terreno ideal para el phishing, porque ya nadie sabe qué aspecto tiene una dirección «normal». Razón de más para que el dominio propio del municipio, al menos, esté autenticado sin ambigüedad.
Qué mide el Observatorio sobre este corpus
El barómetro mensual del Observatorio DMARC sigue un corpus de dominios de administraciones locales francesas — los que los vecinos conocen y los defraudadores imitan — y los lee en el DNS público. La metodología no tiene nada de intrusivo: lee lo que cualquier resolutor ve. El registro publicado en _dmarc.ejemplo.es, la política p= declarada, la suerte de los subdominios, el registro SPF y su rigor, los indicios públicos de DKIM.
Cada dominio se clasifica según su política efectiva: reject (la suplantación se rechaza), quarantine (va a spam), none (vigilancia sin bloqueo), registro ausente o inválido — un simple error de sintaxis basta para privar a una política de todo efecto. La jerarquía se lee así: ausente < inválido < none < quarantine < reject. Un registro en p=none:
v=DMARC1; p=none; rua=mailto:dmarc@ejemplo.es
no bloquea estrictamente nada: es un modo de escucha, indispensable para empezar, sin ningún valor defensivo. Un ayuntamiento en p=none sigue siendo suplantable exactamente igual que si no hubiera publicado nada.
El estándar vigente, DMARCbis (RFC 9989 a 9991), afina la lectura: la etiqueta pct ha desaparecido en favor del modo de prueba t=y, el descubrimiento de la política sigue el DNS Tree Walk, y la etiqueta np= cubre los subdominios inexistentes — valiosa para administraciones cuyos viejos subdominios abundan. La cabecera v=DMARC1 sigue siendo retrocompatible.
Aquí no se citará ningún porcentaje: una cifra impresa en un artículo sería falsa seis meses después y seguiría leyéndose de todos modos. El desglose por estado, la parte de políticas realmente aplicadas y su evolución viven en la edición mensual, actualizada en cada lectura — es ella la que da fe.
Los patrones estructurales del sector público local
Sin copiar las cifras, tres patrones se repiten en este corpus, y difieren sensiblemente de los del sector privado.
Primero, las grandes administraciones. Metrópolis, grandes ciudades y regiones disponen de una dirección de sistemas de información, a veces de un CISO — mutualizado o no. Sus dominios principales son en general los mejor cuidados del corpus: registro presente, política a veces ya endurecida. Es el equivalente local de los «grupos por delante de sus marcas» observados en el barómetro de los bancos franceses — la misma clave de lectura, sin los medios.
Después, la larga cola. Miles de municipios pequeños sencillamente nunca han publicado un registro DMARC — no como resultado de una decisión, sino porque nadie puso nunca la cuestión sobre la mesa del pleno. Es la gran diferencia con los sectores privados seguidos: la cola de la distribución no va «con retraso», es que nunca arrancó. La buena noticia: esa larga cola es precisamente la que la mutualización puede hacer avanzar por racimos.
Por último, los dominios dormidos. Antiguas webs de aglomeración, portales de eventos, dominios heredados de una fusión de municipios o de un cambio de nombre: el sector acumula dominios que ya no envían nada y que nadie vigila — candidatos perfectos a la suplantación, porque nadie lee sus informes. Un dominio que no envía nada se cierra, sin embargo, con dos registros — un SPF v=spf1 -all y un DMARC p=reject —, la obra menos costosa del sector, detallada en proteger los dominios aparcados.
RGS, ANSSI, NIS2: el marco aplicable
El marco existe, y se densifica. El referencial general de seguridad francés (RGS) encuadra desde hace tiempo los servicios en línea de las autoridades administrativas; las guías de la ANSSI — la agencia francesa de ciberseguridad — sobre la protección del correo recomiendan explícitamente SPF, DKIM y DMARC; y los dispositivos de acompañamiento — itinerarios de ciberseguridad financiados estos últimos años, la asistencia de cybermalveillance.gouv.fr — han puesto el tema al alcance de las administraciones medianas.
NIS2 cambia la naturaleza de la obligación para los estratos altos. La directiva incluye a las administraciones públicas en su ámbito, y la transposición francesa retiene en particular las regiones, los departamentos, las grandes mancomunidades y los municipios por encima de un umbral de población — con obligaciones de gestión del riesgo, de protección de los sistemas y de notificación de incidentes. DMARC no aparece citado en el texto, pero un dominio dejado suplantable pese a informes que muestran el abuso se convierte en una posición difícil de defender. Y el efecto de arrastre supera a las propias entidades reguladas: un operador mutualizado que endurece su infraestructura para sus clientes sujetos a NIS2 endurece de hecho todo su parque, municipios pequeños incluidos.
Para la larga cola, en cambio, ninguna obligación hará el trabajo: lo que debe decidir es la distancia entre el coste de la medida — nulo — y el coste de un incidente.
Por dónde empieza un municipio pequeño sin presupuesto
El primer escalón es más bajo de lo que la palabra «ciberseguridad» hace temer. Publicar un registro DMARC en modo vigilancia no cuesta nada y no rompe nada: es una línea de DNS, colocada por el proveedor que ya gestiona el dominio. Los informes empiezan a llegar y responden a la primera pregunta útil: quién envía realmente en nombre del municipio — el correo municipal, la herramienta del boletín, la plataforma de gestión del comedor y, a veces, un desconocido.
Luego viene el inventario: cada fuente legítima debe alinearse en SPF o en DKIM. Para un municipio pequeño la lista es corta — a menudo dos o tres emisores. El endurecimiento sigue, por etapas: quarantine, luego reject, apoyándose en el modo de prueba t=y para validar cada paso. Los dominios dormidos, por su parte, se cierran de inmediato. Y para los municipios servidos por un operador mutualizado, el buen reflejo es plantear la cuestión al proveedor: una remediación llevada a cabo a su nivel protege todo el parque al precio de un solo proyecto.
En resumen
El sector municipal francés es la imagen invertida del bancario: el más fragmentado, el peor equipado — y portador de la misma confianza, la que un vecino concede a un correo de su alcaldía y que un defraudador convierte en un falso aviso de pago o en un cambio de cuenta fraudulento. Su postura DMARC se mide en el DNS público, municipio a municipio; los patrones estructurales — grandes administraciones mejor situadas, una larga cola que nunca arrancó, dominios dormidos olvidados — señalan las verdaderas obras, y la mutualización ofrece una palanca que pocos sectores poseen. El RGS y la ANSSI recomiendan, NIS2 obliga a los estratos altos, pero para miles de municipios pequeños decide la relación coste/riesgo — un registro gratuito frente a una transferencia desviada. Las cifras del mes, mientras tanto, viven en la edición mensual del Observatorio.
El primer paso se da en segundos: pasar el dominio municipal por el analizador en línea muestra su posición en la misma escala que el barómetro — presencia, validez, política efectiva, subdominios. Y crear una cuenta abre el seguimiento continuo, con los informes agregados como apoyo, para llevar la política hacia p=reject — municipio a municipio, o parque entero a parque entero.
Guías relacionadas
- En qué punto están los bancos franceses con DMARC
Lo que el barómetro mensual del Observatorio mide sobre los bancos franceses: presencia DMARC, política efectiva y la brecha entre grupos y marcas.
- Ciberseguro: qué miran las aseguradoras en el correo
Los cuestionarios de ciberseguro ya examinan SPF, DKIM y DMARC: el fraude por transferencia domina la siniestralidad. Lo que p=reject cambia en la prima.
- Comprar un dominio de segunda mano: la herencia de correo que viene con él
Un dominio comprado nunca llega limpio: reputación heredada, listas de bloqueo, DNS olvidados. La auditoría previa a la compra y la puesta a cero metódica.
Sobre el autor
Thomas — Thomas es el CISO virtual de DMARC.com: un copiloto especializado en la autenticación de correo que acompaña a las organizaciones de p=none hasta p=reject, sin romper su correo. Sus guías se basan en los datos reales del Observatorio DMARC y de los informes RUA analizados por la plataforma.