DMARC para las administraciones locales y el sector público: un dominio que los ciudadanos creen a pies juntillas

Qué muestran los datos

No es una intuición, es medible. Nuestro Observatorio DMARC sigue la postura pública de dominios del sector público, clasificándolos en protegidos (p=reject), en aplicación de la política (p=quarantine), en observación únicamente (p=none) o sin proteger en absoluto. La constatación recurrente coincide con la observada en las finanzas, desarrollada en DMARC para bancos: una parte notable de entidades conocidas y frecuentadas sigue sin aplicar la política, y deja suplantable su dominio de cara al público en el momento mismo en que se escriben estas líneas.

La brecha suele ser más marcada en las administraciones locales pequeñas, pero no siempre perdona a las grandes estructuras, que multiplican los dominios y los subdominios hasta perder la visión de conjunto. Comprobar el dominio que los administrados ven realmente en su bandeja —y no solo el portal institucional— es el reflejo correcto: es esa dirección la que el fraude suplantará.

NIS2 hace el asunto obligatorio

Lo que ayer era una buena práctica se convierte en una obligación. La administración pública figura explícitamente en el ámbito de la directiva NIS2, que impone medidas de gestión de riesgos cibernéticos y compromete la responsabilidad de los directivos. La autenticación del correo, control anti-suplantación evidente, auditable y de bajo coste, es uno de los primeros puntos que mirará una inspección. Para una administración afectada, llevar su dominio a p=reject ya no es una opción de comodidad, sino una exigencia de conformidad, y una protección concreta de los administrados.

Más allá de NIS2, la autenticación del correo figura desde hace tiempo entre las recomendaciones de higiene digital que las autoridades nacionales de ciberseguridad promueven para el sector público. La convergencia es clara: recomendaciones de higiene, obligación normativa y exigencias de los grandes proveedores de mensajería apuntan todas a la misma diana, p=reject. Una administración que se pone a ello hoy no hace más que anticipar una exigencia que se convertirá, en todas partes, en la norma mínima esperada de un servicio público digital digno de confianza; mejor abordarlo con calma que en la urgencia de una inspección o, peor, de un incidente ya ocurrido.

Los pasos a seguir para una administración local

La secuencia es la de todo remitente, adaptada a las realidades del sector público:

1. Diagnosticar. Todo empieza por una prueba gratuita del dominio principal y de los dominios de servicio. El veredicto inmediato sitúa el punto de partida, sin instalar nada.
2. Publicar DMARC en p=none para observar. Los informes agregados revelan la totalidad de las fuentes que emiten en nombre de la administración: aplicación de gestión, plataforma de trámites en línea, proveedor de envío, herramienta de boletín. Siempre hay más de las que se cree.
3. Alinear cada fuente legítima en SPF y DKIM, apoyándose en los proveedores; la mayoría documentan el procedimiento.
4. Subir de política hacia quarantine y luego reject, vigilando los informes. El método está en llegar a p=reject sin romper el correo legítimo.
5. Bloquear los dominios y subdominios inactivos. Muchas administraciones poseen dominios antiguos o subdominios que no envían nada pero siguen siendo suplantables. La etiqueta np de DMARCbis los cierra de golpe, sin riesgo para el correo legítimo.

La mancomunación es una palanca potente aquí: una mancomunidad, un consorcio informático o un proveedor puede llevar la iniciativa para varios municipios a la vez, y transformar un problema repetido en un único proyecto.

El caso de los municipios sin web ni correo

Un ángulo muerto enorme del sector público: incontables municipios pequeños no tienen ni sitio web ni correo en su propio nombre de dominio, y cuando poseen un dominio, este duerme sin enviar nada. Podría pensarse que esos dominios no tienen riesgo, ya que no sirven para nada. Es lo contrario: un dominio que no envía ningún correo legítimo es un dominio que nadie vigila, y que un atacante puede suplantar sin entrar nunca en conflicto con un flujo real. Un ayuntamiento que nunca envía correo es, paradójicamente, un objetivo fácil, porque nada delata el fraude del lado del remitente legítimo.

La solución es simple y barata: incluso un dominio inactivo debería publicar una política DMARC en p=reject explícita, que declare que ningún correo legítimo sale de él. Con DMARCbis, la etiqueta np bloquea además los subdominios inexistentes. Para los municipios que aún no tienen dominio alguno, reservar uno y ponerlo directamente en reject protege el nombre incluso antes del primer uso; una decisión de unos minutos que cierra de forma duradera una puerta.

Un ejemplo: el falso trámite administrativo

Imaginemos una mancomunidad cuyo dominio de cara al público se ha quedado en p=none. Un atacante envía a los administrados un correo que muestra la dirección auténtica del servicio, anunciando un «exceso cobrado que hay que reembolsar» y remitiendo a un formulario de introducción de datos bancarios. El mensaje lleva el nombre de la administración, llega en un contexto plausible, y una fracción de los destinatarios lo cumple. Los fondos se van, los datos se filtran y la administración descubre el asunto por las denuncias.

El mismo correo, con el dominio en p=reject, nunca habría llegado a las bandejas: rechazado en la entrega por falta de autenticación alineada. El paso de la observación a la aplicación de la política es, también aquí, lo que separa un dominio que documenta su propia suplantación de un dominio que la rechaza.

Mancomunar a escala de un territorio

La fuerza del sector público, frente a esta exposición, es que puede responder de forma colectiva. Un consorcio informático, una mancomunidad o un operador público de servicios digitales puede llevar la iniciativa DMARC para decenas de municipios a la vez: mismo diagnóstico, mismos proveedores de envío, mismas recetas de configuración. Lo que sería un proyecto inviable municipio por municipio se convierte en un único proyecto repetible a escala de un territorio, la mejor respuesta al problema de recursos que caracteriza al sector.

Esta lógica vale también para la mejora de competencias: una vez que un equipo territorial ha llevado un primer dominio de principio a fin, de p=none a p=reject, dispone de una receta que luego aplica en serie, y cada nueva administración lleva menos tiempo que la anterior. La inversión inicial se rentabiliza en todo el parque.

Comprobar una administración concreta, o cualquier otra

¿Cómo está realmente un organismo determinado? Basta pasar su dominio por nuestro análisis DMARC gratuito para un veredicto instantáneo, o recorrer el Observatorio DMARC para comparar todo un conjunto de un vistazo. El mismo riesgo golpea a otros sectores con alta confianza pública, empezando por la sanidad, que comparte las mismas causas y los mismos remedios. Y para entender el mecanismo de ataque que todo esto cierra, evitar el phishing con el nombre de dominio ofrece la visión de conjunto.

Llevar un parque público multidominio a p=reject sin un equipo dedicado es exactamente lo que Thomas, el CISO virtual, está diseñado para hacer accesible: nombra cada fuente de envío, genera el DNS que hay que publicar, evalúa la preparación por dominio e indica cuándo se puede aplicar cada uno sin riesgo. Análisis gratuito de un dominio · explorar el Observatorio · empezar con Thomas.