Respuesta rápida
¿Cuántos dominios populares usan SPF, DMARC y MTA-STS en 2026?
De los 691 dominios que reciben correo entre los 1,000 más populares (Tranco, 11 de noviembre de 2026), el 93.9% publica SPF y el 88.9% publica DMARC, pero solo el 50.2% aplica p=reject y el 5.2% usa MTA-STS. Postelva leyó los registros el 12 de noviembre de 2026 mediante DNS público.
Resultados de los 691 dominios que reciben correo
| Registro | Publicado | Cuota | Qué significa |
|---|---|---|---|
| SPF (TXT v=spf1) | 647 de 689 | 93.9% | Indica qué servidores pueden enviar en nombre del dominio |
| SPF que termina en -all (rechazo firme) | 343 de 689 | 49.8% | El correo de otros servidores debe rechazarse |
| SPF que termina en ~all (rechazo suave) | 261 de 689 | 37.9% | El correo de otros servidores solo se marca |
| Más de un registro SPF (no válido) | 3 de 689 | 0.4% | RFC 7208 permite uno; los receptores devuelven un error |
| DMARC (TXT at _dmarc) | 614 de 691 | 88.9% | Una política para el correo que falla SPF y DKIM |
| DMARC p=reject | 347 de 691 | 50.2% | El correo que falla se rechaza |
| DMARC p=quarantine | 168 de 691 | 24.3% | El correo que falla va a spam |
| DMARC p=none | 99 de 691 | 14.3% | Solo supervisión, no se bloquea nada |
| MTA-STS (TXT en _mta-sts) | 36 de 688 | 5.2% | Los remitentes deben usar TLS para llegar al dominio |
| Informes TLS de SMTP (TXT en _smtp._tls) | 43 de 688 | 6.2% | Informes sobre fallos de entrega TLS |
| BIMI (TXT en default._bimi) | 159 de 688 | 23.1% | Un registro de logotipo de marca para las bandejas que lo admiten |
Última comprobación el ; los datos más antiguos llevan su propia fecha
¿Qué encontró el estudio?
Publicar SPF y DMARC ya es lo normal entre los dominios populares; aplicarlos no lo es. Nueve de cada diez dominios de correo del top 1,000 publican un registro DMARC, pero solo la mitad indica a los receptores que rechacen el correo que falla. Uno de cada siete se queda en p=none, que recoge informes y no bloquea nada, y una cuarta parte pone el correo en cuarentena. Casi todos los registros DMARC piden informes agregados: el 93.3% incluye una dirección rua.
SPF cuenta la misma historia. El 93.9% publica un registro, pero un rechazo firme (-all) cierra solo el 49.8%; el 37.9% termina en rechazo suave (~all). Tres dominios publican dos registros SPF, que la RFC 7208 trata como un error permanente, y nuestra guía del registro SPF muestra por qué un solo registro debe incluir a todos los remitentes.
La seguridad del transporte va muy por detrás. MTA-STS, que obliga a los servidores emisores a usar TLS, lo publican 36 de 688 dominios de correo (5.2%), y los informes TLS de SMTP, 43. Solo 30 de los 691 combinan SPF, una política DMARC aplicada y MTA-STS.
Los 100 dominios más populares frente al top 1,000
| Measure | Top 100 (todos los dominios) | Top 1,000 (todos los dominios) |
|---|---|---|
| SPF publicado | 81 de 100 (81%) | 762 de 996 (76.5%) |
| DMARC publicado | 76 de 100 (76%) | 730 de 998 (73.1%) |
| DMARC p=reject | 51 de 100 (51%) | 439 de 998 (44%) |
| MTA-STS | 10 de 100 (10%) | 38 de 994 (3.8%) |
| BIMI | 17 de 99 (17.2%) | 159 de 994 (16%) |
Última comprobación el ; los datos más antiguos llevan su propia fecha
¿Protegen sus dominios los que no envían correo?
En su mayoría, no. 306 de los 1,000 dominios no tienen registro MX o tienen un MX nulo (RFC 7505), así que nunca envían correo legítimo. Aun así, un delincuente puede poner cualquiera de ellos en una línea From. La solución cuesta dos registros DNS: SPF "v=spf1 -all" y DMARC "p=reject". 95 de los 306 publican el rechazo firme de SPF y 92 la política DMARC reject, así que aproximadamente dos de cada tres dejan la puerta abierta.
Lo mismo vale para un dominio personal que guarda para más adelante, o para una segunda extensión comprada solo para proteger su dirección. La guía de configuración de DMARC incluye el conjunto de registros para dominios sin correo, y el editor DNS de Postelva tiene una plantilla de un clic para ello.
¿Cómo se hizo el estudio?
Tomamos la lista Tranco PY2NJ, construida con datos de cinco proveedores entre el 13 de octubre y el 11 de noviembre de 2026, y conservamos sus primeros 1,000 dominios. Cada dominio recibió seis consultas DNS a través del resolutor público DNS-over-HTTPS de Cloudflare el 12 de noviembre de 2026: MX en el dominio raíz, TXT en el raíz (SPF), y TXT en _dmarc, _mta-sts, _smtp._tls y default._bimi.
Un dominio cuenta como receptor de correo cuando tiene al menos un registro MX distinto de un MX nulo. SPF cuenta cuando exactamente un registro TXT empieza por v=spf1, y su política se lee del mecanismo all. DMARC cuenta cuando un registro TXT en _dmarc empieza por v=DMARC1, y su política es la etiqueta p. Una consulta que falló tras tres intentos se deja fuera de esa línea. Tranco clasifica dominios registrables, así que algunas entradas son nombres de infraestructura que nunca envían correo; por eso las cifras de correo usan solo los 691 dominios con registros MX.
Las respuestas brutas y el script se conservan con el estudio. Publicamos solo totales, sin nombrar dominios.
Qué significan las cifras para su propio dominio
Un dominio personal o familiar puede igualar a lo mejor del top 1,000 en una tarde. Según el estudio de Postelva del 12 de noviembre de 2026, 347 de los 691 dominios de correo más populares rechazan el correo que falla con DMARC p=reject y 36 publican MTA-STS; un dominio conectado a Proton Mail, Fastmail o Zoho Mail mediante nuestras plantillas empieza con SPF, DKIM y DMARC ya escritos.
El orden habitual es SPF y DKIM primero, DMARC en p=none durante una semana de informes, después cuarentena y rechazo; la comparativa de SPF, DKIM y DMARC explica lo que comprueba cada registro. MTA-STS necesita un pequeño archivo de política en un servidor web, como muestra nuestra guía de MTA-STS. Un .com en Postelva cuesta 12,49 US$/año, el mismo precio cada año.
Preguntas sobre el estudio
¿Qué porcentaje de dominios populares usa DMARC en 2026?
El 88.9% de los 691 dominios que reciben correo en el top 1,000 de Tranco publicaba DMARC el 12 de noviembre de 2026, y el 50.2% usaba p=reject. Entre los 1,000 dominios, el 73.1% publicaba DMARC.
¿Cuántos dominios populares usan MTA-STS?
36 de 688 dominios de correo (5.2%) del top 1,000, y 10 de los 100 primeros. Es el registro menos adoptado de los que revisamos.
Is p=none enough?
No. p=none solo pide informes; el correo falsificado sigue entregándose. El 14.3% de los dominios de correo que revisamos se quedó en p=none.
¿Por qué algunos dominios se cuentan como 689 o 688?
Una consulta que falló tras tres intentos se deja fuera de la línea de ese registro, así que la base varía entre uno y tres dominios.
¿Se repetirá el estudio?
Sí, con el mismo tamaño de lista, el mismo script y los mismos registros, de modo que las cifras forman una serie fechada; cada actualización queda registrada en nuestra página de novedades.
En resumen
- 1,000 dominios más populares (Tranco, 11 de noviembre de 2026), lectura DNS del 12 de noviembre de 2026; 691 reciben correo.
- Mail domains: SPF 93.9%, DMARC 88.9%, DMARC p=reject 50.2%, p=none 14.3%.
- MTA-STS es raro: 5.2% de los dominios de correo, 10% de los 100 primeros; solo 30 combinan SPF, DMARC aplicado y MTA-STS.
- De 306 dominios que no envían correo, 92 publican DMARC p=reject y 95 un rechazo firme de SPF.
- Solo totales; el script y las respuestas brutas se conservan para repetir el estudio.
Fuentes y método (5)
- Tranco list PY2NJ (top 1M, 13 October – 11 November 2026) — Tranco (downloaded 2026-11-12)
- DNS over HTTPS, JSON API — Cloudflare (used 2026-11-12)
- RFC 7208: Sender Policy Framework (SPF) — IETF (consultado el 2026-11-12)
- RFC 8461: SMTP MTA Strict Transport Security (MTA-STS) — IETF (consultado el 2026-11-12)
- RFC 7505: A "Null MX" No Service Resource Record — IETF (consultado el 2026-11-12)