Un censo de 2,081 sitios web de condados revela que 42% aún opera fuera de .gov y la mitad no aplica políticas DMARC efectivas contra suplantación
Mysterium VPN publicó en 2026 un censo de seguridad que examinó 2,081 sitios web de elecciones de condados en Estados Unidos, documentando mejoras en la adopción de dominios .gov pero exponiendo debilidades persistentes en autenticación de correo electrónico y protección contra rastreo de terceros. El estudio se realizó antes de las elecciones de noviembre y se enfocó en los sitios de información pública que los votantes usan para verificar su registro, localizar centros de votación o rastrear boletas, no en los sistemas de conteo de votos. Los hallazgos muestran que 42% de los sitios de elecciones de condados (869 de 2,081) todavía no están en dominio .gov, una reducción desde el 57% registrado en 2024. Ponderado por población, el 28% de los residentes vive en condados cuyos sitios de elecciones usan dominios fuera de .gov, lo que indica que los condados más grandes migraron primero.
Texas concentra la mayor cantidad de sitios sin .gov mientras Arizona y Nebraska completan la migración
Texas registró 169 sitios no-.gov, incluyendo 134 que usan la estructura anterior co.<county>.tx.us. Arizona y Nebraska no tenían sitios de elecciones de condados identificados con dominios no-.gov al momento del censo. El FBI y CISA habían advertido previamente que actores maliciosos estaban usando sitios web falsos de elecciones para difundir información falsa y recolectar datos personales. Solo organizaciones gubernamentales verificadas de Estados Unidos pueden registrar un dominio .gov, lo que lo convierte en un indicador útil para que los votantes identifiquen sitios oficiales, aunque el dominio por sí solo no garantiza que todos los aspectos del sitio sean seguros.
La mitad de los dominios de contacto electoral no aplica políticas DMARC que bloqueen correos no autenticados
De 1,977 páginas de elecciones legibles, 965 mostraban una dirección de contacto. Después de excluir servicios de correo de consumo como Gmail, los investigadores examinaron 942 dominios controlados por condados. El 23% de estos dominios carecía de registro DMARC en 2026, una reducción desde el 41% en 2024. Sin embargo, el 28% de los dominios usaba la política p=none, que solo monitorea pero no solicita cuarentena o rechazo de mensajes no autenticados. Otro 30% solicitaba cuarentena y 19% solicitaba rechazo. En conjunto, los dos primeros grupos representan aproximadamente el 51% de los dominios sin una política DMARC efectiva. SPF, otro mecanismo de autenticación de correo, estaba presente en el 98% de los dominios verificados.
Las oficinas electorales se comunican con los votantes sobre registro, requisitos de identificación y boletas faltantes. La autenticación de correo débil facilita que atacantes suplanten estas oficinas. DMARC puede reducir ciertas formas de suplantación de dominio, pero no puede prevenir todos los intentos de suplantación, dominios similares o ataques que involucren cuentas comprometidas.
Condados pequeños y dominios no-.gov muestran protección significativamente más débil
Entre el tercio de condados con menos residentes, el 34% de los dominios de contacto de elecciones carecía de DMARC, comparado con el 12% entre los condados más grandes. Los dominios no-.gov también mostraron protección más débil: el 32% carecía de DMARC, comparado con el 16% de los dominios .gov. Estos hallazgos indican una asociación, no una prueba de que adoptar .gov automáticamente mejore la seguridad del correo electrónico.
Los investigadores encontraron 28 sitios web con fallas consistentes de HTTPS entre los 2,081 probados. Quince carecían de un servicio HTTPS funcional, siete presentaban certificados para el dominio incorrecto, y otros tenían certificados expirados o no confiables o fallaban al establecer una conexión segura. Otros 178 sitios web servirían páginas de elecciones sobre HTTP no cifrado si los visitantes lo solicitaran de esa manera. Solo el 34% enviaba un encabezado HSTS (HTTP Strict Transport Security), que instruye a los navegadores compatibles a insistir en conexiones cifradas. Sesenta y tres certificados estaban programados para expirar dentro de los 30 días del día de las elecciones.
El 84% de los sitios contacta rastreadores de terceros al cargar, con Google Analytics presente en 60%
Una prueba separada examinó conexiones de terceros cuando las páginas de elecciones se cargaban en un navegador limpio, sin clics ni desplazamiento. De 1,930 páginas medidas, el 84% contactó al menos una empresa identificada como rastreador por Disconnect o DuckDuckGo. La página mediana contactó seis dominios de terceros. Google Analytics o Tag Manager apareció en el 60% de los sitios web, mientras que Meta Pixel apareció en el 3%. Mysterium sugiere que algunos resultados de rastreo provienen de configuraciones predeterminadas en plataformas de sitios web en lugar de decisiones deliberadas de funcionarios electorales. La presencia de código de terceros no establece, por sí sola, rastreo ilegal ni prueba exactamente qué información se recolectó, pero los condados deberían revisar si estas conexiones son necesarias en páginas diseñadas para proporcionar información básica de votación.
El estudio examinó nombres de dominio reconocibles relacionados con elecciones en varias extensiones, incluyendo .gov, .com, .org, .net, .us y .vote. Los investigadores identificaron 2,074 nombres coincidentes que resolvían a una dirección. De estos, 121 estaban registrados fuera del control gubernamental. Treinta y ocho alojaban sitios web no relacionados, ocho estaban ofrecidos para la venta, 73 mostraban páginas básicas de servidor o alojamiento, y dos servían contenido de apuestas o spam. Los investigadores también encontraron 73 condados con una versión .gov funcional del nombre usado por su sitio de elecciones no-.gov, lo que sugiere que algunos habían asegurado la dirección oficial sin completar la migración.
Nuestro análisis
El censo de Mysterium documenta un patrón de mejora incremental en infraestructura electoral digital de Estados Unidos, pero expone una brecha persistente entre condados grandes y pequeños que replica desigualdades de recursos técnicos ya observadas en otros sectores de gobierno local. La reducción del 57% al 42% en sitios no-.gov entre 2024 y 2026 es significativa, pero la cifra ponderada por población del 28% indica que la migración se concentró en jurisdicciones con mayor capacidad administrativa. La situación de Texas, con 169 sitios no-.gov incluyendo 134 en la estructura co.<county>.tx.us, sugiere que la inercia institucional y la dependencia de infraestructura heredada pueden ser obstáculos más grandes que la falta de conciencia sobre el problema. En América Latina, donde la infraestructura electoral digital está en etapas más tempranas de desarrollo y la adopción de dominios gubernamentales verificables es irregular, este patrón de fragmentación entre jurisdicciones grandes y pequeñas es directamente aplicable: países como México, Brasil y Argentina enfrentan desafíos similares de coordinación entre niveles de gobierno y disparidad de recursos técnicos entre estados o provincias.
La debilidad más preocupante no es la adopción de .gov sino la autenticación de correo: el 51% de los dominios sin política DMARC efectiva (sumando los que carecen de DMARC y los que usan p=none) significa que la mitad de las oficinas electorales de condados en Estados Unidos no está aplicando controles técnicos básicos contra suplantación de correo electrónico, a pesar de que DMARC es un estándar maduro y ampliamente documentado. La correlación entre dominios no-.gov y falta de DMARC (32% vs 16%) sugiere que la migración a .gov puede estar asociada con una revisión más amplia de postura de seguridad, pero no la garantiza automáticamente. El rastreo de terceros en el 84% de los sitios, con Google Analytics en el 60%, plantea una pregunta sobre proporcionalidad: ¿qué justifica la recolección de datos de comportamiento en sitios cuya única función es proporcionar información pública sobre votación? La explicación de Mysterium sobre configuraciones predeterminadas de plataformas es plausible, pero revela un problema de gobernanza: si los funcionarios electorales no están tomando decisiones activas sobre qué código de terceros se ejecuta en sus sitios, entonces no están ejerciendo control efectivo sobre esos sitios. ¿Cuántos condados revisarán sus configuraciones de rastreo antes de las próximas elecciones, y cuántos simplemente renovarán sus contratos con las mismas plataformas sin auditar qué datos se están compartiendo?