Hallazgos
Todo lo que se ha medido sobre el archivo, con su base y su fecha. Son recuentos sobre dominios, no listas de organismos: aquí no hay nombres.
Lo que hay en el archivo, medido al cerrar la captura. Cada fichero se guardó tal como lo entregó el servidor, con su huella sha256 y la hora de la petición: es el original contra el que se comprueba cada cita.
- dominios visitados2.172la semilla: sedes electrónicas, portales y trámites de todas las administraciones · del 31 de agosto al 11 de septiembre de 2026
- ficheros guardados661.345HTML, JavaScript, CSS y lo que enlazaban
- de archivo65,4 GBen disco, sin comprimir
- formularios131.105en 908 dominios, con su página, su acción, su método y sus campos
Un tercio de los dominios de la semilla no sirve nada. No es un fallo de la captura: es el primer hallazgo del museo. Un dominio público muerto sigue en folletos, en resoluciones y en enlaces de otras sedes.
- dominios que no sirven nada706de 2.172 · ni una página, ni cabeceras, ni portada · contado en disco el 14 de septiembre de 2026
- no tienen DNS14el nombre ya no resuelve a ninguna dirección · medido durante la captura
Una sola causa por dominio, la que apuntó el capturador al fallar por HTTP y por HTTPS. «TLS o certificado» quiere decir que el servidor contesta, pero el navegador no llega a ver la página.
Sobre 706 dominios que no sirven nada · errores apuntados durante la captura, contados el 14 de septiembre de 2026.
Que un dominio parezca de la Administración no basta para exponerlo. Solo se publican piezas de dominios cuya titularidad pública se prueba con un documento: la asignación de un .gob.es, que regula el ministerio; un certificado de la FNMT o de IZENPE, que solo se concede a organismos; una sede electrónica declarada. El resto se guarda, pero no se enseña.
- dominios con titularidad probada378de 2.172 · comprobado el 5 de septiembre de 2026
- quedan fuera1.794universidades, empresas públicas, colegios profesionales, fundaciones y todo dominio del que solo la semilla dice que es público
Las reglas del censo aplicadas a lo primero que entrega cada dominio: la portada, sus cabeceras y su certificado. Un dominio puede contar en varias reglas. Las 24 más frecuentes:
Sobre 1.466 dominios que sirven páginas · 87 reglas · barras a escala de la mayor · captura del 31 de agosto al 11 de septiembre de 2026.
Sobre los dominios con titularidad probada se leyeron hasta 400 páginas por dominio, no solo la portada. Estas son las tecnologías que aparecen en alguna de ellas:
Sobre 319 dominios con titularidad probada · hasta 400 páginas por dominio.
Desde cuándo nadie lo ha tocado, como mínimo
Cuando una página carga algo que dejó de funcionar en una fecha conocida, esa fecha es una cota: nadie ha revisado la página desde entonces, o lo habría quitado. Se pudo datar así 115 de los 319 dominios.
| Sin revisar desde | Dominios | Por qué se sabe |
|---|---|---|
| 2015 | 38 | Chrome retiró NPAPI en septiembre de 2015 y los applets dejaron de arrancar |
| 2020 | 35 | los navegadores llevan años bloqueando scripts y estilos cargados por HTTP en páginas HTTPS |
| 2021 | 16 | Adobe terminó Flash el 31 de diciembre de 2020 y los navegadores lo bloquearon en enero de 2021 |
| 2022 | 16 | la etiqueta solo la entendía Internet Explorer, retirado en junio de 2022 |
| 2023 | 10 | Universal Analytics dejó de procesar datos el 1 de julio de 2023: el script sigue cargando y no mide nada |
Código JavaScript de terceros que la página descarga y ejecuta en el navegador del ciudadano, y cuyos autores dejaron de publicar parches hace años. 282 de 1.466 dominios cargan al menos una.
| Biblioteca | Dominios | Sin parches desde | Qué pasó |
|---|---|---|---|
| jQuery 1.x | 215 | 2016 | sin parches de seguridad desde 2016 |
| MooTools | 33 | 2016 | abandonada en 2016 |
| Prototype.js | 30 | 2015 | última versión en 2015, sin mantenimiento |
| AngularJS | 24 | 2022 | fin de vida en enero de 2022 |
| SWFObject | 18 | 2020 | cargador de Flash; Flash murió en diciembre de 2020 |
| Dojo Toolkit | 9 | 2023 | la rama 1.x dejó de tener soporte en 2023 |
| script.aculo.us | 8 | 2010 | abandonada en 2010 |
| YUI | 3 | 2014 | Yahoo la retiró en 2014 |
| ExtJS | 1 | 2017 | pasó a licencia de pago de Sencha |
Sobre 1.466 dominios que sirven páginas · se cuenta el dominio, no las páginas.
Etiquetas, atributos y avisos que el HTML dejó atrás hace veinte años y que siguen en las páginas: «optimizado para Internet Explorer», «resolución recomendada 800×600», <font>, <marquee>.
Sobre 1.466 dominios que sirven páginas · un dominio puede contar en varias filas.
Durante la captura, 150 dominios no llegaron a servir nada por un error de TLS o de certificado. El 5 de septiembre de 2026 se volvió a abrir una conexión TLS con cada uno de ellos, la misma que abre un navegador al entrar, sin descargar ninguna página: 139 seguían fallando. En 56 el rechazo es duro (caducado, autofirmado, emitido para otro nombre, firma o clave demasiado débiles): cualquier navegador enseña la pantalla roja. En el resto el servidor no envía la cadena completa o TLS no llega a negociarse: un navegador de escritorio puede no notarlo, pero fallan los clientes estrictos, como las integraciones entre administraciones.
| Motivo | Dominios |
|---|---|
| la cadena de certificación está incompleta | 72 |
| el certificado no ampara a ese dominio | 35 |
| certificate signature failure | 9 |
| TLS no negocia: SSLError | 6 |
| TLS no negocia: SSLEOFError | 5 |
| el certificado ha caducado | 5 |
| self-signed certificate | 3 |
| CA signature digest algorithm too weak | 2 |
| EE certificate key too weak | 1 |
| self-signed certificate in certificate chain | 1 |
Sobre 150 dominios comprobados el 5 de septiembre de 2026 · un certificado se renueva: esta cifra caduca con la fecha.
Se leyeron todos los formularios con un campo de contraseña para saber si algún script del navegador escribe en sus campos ocultos. El nombre del campo no lo dice; lo dice el código que escribe en él.
- formularios con contraseña4.5513.773 llevan además algún campo oculto
- candidatos tras quitar duplicados1.615media España sirve el mismo validador copiado
- sin ningún script que escriba en sus ocultos923el 57 %: se descartan; 10 al azar, leídos a mano, confirman la poda
- unidades distintas que juzgar88de 675 con evidencia de escritura
Un modelo al que se le pide encontrar problemas, encuentra problemas. Antes de la pasada grande se midió cómo se comportan sobre casos ya caracterizados, uno a uno y a mano.
- unidades en la cata303 confirmadas, 27 rechazadas, 0 citas caídas: la cita fue literal en las 30
- de precisión del buscador de un solo modelo15,8 %con el 100 % de recall: sirve para buscar, no para afirmar
- veces aparece «hiddenLogout» en el archivo2.024todas dentro de la misma cadena de texto: un patrón que casa no es un hallazgo
- ficheros JavaScript propios19.175de 132.566 en el archivo, quitadas las bibliotecas de terceros y lo que queda fuera del perímetro
De los 378 dominios con titularidad probada, 102 sirven código propio que se pueda leer: fuera quedan las bibliotecas de terceros y los ficheros minificados, que no dicen nada de quien los sirve. Un modelo leyó ese código por trozos de 12.000 caracteres, cada trozo con 7 preguntas distintas —las lentes logica, fuga, truco, roto, terceros, otra, cliente-manda—, y propuso hallazgos con su cita. La cita se comprueba contra el fichero en disco y lo que no aparece idéntico se cae. Lo que sobrevive pasa por un segundo modelo y un árbitro, y después por la puerta final: sin código de terceros, sin nombres de personas y sin lo que el propio modelo dio por rutina. Recuento del 14 de septiembre de 2026.
- ficheros de código propio12.298servidos por 102 de los 378 dominios con titularidad probada; un fichero idéntico en varios dominios se cuenta una vez
- leídos por un modelo7.326fuera: 3.801 minificados, 1.168 de terceros y 3 sin página
- unidades leídas: un trozo por una pregunta58.9687 preguntas por trozo; 0 pendientes
- hallazgos propuestos cuya cita aparece en el disco16.902en 13.701 unidades; otros 687 se cayeron porque la cita no aparecía idéntica
- llevados al segundo modelo y al árbitro499los de más peso, con un máximo de seis por dominio
- confirmados por el segundo modelo y el árbitro52el árbitro tumbó 381; el segundo modelo, 59
- de ellos, pasan la puerta final2sin código de terceros, sin nombres de personas, sin lo que el propio modelo dio por rutina
- piezas publicables en total2.4522.426 de reglas inequívocas, 22 de reglas ambiguas confirmadas por un modelo, 2 de la lectura libre y 2 de formularios
- dominios con al menos una pieza42de 378 con titularidad probada
- siguen en vivo al recomprobar2.450de 2.470 recomprobadas contra el servidor: 0 arregladas, 20 sin respuesta