118 reglas · base de datos del 10 de noviembre de 2026
Metodología · las reglas · base de datos del 10 de noviembre de 2026
118 reglas
Cada fila lleva a su ficha: qué mira, de qué norma sale, quién la decide, dónde sale y cuánto acierta leída a ciegas. Pulsando una cabecera, la tabla se ordena; con los filtros, se acota.
| regla | familia | clase | la decide | severidad | norma | dominios | acierto a ciegas | leída |
|---|---|---|---|---|---|---|---|---|
dns.caaTiene web y ni él ni sus padres publican CAA (se heredan subiendo por el árbol), o los publican sin la etiqueta issue, que es la que limita. | DNS | inventario | un programa | sin severidad | RFC 8659 | 6.061de 8.405 dominios · DNS | 8 de 8 · muestra pequeña | 3 nov |
dns.dnssecEl SOA contesta sin validar (sin AD) y no hay DS: la zona no está firmada. | DNS | inventario | un programa | sin severidad | — | 6.033de 8.405 dominios · DNS | 8 de 8 · muestra pequeña | 3 nov |
dns.ipv6Ninguno de los nombres de la semilla con dirección tiene AAAA, o ninguno de sus MX lo tiene. | DNS | práctica | un programa | sin severidad | — | 5.943de 8.405 dominios · DNS | 8 de 8 · muestra pequeña | antes de la base |
correo.mta-stsTiene MX y no publica un v=STSv1 válido en _mta-sts. | Correo suplantable | inventario | un programa | sin severidad | RFC 8461 | 5.304de 7.274 dominios · correo | 8 de 8 · muestra pequeña | 3 nov |
correo.tls-rptTiene MX y no publica un v=TLSRPTv1 con rua en _smtp._tls. | Correo suplantable | inventario | un programa | sin severidad | RFC 8460 | 5.301de 7.274 dominios · correo | 8 de 8 · muestra pequeña | 3 nov |
cabeceras.cspSin Content-Security-Policy, ni en la cabecera ni en un <meta> de la portada con una política de verdad. | Transporte y cabeceras | inventario | un programa | sin severidad | — | 5.184de 8.501 webs | 20 de 20 · 100 % | 4 nov |
privacidad.referrerLa última política válida de Referrer-Policy (o de un <meta> de la portada). | Transporte y cabeceras | hallazgo | un programa | medio · bajo | — | 5.076de 8.501 webs | 8 de 8 · muestra pequeña | 3 nov |
correo.suplantablede su familia: SPF y DMARC de cada dominio de organismo, en el DNS público. | Correo suplantable | hallazgo | un programa | alto · medio · bajo | — | 5.004de 7.274 dominios · correo | 27 de 29 · 93 % | 11 nov |
tramites.pasarelaUna fila por sede o portal: quién sostiene el trámite. | Trámites y contratación | inventario | un programa | sin severidad | — | 4.229de 8.501 webs | 9 de 10 · 90 % | 5 nov |
accesibilidad.alt<img> sin alt ni nombre accesible y sin declararse decorativa (alt="", role="presentation" o aria-hidden son correctos) (WCAG 1.1.1). | Accesibilidad | hallazgo | un programa | bajo | — | 3.433de 8.501 webs | 30 de 30 · 100 % | 3 nov |
obsoleto.libreriaLibrería de JavaScript con su versión leída en la cabecera del propio fichero. | Software obsoleto | hallazgo | un programa | medio · bajo | — | 3.303de 8.501 webs | 8 de 8 · muestra pequeña | antes de la base |
accesibilidad.etiquetaCampos de formulario (input visibles, select, textarea) sin etiqueta. | Accesibilidad | hallazgo | un programa | medio · bajo | — | 3.140de 8.501 webs | 58 de 58 · 100 % | 3 nov |
cabeceras.hstsSin Strict-Transport-Security, o con max-age=0, que la anula. | Transporte y cabeceras | práctica | un programa | sin severidad | — | 3.108de 8.501 webs | 19 de 19 · 100 % | 4 nov |
legal.canal-internoLa página de inicio no informa del sistema interno de información. | Requisitos legales | hallazgo | un programa | medio · bajo | Ley 2/2023 art. 25 | 3.003de 8.501 webs | 11 de 11 · 100 % | 4 nov |
cabeceras.x-content-typeSin X-Content-Type-Options: nosniff. | Transporte y cabeceras | práctica | un programa | sin severidad | — | 2.569de 8.501 webs | 10 de 10 · 100 % | 4 nov |
accesibilidad.iframe<iframe> sin title (WCAG 4.1.2). | Accesibilidad | hallazgo | un programa | bajo | — | 2.566de 8.501 webs | 44 de 44 · 100 % | 3 nov |
cabeceras.x-frameSin X-Frame-Options ni frame-ancestors en la CSP (otra CSP no impide incrustar la página). | Transporte y cabeceras | práctica | un programa | sin severidad | — | 2.432de 8.501 webs | 10 de 10 · 100 % | 4 nov |
privacidad.tipografiade su familia: Analítica, publicidad y otros recursos de terceros que el HTML carga sin esperar a que el visitante acepte. | Privacidad antes del consentimiento | hallazgo | un programa | bajo | — | 2.296de 8.501 webs | 24 de 24 · 100 % | antes de la base |
privacidad.analiticade su familia: Analítica, publicidad y otros recursos de terceros que el HTML carga sin esperar a que el visitante acepte. | Privacidad antes del consentimiento | hallazgo | un programa | medio · bajo | — | 1.945de 8.501 webs | 30 de 30 · 100 % | 11 nov |
privacidad.mapade su familia: Analítica, publicidad y otros recursos de terceros que el HTML carga sin esperar a que el visitante acepte. | Privacidad antes del consentimiento | hallazgo | un programa | bajo | — | 1.856de 8.501 webs | 16 de 16 · 100 % | antes de la base |
legacy.era-ieComentario-condicional-ie, emulacion-ie (X-UA-Compatible con IE=5…9 o EmulateIE). | Código legacy | práctica | un programa | sin severidad | — | 1.831de 8.501 webs | 8 de 8 · muestra pequeña | antes de la base |
cookies.samesiteCookie con nombre de cookie de sesión sin SameSite (que sea la sesión de la aplicación sale solo del nombre, y la frase lo dice así). | Transporte y cabeceras | hallazgo | un programa | bajo | — | 1.700de 8.501 webs | 15 de 16 · 94 % | 9 nov |
exposicion.version-servidorLas cabeceras de la portada anuncian un producto con su número: server, x-powered-by, x-aspnet-version. | Plano de dentro a la vista | práctica | un programa | sin severidad | — | 1.689de 8.501 webs | 29 de 30 · 97 % | 3 nov |
privacidad.videode su familia: Analítica, publicidad y otros recursos de terceros que el HTML carga sin esperar a que el visitante acepte. | Privacidad antes del consentimiento | hallazgo | un programa | bajo | — | 1.421de 8.501 webs | 26 de 26 · 100 % | antes de la base |
obsoleto.analitica-apagadaLa página sigue configurando Universal Analytics o el Analytics clásico. | Software obsoleto | práctica | un programa | sin severidad | — | 1.401de 8.501 webs | 8 de 8 · muestra pequeña | 3 nov |
legacy.html-retiradoFrameset, marquee, blink, font, etiquetas-retiradas (center, big, strike, tt, acronym, basefont). | Código legacy | hallazgo | un programa | bajo | — | 1.384de 8.501 webs | 16 de 16 · 100 % | 9 nov |
correo.dmarc-sin-informesDMARC válido sin rua=. | Correo suplantable | práctica | un programa | sin severidad | RFC 7489 | 1.276de 7.274 dominios · correo | 8 de 8 · muestra pequeña | 3 nov |
accesibilidad.declaracionEl host no enlaza en ninguna página capturada a una declaración de accesibilidad. | Accesibilidad | hallazgo | un programa | medio | — | 1.212de 8.501 webs | 15 de 15 · 100 % | 12 nov |
dns.nsLa zona publica un solo registro NS, o todos sus servidores de nombres tienen la dirección IPv4 en la misma red /24. | DNS | práctica | un programa | sin severidad | RFC 1034 | 1.169de 8.405 dominios · DNS | 16 de 16 · 100 % | 9 nov |
seguridad.http-internoUna página https enlaza a su propio host por http://. | Transporte y cabeceras | práctica | un programa | sin severidad | — | 1.156de 8.501 webs | 15 de 16 · 94 % | 9 nov |
errores.dominio-enlazado-muertoUn enlace visible (<a href> con texto o imagen, no oculto) apunta a un dominio (sin subdominios) que contestó NXDOMAIN en DNS público, una vez. | Higiene y mantenimiento | hallazgo | un programa | medio · bajo | RD 203/2021 art. 12 | 1.146de 8.501 webs | 8 de 8 · muestra pequeña | 3 nov |
suministro.sin-integridadScript de un CDN, con la versión fija en su dirección, sin atributo integrity (SRI). | Cadena de suministro | práctica | un programa | sin severidad | — | 1.128de 8.501 webs | 8 de 8 · muestra pequeña | 5 nov |
privacidad.captchade su familia: Analítica, publicidad y otros recursos de terceros que el HTML carga sin esperar a que el visitante acepte. | Privacidad antes del consentimiento | hallazgo | un programa | bajo | — | 1.065de 8.501 webs | 16 de 16 · 100 % | antes de la base |
cabeceras.hsts-cortoMax-age por debajo de 180 días. | Transporte y cabeceras | práctica | un programa | sin severidad | — | 1.054de 8.501 webs | 21 de 21 · 100 % | 4 nov |
transporte.mixto-pasivoUna página https pide por http una imagen, un audio o un vídeo: el navegador lo pide por https y, si ese servidor no lo sirve así, no se ve. | Transporte y cabeceras | práctica | un programa | sin severidad | — | 956de 8.501 webs | 8 de 8 · muestra pequeña | 5 nov |
accesibilidad.declaracion-caducadaLa declaración con el modelo europeo da como última fecha de preparación, revisión o modificación una de hace más de un año. | Requisitos legales | hallazgo | un programa | medio · bajo | RD 1112/2018 art. 15.1 | 859de 8.501 webs | 10 de 10 · 100 % | 4 nov |
sede.certificado-cualificadoLEE EL CERTIFICADO: el que presentó el host en la sonda TLS de la captura. | Sede electrónica | hallazgo | un programa | medio · bajo | ETSI EN 319 412-4 | 832de 8.501 webs | 16 de 16 · 100 % | antes de la base |
obsoleto.servidorLo que el host anuncia en sus cabeceras o en su generador, de toda la semilla. | Software obsoleto | hallazgo | un programa | medio | — | 786de 8.501 webs | 12 de 12 · 100 % | 2 nov |
accesibilidad.contraste· en N de M páginas pintadas, texto con una razón de contraste por debajo de la que pide WCAG 2.1 1.4.3. | Accesibilidad | hallazgo | un navegador | bajo | WCAG 2.1 1.4.3 | 760de 8.501 webs | 29 de 29 · 100 % | 9 nov |
cabeceras.csp-debilHay CSP y no limita los scripts: script-src (o default-src) con 'unsafe-inline' sin nonce. | Transporte y cabeceras | práctica | un programa | sin severidad | — | 753de 8.501 webs | 8 de 8 · muestra pequeña | 3 nov |
privacidad.socialde su familia: Analítica, publicidad y otros recursos de terceros que el HTML carga sin esperar a que el visitante acepte. | Privacidad antes del consentimiento | hallazgo | un programa | bajo | — | 730de 8.501 webs | 21 de 21 · 100 % | 11 nov |
legal.normativa-derogadaUn texto legal del propio sitio (aviso legal, privacidad, cookies) aplica como vigente una norma derogada. | Requisitos legales | hallazgo | un programa | bajo | Ley 30/1992 | 721de 8.501 webs | 60 de 62 · 97 % | 6 nov |
accesibilidad.zoom<meta name="viewport"> con user-scalable=no o maximum-scale=1: pide al navegador que no deje ampliar. | Accesibilidad | hallazgo | un programa | medio | — | 671de 8.501 webs | 30 de 30 · 100 % | 3 nov |
accesibilidad.captcha-imagenUn formulario con un campo para escribir pide transcribir una imagen de captcha, sin contar el reto de un antibots (WCAG 1.1.1). | Accesibilidad | hallazgo | un programa | medio · bajo | — | 664de 8.501 webs | 19 de 19 · 100 % | 3 nov |
transporte.mixto-activoUna página https pide por http un script, una hoja de estilos, un marco o un objeto incrustado. | Transporte y cabeceras | hallazgo | un programa | bajo | W3C Mixed Content | 603de 8.501 webs | 16 de 16 · 100 % | 9 nov |
accesibilidad.idioma<html> sin lang (WCAG 3.1.1). | Accesibilidad | hallazgo | un programa | bajo | — | 578de 8.501 webs | 41 de 41 · 100 % | 3 nov |
seguridad.security-txtSecurity_txt, de la portada servida por este mismo nombre (con www o sin él). | Transporte y cabeceras | práctica | un programa | sin severidad | RFC 9116 | 556de 8.501 webs | sin lectura | — |
higiene.copyrightEl año del pie de la portada (© o «copyright», en el último 40 % del texto o dentro de <footer>) tiene 3 años o más. | Higiene y mantenimiento | práctica | un programa | sin severidad | — | 543de 8.501 webs | 8 de 8 · muestra pequeña | 3 nov |
obsoleto.calendarioUn componente anunciado por rama. | Higiene y mantenimiento | práctica | un programa | sin severidad | — | 531de 8.501 webs | 60 de 61 · 98 % | 6 nov |
transporte.certificadoEl intento https falló al validar el certificado. | Transporte y cabeceras | hallazgo | un programa | alto · medio · bajo | Ley 40/2015, art. 38.6 | 501de 8.501 webs | 8 de 8 · muestra pequeña | 5 nov |
errores.enlace-a-servicio-cerradoEnlace, script o marco a un servicio retirado, de una lista escrita en el programa, cada uno con su fecha y su fuente. | Higiene y mantenimiento | hallazgo | un programa | bajo | — | 430de 8.501 webs | 8 de 8 · muestra pequeña | 3 nov |
errores.enlaces-rotosDe los enlaces internos (<a href>, <area href>) de las páginas que dieron 2xx, cuántos acaban en 404. | Errores a la vista | hallazgo | un programa | medio · bajo | — | 390de 8.501 webs | 8 de 8 · muestra pequeña | 5 nov |
lenguas.lang-falso<html lang> dice una lengua y el texto, decidido por bloques, está en otra, entre castellano, catalán, gallego, euskera y occitano. | Lenguas | hallazgo | un programa | bajo | — | 355de 8.501 webs | 8 de 8 · muestra pequeña | antes de la base |
tiempo.sin-soporteUn componente con su rama sin soporte según endoflife.date a la fecha de la captura. | Tiempo | hallazgo | un programa | medio · bajo | — | 330de 8.501 webs | 60 de 60 · 100 % | 6 nov |
accesibilidad.idioma-falso<html lang> dice una lengua y el texto visible está en otra. | Accesibilidad | hallazgo | un programa | bajo | — | 314de 8.501 webs | 12 de 12 · 100 % | 3 nov |
transporte.caducaA la fecha de la captura, el certificado válido caduca antes de un 15 % de su vida, con un máximo de 30 días. | Transporte y cabeceras | hallazgo | un programa | medio · bajo | — | 276de 8.501 webs | 10 de 10 · 100 % | 4 nov |
accesibilidad.tituloPágina sin <title> o con él vacío (WCAG 2.4.2). | Accesibilidad | hallazgo | un programa | bajo | WCAG 2.4 | 264de 8.501 webs | 38 de 38 · 100 % | 3 nov |
errores.texto-rotoMojibake en una página, leída con la codificación que declara el servidor, como el navegador: ó, ñ, “, �, o el rombo de sustitución. | Errores a la vista | hallazgo | un programa | bajo | — | 230de 8.501 webs | 4 de 4 · muestra pequeña | 3 nov |
accesibilidad.foco· en N de M páginas pintadas, elementos que reciben el foco con el tabulador. | Accesibilidad | hallazgo | un navegador | bajo | WCAG 2.1 2.4.7 | 225de 8.501 webs | 27 de 30 · 90 % | 9 nov |
suministro.host-no-resuelveEl dominio existe, pero el nombre concreto del servidor no resuelve: el script no carga. | Cadena de suministro | hallazgo | un programa | bajo | — | 225de 8.501 webs | 8 de 8 · muestra pequeña | 5 nov |
tramites.movilEl 80 % o más de las páginas de una sede o portal. | Trámites y contratación | hallazgo | un programa | medio · bajo | — | 218de 8.501 webs | 8 de 8 · muestra pequeña | antes de la base |
legal.aviso-legalNingún enlace que diga aviso legal, nota legal, condiciones, términos o jurídico: se acepta de más a propósito. | Requisitos legales | hallazgo | un programa | bajo | — | 200de 8.501 webs | 13 de 15 · 87 % | 12 nov |
legacy.charsetLa portada declara una codificación que no es UTF-8, en la cabecera o en un <meta>. | Higiene y mantenimiento | hallazgo | un programa | bajo | — | 170de 8.501 webs | 55 de 58 · 95 % | 6 nov |
higiene.sin-sitemapSe pidieron las rutas estándar y lo que declara robots.txt, y contestaron 404. | Higiene y mantenimiento | práctica | un programa | sin severidad | — | 169de 8.501 webs | sin lectura | — |
legal.ens-conformidadNinguna declaración, certificación ni distintivo de conformidad con el ENS. | Requisitos legales | hallazgo | un programa | bajo | ENS | 156de 8.501 webs | 6 de 6 · muestra pequeña | 4 nov |
datos.formatoLas páginas de presupuestos o de contratos menores de la web enlazan N documentos del tema, todos PDF. | Datos abiertos | hallazgo | un programa | bajo | Ley 19/2013 art. 5.4 | 154de 8.501 webs | 8 de 8 · muestra pequeña | 3 nov |
legal.cookiesNingún enlace a una política de cookies en un host donde la regla de privacidad vio analítica o publicidad. | Requisitos legales | hallazgo | un programa | medio | LSSI, art. 22.2 | 145de 8.501 webs | 6 de 6 · muestra pequeña | 5 nov |
legal.inventario-tratamientosNinguna mención del registro o inventario de actividades de tratamiento. | Requisitos legales | hallazgo | un programa | medio · bajo | LOPDGDD | 137de 8.501 webs | 3 de 3 · muestra pequeña | 4 nov |
obsoleto.wordpress(umbral propio: rama SUPERADA hace más de dos años; endoflife.date da como fin de cada rama el día que sale la siguiente, pero el equipo de seguridad de WordPress sigue parcheando ramas viejas, así que «una por detrás» no es «sin soporte») la versión de WordPress que dicen los recursos del núcleo (?ver= de los CSS de wp-includes y de comment-reply, wp-embed, wp-emoji y wp-util), la más vieja de cada host, contra endoflife.date. | Software obsoleto | hallazgo | un programa | medio | — | 126de 8.501 webs | 10 de 10 · 100 % | 2 nov |
errores.plantilla-por-defectoEn la portada o en una página enlazada desde ella. | Errores a la vista | hallazgo | un programa | medio · bajo | — | 119de 8.501 webs | 3 de 3 · muestra pequeña | 3 nov |
datos.catalogo-nacionalCuántos conjuntos publica el organismo en el catálogo nacional de datos y de cuándo es el último. | Datos abiertos | hallazgo | un programa | bajo | — | 114de 8.501 webs | 4 de 4 · muestra pequeña | 3 nov |
higiene.cerrada-a-buscadoresRobots.txt cierra todo a cualquier robot. | Higiene y mantenimiento | hallazgo | un programa | medio · bajo | — | 95de 8.501 webs | 7 de 7 · muestra pequeña | 5 nov |
formulario.a-terceroLa acción envía los datos a un dominio distinto del del organismo (Google Forms, un CRM, un formulario externo). | Formularios | hallazgo | un programa | alto · medio · bajo | — | 83de 8.501 webs | 55 de 55 · 100 % | 3 nov |
exposicion.ip-internaUna dirección de red privada (10/8, 172.16/12, 192.168/16) en una página o en un script propio. | Plano de dentro a la vista | hallazgo | un programa | medio · bajo | — | 76de 8.501 webs | 55 de 56 · 98 % | 3 nov |
correo.spf-rotode su familia: Con la fotografía del DNS, además: DMARC sin informes, MTA-STS, TLS-RPT y SPF roto. | Correo suplantable | hallazgo | un programa | medio · bajo | RFC 7208 | 75de 7.274 dominios · correo | 8 de 8 · muestra pequeña | 3 nov |
legal.dpdNingún contacto del delegado de protección de datos: correo, o una mención con un contacto cerca. | Requisitos legales | hallazgo | un programa | medio · bajo | RGPD art. 37 | 72de 8.501 webs | 1 de 1 · muestra pequeña | 4 nov |
portada.ajenaSu portada anuncia apuestas, porno u otro negocio ajeno, según su título. medio. | La dirección sirve hoy otra cosa | hallazgo | un programa | medio | — | 67de 8.164 portadas leídas | 1 de 1 · muestra pequeña | 5 nov |
portada.por-defectoLa página por defecto del servidor: nadie ha puesto nada. | La dirección sirve hoy otra cosa | hallazgo | un programa | bajo | — | 64de 8.164 portadas leídas | 8 de 8 · muestra pequeña | 5 nov |
transporte.http-no-redirigeHttp_a_https: portada servida por https y, por http, 2xx sin redirección HTTP ni meta refresh a https. | Transporte y cabeceras | hallazgo | un programa | medio | — | 62de 8.501 webs | sin lectura | — |
formulario.https-a-httpLa página va por https y el formulario envía a http: el navegador actual suele bloquearlo, pero declara la intención. | Formularios | hallazgo | un programa | medio | — | 59de 8.501 webs | 47 de 47 · 100 % | 3 nov |
transporte.sin-httpsEl intento https falló. | Transporte y cabeceras | hallazgo | un programa | medio | — | 59de 8.501 webs | 4 de 4 · muestra pequeña | 5 nov |
portada.en-ventaEl dominio está en venta, reservado, cerrado o en obras. | La dirección sirve hoy otra cosa | hallazgo | un programa | bajo | — | 53de 8.164 portadas leídas | sin lectura | — |
legacy.pide-complementoPide-java, pide-activex: el TEXTO visible de la página habla de la máquina virtual de Java, un applet. | Código legacy | hallazgo | un programa | medio · bajo | — | 45de 8.501 webs | 18 de 19 · 95 % | 3 nov |
transporte.cifrado-debilEn TLS 1.2, el cifrado elegido no tiene secreto hacia adelante. | Transporte y cabeceras | práctica | un programa | sin severidad | — | 44de 8.501 webs | 16 de 16 · 100 % | 9 nov |
formulario.clave-sin-cifrarUn campo de contraseña y la acción va por http:// — la credencial viaja sin cifrar. | Formularios | hallazgo | un programa | alto | — | 41de 8.501 webs | 29 de 29 · 100 % | 3 nov |
errores.traza-servidorUna página con una traza o un error de la aplicación a la vista. | Errores a la vista | hallazgo | un programa | medio | — | 39de 8.501 webs | 2 de 2 · muestra pequeña | 3 nov |
transporte.sin-https-redirigeEl intento https falló igual, pero por http solo contesta una redirección y la portada acaba en https. | Transporte y cabeceras | hallazgo | un programa | bajo | — | 38de 8.501 webs | 8 de 8 · muestra pequeña | 5 nov |
tiempo.componente-viejoUna versión de 10 años o más sin vulnerabilidades conocidas ni fin de soporte: lo que obsoleto no puede señalar. | Tiempo | práctica | un programa | sin severidad | — | 33de 8.501 webs | 8 de 8 · muestra pequeña | 5 nov |
contratacion.fuera-de-plataformaObjeto «estatal-sin-enlace»: un organismo estatal cuya web principal. | Trámites y contratación | hallazgo | un programa | bajo | LCSP art. 347 | 29de 8.501 webs | 3 de 3 · muestra pequeña | 3 nov |
privacidad.publicidadde su familia: Analítica, publicidad y otros recursos de terceros que el HTML carga sin esperar a que el visitante acepte. | Privacidad antes del consentimiento | hallazgo | un programa | medio | — | 27de 8.501 webs | 1 de 1 · muestra pequeña | 11 nov |
integridad.contenido-ajenoLO QUE DESCRIBE LA PÁGINA (dirección, <title>, descripción, datos estructurados) con fórmulas de venta. | Contenido ajeno | hallazgo | un programa | medio | — | 18de 8.501 webs | 7 de 7 · muestra pequeña | 5 nov |
transporte.https-a-httpPedida por https, la portada acaba en una dirección http. | Transporte y cabeceras | hallazgo | un programa | alto · medio | — | 15de 8.501 webs | 5 de 5 · muestra pequeña | 5 nov |
integridad.enlace-ajenoUn enlace visible a otro dominio cuyo nombre o texto lleva esas fórmulas. | Contenido ajeno | hallazgo | un programa | medio | — | 14de 8.501 webs | 5 de 5 · muestra pequeña | 5 nov |
transparencia.sin-fechaEn el texto de toda la página, también en sus menús, no hay ningún año ni fecha. | Portales de transparencia | hallazgo | un modelo | bajo | — | 12de 8.501 webs | 12 de 12 · 100 % | 5 nov |
exposicion.maquina-localEn el HTML vivo, una imagen, un icono, un recurso o un enlace que apunta a localhost o a un .local. | Plano de dentro a la vista | hallazgo | un programa | bajo | — | 10de 8.501 webs | 6 de 6 · muestra pequeña | 3 nov |
transparencia.fecha-declaradaLa fecha que la página declara, si declara una sola. | Portales de transparencia | hallazgo | un modelo | bajo | — | 10de 8.501 webs | 10 de 10 · 100 % | 4 nov |
accesibilidad.declaracion-en-todasHay enlace a la declaración en alguna página. | Requisitos legales | hallazgo | un programa | bajo | — | 9de 8.501 webs | 6 de 6 · muestra pequeña | 4 nov |
coherencia.cms-desigualEl mismo gestor de contenidos. | Coherencia entre sitios | práctica | un programa | sin severidad | — | 8de 8.501 webs | 9 de 9 · muestra pequeña | 9 nov |
exposicion.listado-directorioUna página con <title>Index of /…: el servidor enseña el contenido de una carpeta. | Plano de dentro a la vista | hallazgo | un programa | medio · bajo | — | 7de 8.501 webs | 2 de 2 · muestra pequeña | 3 nov |
legacy.jnlpLa página lleva a un .jnlp (Java Web Start): un enlace, un <meta refresh> o una llamada en un script vivo. | Higiene y mantenimiento | hallazgo | un programa | medio · bajo | — | 7de 8.501 webs | 7 de 7 · muestra pequeña | 5 nov |
portada.reutilizadaREUTILIZADA (9-nov, PERÍMETRO) · el dominio de un ayuntamiento lo usa otro: su web principal. | La dirección sirve hoy otra cosa | hallazgo | un programa | medio | — | 7de 8.164 portadas leídas | sin lectura | — |
tramites.ejecutableUna página enlaza un programa para instalar (.exe, .msi, .jar, .jnlp, .apk, .dmg, .deb, .rpm, .cab, .air, .appx, .msix). | Trámites y contratación | hallazgo | un programa | medio · bajo | RD 4/2010 | 7de 8.501 webs | 5 de 5 · muestra pequeña | 4 nov |
errores.variable-sin-sustituirEn <title> o <h1>: {{x}}, ${x}, %%x%%, [object Object], <?php, o un tramo que es solo «undefined», «null» o «NaN». | Errores a la vista | hallazgo | un programa | bajo | — | 6de 8.501 webs | 3 de 3 · muestra pequeña | 5 nov |
transparencia.frescura.cuentas_anualesTransparencia.frescura.<apartado> el último ejercicio escrito para ese apartado en esta página. | Portales de transparencia | hallazgo | un modelo | bajo | — | 6de 8.501 webs | 6 de 6 · muestra pequeña | 4 nov |
datos.portalMedido en todos los organismos y publicado solo para un órgano de la AGE con la captura completa. | Datos abiertos | hallazgo | un programa | bajo | — | 5de 8.501 webs | 9 de 9 · muestra pequeña | 5 nov |
formulario.dni-por-getUn campo para escribir llamado dni, nif o nie, con method="get": el dato queda en la dirección, en el historial y en los registros del servidor. | Formularios | hallazgo | un programa | medio | — | 5de 8.501 webs | 4 de 4 · muestra pequeña | 3 nov |
tramites.requisito-tecnicoPide instalar algo o un navegador concreto. | Trámites y contratación | hallazgo | un modelo | bajo | — | 5de 8.501 webs | 7 de 7 · muestra pequeña | 5 nov |
exposicion.ruta-internaUna ruta de disco del servidor: /var/www/…, /opt/tomcat…, /usr/local/…, /home/x/public_html/…. | Plano de dentro a la vista | hallazgo | un programa | medio · bajo | — | 4de 8.501 webs | 6 de 7 · muestra pequeña | 3 nov |
formulario.clave-por-getContraseña con method="get" declarado, o sin method y sin nada que lo envíe de otra forma. | Formularios | hallazgo | un programa | alto | — | 4de 8.501 webs | 1 de 1 · muestra pequeña | 3 nov |
suministro.cdn-comprometidoLa página pide un script de un CDN que se sabe comprometido. | Cadena de suministro | hallazgo | un programa | alto | — | 4de 8.501 webs | 5 de 5 · muestra pequeña | 5 nov |
sede.dias-inhabilesNo enlaza el calendario de días inhábiles, ni ningún calendario. | Requisitos legales | hallazgo | un programa | bajo | — | 2de 8.501 webs | 3 de 3 · muestra pequeña | 4 nov |
sede.hora-del-navegadorLa página pinta como hora oficial lo que da new Date() sin argumento: la hora del ordenador de quien la mira. | Sede electrónica | hallazgo | un programa | medio | — | 2de 8.501 webs | 3 de 3 · muestra pequeña | 5 nov |
transporte.renegociacionEl intento https falló con «unsafe legacy renegotiation disabled»: el servidor no anuncia la renegociación segura (RFC 5746). | Transporte y cabeceras | hallazgo | un programa | bajo | RFC 5746 | 2de 8.501 webs | 6 de 6 · muestra pequeña | 5 nov |
transporte.tls-antiguoEl intento https falló con «unsupported protocol»: el servidor no ofrece nada por encima de TLS 1.1, que los navegadores rechazan desde 2020. | Transporte y cabeceras | hallazgo | un programa | medio | — | 2de 8.501 webs | 3 de 3 · muestra pequeña | 5 nov |
coherencia.dmarc-desigualEste dominio del organismo no rechaza el correo que se hace pasar por él. | Coherencia entre sitios | práctica | un programa | sin severidad | — | 1de 8.501 webs | 2 de 2 · muestra pequeña | 9 nov |
errores.phpinfoUna página servida que ES la salida de phpinfo(): su título. | Errores a la vista | hallazgo | un programa | medio | — | 1de 8.501 webs | 1 de 1 · muestra pequeña | 5 nov |
formulario.campo-cortoUn campo de DNI, IBAN, teléfono o código postal cuyo maxlength no deja escribir el dato entero (detectores_extra.py). | Formularios | hallazgo | un programa | medio | — | 1de 8.501 webs | 1 de 1 · muestra pequeña | 5 nov |
lectura.tramitede su familia: Qué expone, quién lo ve, qué decide, de dónde sale el dato. | Lectura del código | hallazgo | un modelo | bajo | — | 1de 8.501 webs | 1 de 1 · muestra pequeña | 5 nov |
Dominios: en cuántas webs con datos sale hoy la regla (de 8.501); las de la portada, en cuántas webs con la portada leída (de 8.164); las del DNS y el correo, en cuántos dominios de organismo con el DNS medido (de 8.405) o con el correo medido (de 7.274). Acierto a ciegas: las ciertas de las decididas, con su intervalo de Wilson al 95 %; la marca es el listón del 90 %. Con menos de 10 decididas, muestra pequeña y sin porcentaje. Norma: la que cita la entrada de la regla en su script; las que solo cita la ficha de su familia van en la ficha de la regla. Leída: la fecha de su última lectura a ciegas.
§ 1Cuánto acierta cada regla en uso
Cuánto acierta cada regla en uso49 con muestra suficiente, una por punto lleno · leídas del 2 de noviembre de 2026 al 12 de noviembre de 2026
- 49 reglas en uso con 10 o más casos decididos: 48 en el listón del 90 % o por encima, 1 por debajo
- 64 con muestra pequeña, menos de 10, sin porcentaje
- 5 aún sin leer