Què pot verificar una màquina als llocs web del sector públic espanyol?

Algunes obligacions i bones pràctiques dels llocs web públics deixen un rastre que un programa pot comprovar sense marge d'interpretació: un fitxer security.txt (RFC 9116), una declaració d'accessibilitat enllaçada des del lloc web i «actualizada periódicamente, como mínimo una vez al año» (Reial decret 1112/2018, art. 15.1), HTTPS amb HSTS i una política declarada respecte als rastrejadors d'IA. Les vam comprovar als llocs web de 6.648 dels 8.132 municipis d'Espanya (el 81,8 % dels municipis i el 98,9 % de la població) i als dels 19 governs autonòmics, les 52 diputacions provincials, cabildos i consells insulars, les 50 universitats públiques i els 22 ministeris. De 6.730 entitats la pàgina d'inici de les quals vam poder mesurar, 5.245 (77,9 %) van retornar la seva pròpia pàgina d'inici; 179 URL municipals portaven a una cosa que no és el lloc web de l'ajuntament (dominis segrestats o aparcats, panells d'allotjament). De les 5.245, 5.130 (97,8 %) van servir la pàgina d'inici per HTTPS quan se'ls va demanar, però 1.688 d'aquestes 5.130 (32,9 %) envien HSTS. **De 5.570 entitats el servidor de les quals va respondre per a /.well-known/security.txt, 12 serveixen un fitxer, 8 amb els camps obligatoris i 4 estrictament vàlids segons l'RFC 9116, mentre que 329 (5,9 %) responen a aquesta ruta amb HTTP 200 i una altra cosa. 2.492 de 5.245 pàgines d'inici (47,5 %) porten un enllaç a la declaració d'accessibilitat que el nostre detector pot veure; de 1.247 declaracions llegides amb un extractor de dates auditat, 908 (72,8 %) mostren una data d'elaboració o de revisió i 160 (12,8 %) en mostren una dels últims 365 dies**. El seguiment oficial a Espanya ja comprova, mitjançant experts i sobre una mostra d'uns 63 llocs web l'any, si s'ofereix una declaració i què diu; no informa de si les pàgines d'inici l'enllacen ni de l'antiguitat de la seva data, que és el que aporta aquest cens. Les sis dates més freqüents apareixen cadascuna en una sola província i abasten 479 de les 908 declaracions datades (52,8 %), cosa que apunta a declaracions produïdes en bloc per a molts municipis alhora; no vam identificar per qui. 326 de 6.012 entitats (5,4 %) bloquegen almenys un de GPTBot, ClaudeBot, Google-Extended o CCBot, concentrades en unes poques comunitats autònomes; un llms.txt amb el format de l'especificació apareix en 7 de 1.020 llocs web d'una submostra aleatòria (0,7 %). No hi ha cap llista oficial d'àmbit estatal de llocs web municipals; els URL provenen de Wikidata i d'un directori autonòmic, i els municipis petits tenen menys cobertura (3.612 dels 4.980 de menys de 1.000 habitants, el 72,5 %, tenen un URL conegut). Una primera versió del nostre escàner va descarregar la pàgina d'inici de 123 entitats, i el security.txt, el llms.txt o la declaració d'altres 722, tot i que el seu robots.txt no ho permetia; aquests registres es van esborrar, no es van fer servir, i les 123 consten com a no mesurables. Publiquem la taula per entitat, els registres d'escaneig depurats, l'escàner i el mètode, i proposem una eina gratuïta, gov-web-lint, que qualsevol administració podria executar al seu propi lloc web.