¿Qué puede verificar una máquina en las webs del sector público español?

Algunas obligaciones y buenas prácticas de las webs públicas dejan un rastro que un programa puede comprobar sin margen de interpretación: un fichero security.txt (RFC 9116), una declaración de accesibilidad enlazada desde el sitio y «actualizada periódicamente, como mínimo una vez al año» (Real Decreto 1112/2018, art. 15.1), HTTPS con HSTS y una política declarada respecto a los rastreadores de IA. Las comprobamos en las webs de 6648 de los 8132 municipios de España (el 81,8 % de los municipios y el 98,9 % de la población) y en los 19 gobiernos autonómicos, las 52 diputaciones provinciales, cabildos y consejos insulares, las 50 universidades públicas y los 22 ministerios. De 6730 entidades cuya página de inicio pudimos medir, 5245 (77,9 %) devolvieron su propia página de inicio; 179 URL municipales llevaban a algo que no es la web del ayuntamiento (dominios secuestrados o aparcados, paneles de alojamiento). De las 5245, 5130 (97,8 %) sirvieron la página de inicio por HTTPS cuando se les pidió, pero 1688 de esas 5130 (32,9 %) envían HSTS. **De 5570 entidades cuyo servidor respondió a /.well-known/security.txt, 12 sirven un fichero, 8 con sus campos obligatorios y 4 estrictamente válidos según el RFC 9116, mientras que 329 (5,9 %) responden a esa ruta con HTTP 200 y otro contenido. 2492 de 5245 páginas de inicio (47,5 %) llevan un enlace a la declaración de accesibilidad que nuestro detector puede ver; de 1247 declaraciones leídas con un extractor de fechas auditado, 908 (72,8 %) muestran una fecha de elaboración o de revisión y 160 (12,8 %) muestran una de los últimos 365 días**. El seguimiento oficial en España ya comprueba, mediante expertos y sobre una muestra de unas 63 webs al año, si se ofrece una declaración y qué dice; no informa de si las páginas de inicio la enlazan ni de la antigüedad de su fecha, que es lo que añade este censo. Las seis fechas más frecuentes aparecen cada una en una sola provincia y abarcan 479 de las 908 declaraciones fechadas (52,8 %), lo que apunta a declaraciones producidas en bloque para muchos municipios a la vez; no identificamos por quién. 326 de 6012 entidades (5,4 %) bloquean al menos uno de GPTBot, ClaudeBot, Google-Extended o CCBot, concentradas en unas pocas comunidades autónomas; un llms.txt con el formato de la especificación aparece en 7 de 1020 sitios de una submuestra aleatoria (0,7 %). No existe una lista oficial nacional de webs municipales; las URL proceden de Wikidata y de un directorio autonómico, y los municipios pequeños tienen menos cobertura (3612 de los 4980 de menos de 1000 habitantes, el 72,5 %, tienen una URL conocida). Una primera versión de nuestro escáner descargó la página de inicio de 123 entidades, y el security.txt, el llms.txt o la declaración de otras 722, aunque su robots.txt no lo permitía; esos registros se borraron, no se usaron, y las 123 figuran como no medibles. Publicamos la tabla por entidad, los registros de escaneo depurados, el escáner y el método, y proponemos una herramienta gratuita, gov-web-lint, que cualquier administración podría ejecutar en su propio sitio.