O que pode uma máquina verificar nos sites do setor público espanhol?

Algumas obrigações e boas práticas dos sites públicos deixam um rasto que um programa consegue verificar sem margem de interpretação: um ficheiro security.txt (RFC 9116), uma declaração de acessibilidade com ligação a partir do site e «actualizada periódicamente, como mínimo una vez al año» (Real Decreto 1112/2018, art. 15.1), HTTPS com HSTS e uma política declarada em relação aos rastreadores de IA. Verificámo-las nos sites de 6648 dos 8132 municípios de Espanha (81,8% dos municípios, 98,9% da população) e nos dos 19 governos regionais, 52 conselhos provinciais e insulares, 50 universidades públicas e 22 ministérios. De 6730 entidades cuja página inicial conseguimos medir, 5245 (77,9%) devolveram a sua própria página inicial; 179 URL municipais levavam a algo que não é o site do município (domínios sequestrados ou estacionados, painéis de alojamento). Das 5245, 5130 (97,8%) serviram a página inicial por HTTPS quando tal lhes foi pedido, mas 1688 dessas 5130 (32,9%) enviam HSTS. **De 5570 entidades cujo servidor respondeu a /.well-known/security.txt, 12 servem um ficheiro, 8 com os campos obrigatórios e 4 estritamente válidos segundo o RFC 9116, enquanto 329 (5,9%) respondem a esse caminho com HTTP 200 e outra coisa. 2492 de 5245 páginas iniciais (47,5%) têm uma ligação para a declaração de acessibilidade que o nosso detetor consegue ver; de 1247 declarações lidas com um extrator de datas auditado, 908 (72,8%) indicam uma data de elaboração ou de revisão e 160 (12,8%) indicam uma dos últimos 365 dias**. A monitorização oficial em Espanha já verifica, através de peritos e numa amostra de cerca de 63 sites por ano, se é disponibilizada uma declaração e o que esta diz; não indica se as páginas iniciais têm ligação para ela nem qual a antiguidade da sua data, que é o que este censo acrescenta. As seis datas mais frequentes ocorrem, cada uma, numa única província e abrangem 479 das 908 declarações datadas (52,8%), o que aponta para declarações produzidas em bloco para muitos municípios de uma só vez; não identificámos por quem. 326 de 6012 entidades (5,4%) bloqueiam pelo menos um de GPTBot, ClaudeBot, Google-Extended ou CCBot, concentradas em poucas regiões; um llms.txt com o formato da especificação aparece em 7 de 1020 sites de uma subamostra aleatória (0,7%). Não existe uma lista oficial nacional de sites municipais; os URL provêm do Wikidata e de um diretório regional, e os municípios pequenos têm menor cobertura (3612 dos 4980 com menos de 1000 habitantes, 72,5%, têm um URL conhecido). Uma primeira versão do nosso scanner descarregou a página inicial de 123 entidades, e o security.txt, o llms.txt ou a declaração de outras 722, embora o seu robots.txt não o permitisse; esses registos foram apagados, sem serem utilizados, e as 123 são reportadas como não mensuráveis. Publicamos a tabela por entidade, os registos de análise depurados, o scanner e o método, e propomos uma ferramenta gratuita, gov-web-lint, que qualquer administração poderia executar no seu próprio site.