Resumen

  • La investigación difundida por Internet Society Pulse el 10 de septiembre estudia cerca de un millón de URL gubernamentales en 61 países y separa tres capas: alojamiento, DNS autoritativo y autoridades de certificación.
  • Cuando el reparto de proveedores públicos se parece al mercado comercial local, los autores lo llaman consolidación estructural; cuando se aparta de forma significativa, estratégica. Esa segunda clase apunta a decisiones institucionales, pero no observa directamente una contratación.
  • Las administraciones estratégicamente consolidadas aparecen a menudo más localizadas y con menor latencia de alojamiento. Aun así, el estudio no encuentra una redundancia significativa de proveedores en ninguno de los dos grupos.
  • Un recibo de dependencia y decisión debe relacionar cada medición con la autoridad responsable, las opciones disponibles, el beneficio aceptado, el dominio de fallo, la portabilidad, el último ensayo de salida y la fecha de revisión.

La infraestructura deja huellas; la autoridad deja documentos

Millones de ciudadanos acceden a impuestos, prestaciones, licencias y salud mediante un nombre de dominio público. Detrás de esa dirección trabajan proveedores distintos: uno puede alojar el contenido, otro responder por el DNS y un tercero participar en la cadena de confianza del certificado. Si muchos servicios comparten el mismo proveedor o plano de control, un incidente puede superar los límites de una web concreta.

El artículo publicado en Internet Society Pulse presenta un trabajo de Rashna Kumar, Fabián E. Bustamante, Marinho Barcellos y Amreesh Phokeer. El conjunto abarca 61 países, más del 82 % de la población mundial de Internet y aproximadamente un millón de URL gubernamentales. Pulse identifica a Kumar como autora invitada y advierte que sus opiniones no representan necesariamente a Internet Society.

La comparación intenta conservar el contexto nacional. En vez de medir a los gobiernos contra una lista única, los autores toman sitios comerciales del mismo país y los dividen en tres tramos de popularidad. La presentación metodológica explica que los dominios públicos proceden de fuentes oficiales. La recopilación usa conexiones VPN locales para observar recursos de la página de entrada y sus organizaciones de alojamiento, servidores autoritativos y autoridades certificadoras del intercambio TLS.

Las páginas comerciales proceden de CrUX. Se eligen mil dominios de cada franja —alta, media y baja— mediante un muestreo sistemático. Después se calcula el índice Herfindahl-Hirschman y se repite el muestreo 5.000 veces para obtener una distribución de la diferencia entre el HHI comercial y el gubernamental.

Es una vista valiosa de lo desplegado. Un contrato marco puede incluir diez proveedores y, sin embargo, la ejecución real puede acumularse en uno. También puede ocurrir que una marca visible no controle todas las capas. La medición encuentra dependencias que el organigrama de compras no necesariamente muestra.

Sin embargo, una huella de red no contiene la decisión administrativa. No identifica al órgano comprador, la fecha del análisis, los requisitos de seguridad, la excepción de residencia, el presupuesto ni el acta que descartó una alternativa. Tampoco sabe si otro proveedor ofrecía una función equivalente en ese momento. El límite no invalida el estudio; define la tarea siguiente.

Una diferencia significativa no equivale a intención demostrada

Los investigadores llaman estructural a la concentración que se parece al ecosistema comercial del país. Si todo el mercado local es estrecho, el Estado puede tener poco margen inmediato y necesitar políticas de capacidad o competencia, no solo otro pliego.

La categoría estratégica aparece cuando la distribución gubernamental difiere significativamente de la comercial. El texto de Pulse dice que el patrón sugiere que las normas de contratación, las plataformas autorizadas, los requisitos de cumplimiento u otras decisiones de gobernanza pueden estar influyendo. Conviene mantener la prudencia de esa frase. El resultado estadístico justifica una hipótesis institucional; no prueba una estrategia consciente ni un comportamiento ilícito.

Australia y Vietnam ilustran la clase estructural. India aparece como ejemplo estratégico en alojamiento y DNS: según la presentación, más del 85 % de los sitios gubernamentales observados dependen del National Informatics Centre. En los certificados, la distribución es distinta y eMudhra aporta el 17 % de las cadenas públicas observadas. También se muestran patrones estratégicos en Kazajistán y Argelia.

Las cifras no califican la legalidad o la calidad de esas decisiones. Una administración puede centralizar por seguridad, capacidades internas, rapidez o interoperabilidad. Otra puede heredar una dependencia sin haberla revisado durante años. Para distinguirlas hace falta un documento que la observación externa no puede fabricar.

La capa de certificados revela además que no toda concentración significa lo mismo. El Web PKI parte de un número limitado de emisores aceptados por los navegadores. La concentración en CA tiene una estructura distinta a la del alojamiento. Agrupar las tres capas en una sola nota de soberanía borraría las decisiones que el estudio intenta separar.

Tampoco debe convertirse “estructural” en una dispensa. Incluso con pocos proveedores, el sector público decide la duración del contrato, el acoplamiento de sus sistemas, el formato de exportación, la arquitectura DNS, la copia de seguridad y el momento de ensayar la recuperación. Las restricciones del mercado limitan las alternativas, no la responsabilidad.

Más cerca y más rápido no significa que exista un camino alternativo

El trabajo encuentra un resultado que incomoda a los relatos simples. Las administraciones estratégicamente consolidadas tienden a usar infraestructura más localizada y a ofrecer menor latencia. Una versión anterior del documento de SSRN cifra en un 16 % la menor latencia de alojamiento. La estandarización puede aportar rendimiento, conocimiento común y economías operativas.

La redundancia no mejora del mismo modo. Según Pulse, ni el grupo estructural ni el estratégico recurre en general a proveedores independientes que ofrezcan un respaldo significativo. Una plataforma nacional puede ser rápida y seguir constituyendo un punto común de fallo. Dos nubes pueden compartir DNS, identidad, conectividad, personal o herramientas de administración.

El HHI no hace una prueba de conmutación. Describe cómo se reparten las dependencias observadas. No verifica que una copia secundaria esté actualizada, que existan credenciales, que haya capacidad reservada o que una autoridad pueda ordenar el cambio. Una lista plural no demuestra resiliencia. Una lista concentrada tampoco demuestra una mala decisión.

La guía británica Managing technical lock-in in the cloud, actualizada el 3 de septiembre, parte de una posición más práctica: cierto bloqueo técnico es inevitable. Por eso propone vigilar la cartera, calcular tiempo y coste de salida, diseñar contingencias y, cuando resulte útil, reconstruir o probar componentes críticos en otro entorno. Compras, finanzas y tecnología deben compartir la decisión.

El Reglamento de Datos de la Unión Europea convierte parte de esa disciplina en obligaciones escritas para el cambio de servicios de tratamiento: asistencia, continuidad, portabilidad y comunicación de riesgos conocidos. No es una respuesta universal para cada servidor DNS o certificado del estudio. Es una demostración de que la salida necesita un responsable y un texto comprobable.

El recibo de decisión une la métrica con la rendición de cuentas

Para cada servicio material, el recibo comenzaría por la función pública, su criticidad y la autoridad responsable. Mantendría separados alojamiento, DNS autoritativo y confianza del certificado. Junto al proveedor observado incluiría fecha, método, denominador y límites de atribución.

Después identificaría el expediente de contratación o la aprobación arquitectónica vigente. Debería enumerar las alternativas realmente disponibles en la fecha de decisión, las exigencias legales y técnicas, las opciones descartadas y el motivo. Una plataforma aprobada, una emergencia o una excepción de seguridad tendrían autor, plazo y fecha de caducidad.

El documento haría visible el intercambio. ¿Qué se obtuvo a cambio de la concentración: latencia, residencia local, coste, seguridad, integración o capacidad humana? ¿Qué fallo común se aceptó? ¿Qué parte de los datos, configuraciones, identidades y registros puede trasladarse?

Finalmente incorporaría evidencia de salida: tiempo y coste estimados, proveedor de respaldo realmente independiente, fecha y resultado del último ensayo, impedimentos pendientes y próxima revisión. Una etiqueta multicloud sin una conmutación practicada no cerraría la casilla.

Este recibo es un modelo editorial de Daniel Kade. No pertenece al estudio, no es una recomendación de Internet Society y no se presume adoptado por ningún gobierno. Mantiene la atribución correcta: el equipo investigador responde por el método de medición; la administración responde por el porqué y la continuidad de su decisión.

La comparación comercial no es sentencia ni excusa

El mercado comercial sirve como referencia local, no como ideal de política pública. Un comercio electrónico puede priorizar coste y conversión; una administración soporta obligaciones de archivo, accesibilidad, seguridad y continuidad. Divergir del mercado puede ser razonable.

Coincidir con él tampoco elimina el deber público. Si todo un país depende de dos operadores, las autoridades todavía deben evaluar qué ocurre con los pagos, tribunales o emergencias durante una caída. Afirmar que la causa es estructural exige mostrar qué capacidades faltaban y qué barreras impedían otra opción.

El Digital Government Outlook 2026 de la OCDE señala que 27 de 36 países informantes tenían directrices específicas de contratación digital en 2025, mientras solo 20 utilizaban un conjunto más amplio de mecanismos adecuados para la entrega digital. Una norma central aporta coherencia, pero también puede reforzar la estandarización cuando no se acompaña de capacidades y contratos flexibles.

El estudio ofrece una alerta comparativa excepcional. La administración debe aportar la mitad que falta: un rastro de autoridad que permita saber si la dependencia fue necesaria, elegida, revisada y realmente reversible.

Fuentes