¿Qué tan seguros son los sitios web de las oficinas de impuestos? Revisamos 13,481.

Read in English

Por Second Pass Claims. Escaneo realizado el 28 de octubre de 2026.

Cerca de 1 de cada 30 sitios web de oficinas de impuestos que revisamos tiene un formulario que puede enviar lo que escribe el visitante sin cifrar. Son 458 de 13,481 sitios, o 3.4%. En 204 de ellos (1.5%), la dirección del propio formulario empieza con http://, así que al navegador se le indica que envíe los datos sin protección.

Los otros 254 tienen un formulario en una página servida por http simple, y 125 de ellos también ofrecen https que funciona. En 97 de los 204, la página de inicio cargó por https con un certificado válido. El visitante ve el candado, pero un formulario de la página sigue apuntando a una dirección sin cifrar. No enviamos nada. Leímos el código de la página que cualquier navegador descarga.

Qué más vimos

Los certificados son lo más fácil de arreglar. Cerca de 1 de cada 16 sitios no tenía https que funcionara, o tenía un certificado que nuestro verificador no pudo validar (algunos quizá abran bien en un navegador), y otros 44 tenían menos de 10 días restantes. Muchos ya se habrán renovado desde el 28 de octubre.

La mitad de los sitios envía el encabezado HSTS, que le dice a los navegadores que usen siempre https. Que falte es común incluso en sitios bien manejados, y es algo pendiente de reforzar, no una violación de seguridad. De igual modo, 7,197 sitios anuncian su software, y 230 (1.7% de todos los sitios) anuncian una versión de hace más de dos años o que ya no recibe soporte. Esa etiqueta es lo que el sitio dice de sí mismo. No demuestra que el sitio sea vulnerable.

En total, 1,911 sitios (14.2%) activaron una alerta que no fue un certificado dentro de su plazo normal de renovación. Las diferencias entre regiones fueron pequeñas. En las áreas metropolitanas con 100 o más sitios alcanzables, el porcentaje de formularios fue de 1.2% a 5.8%, pero con unos cientos de sitios por ciudad esa diferencia es en su mayor parte ruido, así que no clasificamos las ciudades.

Qué significa esto para su oficina

El sitio web es una parte pequeña de lo que cubre la ley. Los preparadores de impuestos remunerados deben tener un plan escrito de seguridad de la información, conocido como WISP. La Regla de Salvaguardas de la FTC (16 CFR Parte 314) establece el requisito, y la Publicación 5708 del IRS es el plan de muestra del IRS para preparadores. La solicitud del PTIN (Formulario W-12, línea 11) le pide confirmar que usted lo conoce. Las renovaciones del PTIN para 2027 ya están abiertas, y un preparador remunerado necesita un PTIN válido para 2027 antes de preparar declaraciones. Vea nuestras guías sobre la línea 11 del W-12 y la Regla de Salvaguardas.

Arreglar lo anterior no hace que una oficina cumpla con la ley. Esto es lo que puede hacer con el sitio web:

• Abra la página de contacto de su propio sitio y verifique que la dirección empiece con https y que el navegador no muestre ninguna advertencia.
• Pida a quien hizo el sitio que envíe cada formulario a una dirección https y que redirija a https a los visitantes que entren por http.
• Active la renovación automática del certificado, y ponga un recordatorio en el calendario si su proveedor de hospedaje no puede hacerlo.
• No pida a sus clientes que escriban su número de Seguro Social en un formulario de contacto. Use un portal seguro o una llamada telefónica.

Después, escriba el plan. Cubre cómo protege los datos de sus clientes, quién es responsable y qué hace si algo sale mal. La Publicación 5708 es un punto de partida gratuito.

Cómo lo hicimos

La lista de sitios sale de nuestros propios archivos de sitios web de preparación de impuestos y contabilidad, encontrados con una búsqueda de lugares en 35 áreas metropolitanas de EE. UU. Quitamos las oficinas a las que ya habíamos contactado y los negocios que claramente eran otra cosa, como bienes raíces o despachos de abogados. La corrida completa abarcó 13,771 sitios el 28 de octubre de 2026, y 13,481 de ellos (97.9%) respondieron.

De cada sitio obtuvimos las versiones http y https de la página de inicio, la página de contacto del propio sitio si tenía un enlace a ella, y el archivo público security.txt. Hicimos como máximo una solicitud por segundo a cada sitio, identificamos nuestra herramienta en el agente de usuario, y nunca iniciamos sesión, probamos rutas de administración ni sondeamos un puerto. Un formulario cuenta solo si tiene un campo visible.

Volvimos a calcular los tres números principales de otra manera y coincidieron. El escaneo y este texto se hicieron con herramientas de IA y los revisamos nosotros.

Límites

Esta no es una muestra al azar de todas las oficinas de impuestos de EE. UU. Es cada sitio de nuestra lista, que se inclina hacia las áreas metropolitanas y hacia las oficinas que una búsqueda puede encontrar. Miramos un solo momento desde una sola conexión. Un sitio que nos bloqueó cuenta como inalcanzable. Vimos la página de inicio y una página de contacto, así que no vimos los formularios en otras páginas ni los portales alojados en otros sitios, y un formulario que los scripts reconstruyen después de cargar la página no aparecería. Una acción de formulario con http:// muestra a dónde enviaría los datos un navegador. No demuestra que alguien los haya interceptado. Nada de lo que aquí se presenta demuestra que alguna oficina haya sido hackeada, y no nombramos a ninguna. Esto no es asesoría legal ni de impuestos.