Investigación de Spoofhound · 2026-11-08
Estado de DMARC 2026 — Italia
Casi nueve de cada diez dominios italianos pueden ser suplantados por correo.
Spoofhound analizó el web italiano: 36.842 dominios que reciben correo entre los sitios populares del país y los comercios locales cartografiados en las 20 regiones, comprobados con el mismo motor de nuestra comprobación de dominio gratuita.
Compruebe su dominio — gratisLa cifra clave
Casi nueve de cada diez dominios italianos que reciben correo pueden ser suplantados. De 36.842 dominios comprobados, 31.888 (86,6 %) no tienen ninguna política DMARC aplicada: sin registro, solo supervisión o registro defectuoso. Los sistemas de correo receptores nunca reciben la orden de bloquear los falsos enviados en su nombre.
Tres cifras cuentan la historia:
- •El 13,4 % aplica DMARC, entre las cifras más bajas que hemos medido. Está por debajo de Francia (15,7 %) y muy por detrás del Reino Unido (24,5 %). Contando solo empresas, Italia está en el 13,3 %. Consulte cómo se comparan todos los países que hemos medido.
- •Más de la mitad se queda en p=none: el 54,9 %. Es mucho más que en los Países Bajos (42,1 %). Tres de cada cuatro de estos dominios (15.235) ni siquiera piden informes DMARC, así que su registro ni bloquea los falsos ni avisa a nadie de ellos.
- •La brecha de las pequeñas empresas: 9,8 % frente a 43,4 %. Las empresas italianas con una a tres sedes aplican DMARC al 9,8 %, entre las cifras de pequeñas empresas más bajas que hemos medido. Los sitios .it del top 100.000 llegan al 43,4 %.
El dominio italiano medio obtiene 31,1 sobre 100 en la comprobación completa de seguridad del correo, y el 90,5 % tiene al menos un problema que corregir.
DMARC en el web italiano
El 87 % de los dominios italianos que reciben correo está expuesto a la suplantación
31.888 de los 36.842 dominios comprobados no tienen ninguna política DMARC aplicada.
Sin registro DMARC
Solo supervisión (p=none)
Registro defectuoso o duplicado
p=quarantine
p=reject
Rojo: los receptores nunca reciben la orden de bloquear los falsos · Verde: el correo de impostores se pone en cuarentena o se rechaza.
El problema de Italia no son los registros que faltan, sino los que quedan a medias. La mayoría de los dominios italianos publica un registro DMARC, pero más de la mitad lo deja en p=none, y la mayoría de esos no recoge los informes que mostrarían qué corregir. Pasar de p=none a la aplicación exige esos informes: muestran cada servicio que envía correo legítimamente en nombre del dominio. Leerlos y terminar ese trabajo es exactamente lo que hace Spoofhound.
El resto de la cadena
| Comprobación | Hallazgo | Dominios |
|---|---|---|
| SPF | Sin registro: cualquier servidor puede enviar como el dominio | 2.594 (7,0 %) |
| SPF | El registro termina en +all o ?all: publicado, pero autoriza a todos | 1.142 (3,1 %) |
| DKIM de Microsoft 365 | Ambos selectores de firma rotos: el correo saliente puede fallar la autenticación hoy mismo | 53 |
| MTA-STS | Protege el correo entrante contra la interceptación: adoptado (55 de ellos solo en modo de prueba) | 115 (0,3 %) |
| TLS-RPT | Informa de fallos de entrega segura: adoptado | 183 (0,5 %) |
| BIMI | Logotipo verificado en la bandeja: activo | 279 (0,8 %) |
La mayoría de los dominios italianos tiene lo básico: solo el 7,0 % no tiene ningún registro SPF. La brecha está en el último paso. Los estándares más recientes apenas han llegado: menos de 1 de cada 100 dominios usa MTA-STS, TLS-RPT o BIMI.
Pequeñas empresas frente a las más grandes
| Población | Dominios comprobados | Sin registro DMARC | Solo supervisión | Aplicado |
|---|---|---|---|---|
| Empresas italianas con 1–3 sedes (comercios, despachos, oficios) | 26.316 | 32,5 % | 57,2 % | 9,8 % |
| Empresas italianas con 4–9 sedes | 252 | 15,5 % | 55,2 % | 29,0 % |
| Empresas italianas con 10 o más sedes | 88 | 14,8 % | 39,8 % | 45,5 % |
| Sitios .it del top 100.000 | 822 | 17,8 % | 38,7 % | 43,4 % |
La protección aumenta con el tamaño, pero incluso las cadenas y los sitios más conocidos de Italia se quedan cortos: menos de la mitad aplica DMARC. Las pequeñas empresas son las más rezagadas. Menos de una de cada diez aplica DMARC, el 57,2 % se queda en p=none y el 93,3 % tiene al menos un problema de seguridad del correo.
Quién está más expuesto
Solo las empresas de informática protegen más de uno de cada cuatro dominios italianos
Parte de los dominios de cada sector que reciben correo en p=quarantine o p=reject (dominios comprobados entre paréntesis).
Asesorías contables (101)
Salones de belleza (265)
Peluquerías (337)
Ópticas (379)
Panaderías (354)
Tiendas de bicicletas (513)
Inmobiliarias (755)
Bodegas (637)
Talleres mecánicos (707)
Joyerías (371)
Vinotecas (534)
Agencias de viajes (350)
Concesionarios (718)
Tiendas de muebles (685)
Tiendas de ropa (1.132)
Bufetes de abogados (128)
Supermercados (360)
Agentes de seguros (114)
Oficinas de empresas (2.260)
Oficinas públicas (324)
Empresas de informática (415)
Azul: profesiones que manejan dinero de clientes · línea discontinua: media italiana (13,4 %).
Las profesiones que manejan dinero de clientes están entre las menos protegidas. Solo 3 de 101 asesorías contables aplican DMARC, y apenas el 5,4 % de las inmobiliarias, aunque ambas trabajan precisamente con los pagos y facturas a los que apunta el correo de impostores. Las 637 bodegas de la muestra se quedan en el 5,5 %. Las empresas de informática van en cabeza con el 33,5 %, y aun así dos de cada tres dejan su propio nombre sin proteger.
Metodología
Población. 36.842 dominios italianos que reciben correo (registros MX operativos), de dos fuentes:
- empresas italianas cartografiadas en OpenStreetMap con sitio web propio, en cualquier terminación: 27.048 dominios
- cada dominio .it del ranking de popularidad Tranco top 1 millón: 10.901 dominios que reciben correo
1.107 dominios figuran en ambas. Se excluyen perfiles sociales, directorios y páginas alojadas que la empresa no controla.
Comprobaciones. Cada dominio fue analizado por el motor propio de Spoofhound, el mismo de la comprobación de dominio gratuita. Cubre SPF, DKIM (selectores conocidos de los grandes proveedores de correo como Microsoft, Google, SendGrid, Mailchimp y otros), DMARC, MTA-STS, TLS-RPT y BIMI. Cada cifra refleja un análisis en los 30 días previos al 2026-11-08.
Límites honestos.
- Sector público. Los dominios gubernamentales, municipales, regionales y escolares que podemos identificar (.gov.it, comune., regione., provincia., .edu.it y oficinas cartografiadas como públicas) son 548 dominios, el 1,5 % de la muestra, y aplican DMARC al 22,3 %. Sin ellos la cifra es del 13,3 %, así que la cifra principal es, en la práctica, una cifra de empresas.
- Sesgo de muestra. La muestra cubre empresas cartografiadas con sitio web, lo que sesga hacia oficios visibles orientados al consumidor. Las cifras por sector se basan en 100 a 2.300 dominios cada una.
- DKIM. DKIM solo puede confirmarse presente, nunca ausente.
- Qué significa «aplicado». p=quarantine o p=reject en el propio dominio. Los registros defectuosos cuentan como no aplicados, porque así los tratan los servidores receptores.
Datos © colaboradores de OpenStreetMap (ODbL) · lista Tranco del proyecto de investigación Tranco.
¿Dónde se sitúa su dominio en estas cifras? Descúbralo en 30 segundos.
Compruebe su dominio — gratis