Ricerca Spoofhound · pubblicata il 2026-10-17
Stato di DMARC 2026 — Francia
L'84% dei domini francesi può essere falsificato via email.
Spoofhound ha analizzato il web francese — ogni dominio .fr che riceve email nel top un milione di Tranco più 63.069 imprese francesi mappate, 71.101 domini in totale — con lo stesso motore della nostra verifica di dominio gratuita. Ecco com'è davvero la sicurezza email francese nel 2026.
Verificate il vostro dominio — gratisIl dato chiave
L'84% dei domini francesi che ricevono email può essere falsificato. Su 71.101 domini francesi verificati, 59.920 non pubblicano alcun DMARC, lo lasciano in sola osservazione o hanno un record difettoso — i sistemi di posta riceventi non ricevono quindi mai l'istruzione di bloccare i falsi inviati a loro nome.
Tre numeri raccontano la storia:
- •L'84,3% dei domini francesi che ricevono email non ha alcuna politica DMARC applicata. Meno di uno su sei (15,7%) chiede al mondo di mettere in quarantena o rifiutare gli impostori.
- •Il divario delle piccole imprese: 87% esposte, contro il 44% del web popolare. Le imprese francesi con una-tre sedi applicano DMARC al 13,4%; i 100.000 siti francesi meglio classificati arrivano al 55,8%. Le aziende meno capaci di sopravvivere a una frode delle fatture sono le meno protette.
- •Il dominio francese medio ottiene 32,8 su 100 nel controllo completo di sicurezza email (SPF, DKIM, DMARC, MTA-STS, TLS-RPT, BIMI); l'89,9% ha almeno un problema da correggere.
DMARC nel web francese
Quasi metà dei domini francesi che ricevono email (47,4%) non pubblica alcun record DMARC — il server ricevente non ha né politica né indirizzo per i report, e il proprietario non scopre mai che il suo dominio viene abusato. Un altro 36,5% pubblica un record ma lo lascia su p=none: forse riceve report, ma la posta degli impostori continua ad arrivare in casella. I 318 record difettosi (duplicati, politiche scritte male come «quarentine») vengono trattati dai riceventi esattamente come l'assenza di record.
Il resto della catena
DMARC è il livello di applicazione, ma l'analisi copre l'intera catena. Tra gli stessi 71.101 domini francesi che ricevono email:
| Controllo | Riscontro | Domini |
|---|---|---|
| SPF | Nessun record — qualsiasi server può inviare a nome del dominio | 6.511 (9,2%) |
| SPF | Il record termina con +all o ?all — pubblicato, ma autorizza comunque tutti | 5.132 (7,2%) |
| DKIM Microsoft 365 | Entrambi i selettori di firma rotti — la loro posta in uscita può fallire l'autenticazione già oggi | 158 |
| MTA-STS | Protegge la posta in arrivo dall'intercettazione — adottato | 276 (0,4%) |
| TLS-RPT | Segnala i fallimenti di consegna sicura — adottato | 414 (0,6%) |
| BIMI | Logo verificato nella casella — attivo | 532 (0,7%) |
I livelli di cifratura e di brand quasi non esistono in Francia: meno di un dominio su cento ha MTA-STS, TLS-RPT o BIMI. Per i pionieri è un'opportunità — un logo verificato e una sicurezza di trasporto applicata qui sono ancora differenziatori, non requisiti di base.
Piccole imprese contro web popolare
È la ripartizione che nessun altro studio misura: i report di settore campionano i siti popolari, esattamente dove il problema non è.
| Popolazione | Domini verificati | Nessun record DMARC | Sola osservazione | Applicato |
|---|---|---|---|---|
| Imprese francesi con 1–3 sedi (negozi, studi, artigiani) | 61.305 | 50,2% | 35,9% | 13,4% |
| I 100.000 siti francesi meglio classificati | 1.472 | 13,4% | 30,7% | 55,8% |
Il web popolare ha in gran parte fatto il lavoro — spinto dalle regole per i mittenti 2024 di Google e Yahoo e dai team di sicurezza. La panetteria, lo studio legale e l'officina non hanno nessuno che li spinga: l'86,6% delle piccole imprese francesi può essere falsificato via email, e la maggior parte non ha un indirizzo per i report — non lo saprebbe quindi mai. Eppure sono proprio le aziende per cui una sola fattura falsa a un cliente, o un solo messaggio falsificato al loro commercialista, è un evento esistenziale.
Chi è più esposto
Essendo i dati aziendali mappati, l'esposizione si legge per mestiere. Applicazione per settore, dal peggiore (imprese francesi, settori con 400+ domini verificati):
| Settore | Domini | Nessun record DMARC | Applicato |
|---|---|---|---|
| Parrucchieri | 1.477 | 66,8% | 6,0% |
| Librerie | 1.145 | 58,0% | 6,9% |
| Ottici | 916 | 56,6% | 7,5% |
| Enoteche | 882 | 48,6% | 7,8% |
| Istituti di bellezza | 1.256 | 54,9% | 8,0% |
| Officine / autoriparazioni | 1.243 | 67,7% | 8,5% |
| Panetterie | 1.048 | 56,3% | 9,3% |
| Concessionarie auto | 1.447 | 61,1% | 9,6% |
| Agenzie immobiliari | 3.771 | 59,0% | 10,2% |
| Negozi di abbigliamento | 1.976 | 38,5% | 16,3% |
| Uffici aziendali | 5.041 | 38,3% | 26,7% |
| Uffici pubblici | 1.322 | 29,0% | 35,8% |
Due letture saltano all'occhio. Le agenzie immobiliari — aziende che inviano abitualmente coordinate bancarie via email per caparre e affitti — applicano DMARC al 10,2%, e il 59% non pubblica nulla; sono forse il settore non protetto con la posta in gioco più alta di Francia. E il gradiente dai parrucchieri (6%) alla pubblica amministrazione (36%) segue il supporto informatico, non il rischio: la protezione va dove stanno gli informatici, non dove sta l'esposizione alla frode.
Metodologia
Popolazione. 71.101 domini francesi che ricevono email (record MX funzionanti), da due fonti: ogni dominio .fr del ranking di ricerca Tranco top 1 milione dei siti popolari (12.412 ricevono email) e 63.069 imprese francesi mappate su OpenStreetMap con un proprio sito web (qualsiasi estensione; pagine di piattaforme e profili social esclusi). 4.380 domini figurano in entrambe. Sono esclusi i domini senza MX e i domini di pagine ospitate che l'impresa non controlla.
Controlli. Ogni dominio è stato analizzato dal motore di Spoofhound — lo stesso della verifica di dominio gratuita — coprendo SPF, DKIM (29 selettori comuni), DMARC, MTA-STS, TLS-RPT e BIMI, via DNS e recupero dei file di politica. Ogni cifra riflette un'analisi nei 30 giorni fino al 2026-10-17.
Limiti onesti. DKIM può essere confermato solo presente, mai assente — non si fanno quindi affermazioni di assenza di DKIM. Il campione aziendale copre imprese mappate con sito web, il che sbilancia verso mestieri visibili rivolti al consumatore. «Applicato» significa p=quarantine o p=reject sul dominio organizzativo; pct<100 e i record difettosi contano come non applicati, come li trattano i riceventi.
Dati © contributori OpenStreetMap (ODbL) · lista Tranco del progetto di ricerca Tranco.
Dove si colloca il vostro dominio in questi numeri? Scopritelo in 30 secondi.
Verificate il vostro dominio — gratis