Ricerca Spoofhound · 2026-11-08
Stato di DMARC 2026 — Italia
Quasi nove domini italiani su dieci possono essere falsificati via e-mail.
Spoofhound ha analizzato il web italiano: 36.842 domini che ricevono e-mail, tra i siti più popolari del paese e le attività locali mappate in tutte le 20 regioni, verificati con lo stesso motore della nostra verifica gratuita del dominio.
Verificate il vostro dominio — gratisIl dato chiave
Quasi nove domini italiani su dieci che ricevono e-mail possono essere falsificati. Su 36.842 domini verificati, 31.888 (86,6%) non hanno una policy DMARC applicata: nessun record, sola osservazione o un record difettoso. I sistemi di posta riceventi non ricevono mai l'istruzione di bloccare i falsi inviati a loro nome.
Tre numeri raccontano la storia:
- •Il 13,4% applica DMARC, tra i dati più bassi che abbiamo misurato. È sotto la Francia (15,7%) e ben dietro il Regno Unito (24,5%). Contando solo le imprese, l'Italia è al 13,3%. Scopri come si collocano tutti i paesi che abbiamo misurato.
- •Più della metà si ferma a p=none: il 54,9%. È molto più dei Paesi Bassi (42,1%). Tre domini su quattro di questo gruppo (15.235) non chiedono nemmeno i report DMARC: il loro record non blocca i falsi e non li segnala a nessuno.
- •Il divario delle piccole imprese: 9,8% contro 43,4%. Le imprese italiane con una-tre sedi applicano DMARC al 9,8%, tra i dati più bassi sulle piccole imprese che abbiamo misurato. I siti .it nella top 100.000 arrivano al 43,4%.
Il dominio italiano medio ottiene 31,1 su 100 nel controllo completo della sicurezza e-mail, e il 90,5% ha almeno un problema da risolvere.
DMARC nel web italiano
L'87% dei domini italiani che ricevono e-mail può essere falsificato
31.888 dei 36.842 domini verificati non hanno una policy DMARC applicata.
Nessun record DMARC
Sola osservazione (p=none)
Record difettoso o duplicato
p=quarantine
p=reject
Rosso: i riceventi non ricevono mai l'istruzione di bloccare i falsi · Verde: la posta degli impostori viene messa in quarantena o rifiutata.
Il problema italiano non sono i record mancanti, ma quelli lasciati a metà. La maggior parte dei domini italiani pubblica un record DMARC, ma più della metà lo lascia a p=none, e quasi tutti questi non raccolgono i report che mostrerebbero cosa correggere. Per passare da p=none all'applicazione servono proprio quei report: mostrano ogni servizio che invia legittimamente posta per il dominio. Leggerli e completare il lavoro è esattamente ciò che fa Spoofhound.
Il resto della catena
| Controllo | Riscontro | Domini |
|---|---|---|
| SPF | Nessun record: qualsiasi server può inviare come il dominio | 2.594 (7,0%) |
| SPF | Record che termina con +all o ?all: pubblicato, ma consente comunque a tutti | 1.142 (3,1%) |
| DKIM di Microsoft 365 | Entrambi i selettori di firma guasti: la posta in uscita può fallire l'autenticazione già oggi | 53 |
| MTA-STS | Protegge la posta in arrivo dall'intercettazione: adottato (55 di questi solo in modalità test) | 115 (0,3%) |
| TLS-RPT | Segnala le consegne sicure fallite: adottato | 183 (0,5%) |
| BIMI | Logo verificato nella casella di posta: attivo | 279 (0,8%) |
La maggior parte dei domini italiani ha le basi: solo il 7,0% non ha alcun record SPF. Il divario è nell'ultimo passo. Gli standard più recenti sono appena arrivati: meno di 1 dominio su 100 usa MTA-STS, TLS-RPT o BIMI.
Piccole imprese contro imprese più grandi
| Popolazione | Domini verificati | Nessun record DMARC | Sola osservazione | Applicato |
|---|---|---|---|---|
| Imprese italiane con 1–3 sedi (negozi, uffici, artigiani) | 26.316 | 32,5% | 57,2% | 9,8% |
| Imprese italiane con 4–9 sedi | 252 | 15,5% | 55,2% | 29,0% |
| Imprese italiane con 10 o più sedi | 88 | 14,8% | 39,8% | 45,5% |
| Siti .it nella top 100.000 | 822 | 17,8% | 38,7% | 43,4% |
La protezione cresce con le dimensioni, ma anche le catene e i siti più noti d'Italia si fermano prima: meno della metà applica DMARC. Le piccole imprese sono le più indietro. Meno di una su dieci applica DMARC, il 57,2% resta a p=none e il 93,3% ha almeno un problema di sicurezza e-mail.
Chi è più esposto
Solo le aziende informatiche proteggono più di un dominio italiano su quattro
Quota dei domini di ciascun settore che ricevono e-mail a p=quarantine o p=reject (domini verificati tra parentesi).
Commercialisti (101)
Istituti di bellezza (265)
Parrucchieri (337)
Ottici (379)
Panetterie (354)
Negozi di biciclette (513)
Agenzie immobiliari (755)
Cantine (637)
Officine auto (707)
Gioiellerie (371)
Enoteche (534)
Agenzie di viaggio (350)
Concessionari auto (718)
Negozi di mobili (685)
Negozi di abbigliamento (1.132)
Studi legali (128)
Supermercati (360)
Agenti assicurativi (114)
Uffici aziendali (2.260)
Uffici pubblici (324)
Aziende informatiche (415)
Blu: professioni che gestiscono denaro dei clienti · linea tratteggiata: media italiana (13,4%).
Le professioni che gestiscono denaro dei clienti sono tra le meno protette. Solo 3 commercialisti su 101 applicano DMARC, e appena il 5,4% delle agenzie immobiliari, anche se entrambi trattano proprio i pagamenti e le fatture presi di mira dalle e-mail degli impostori. Le 637 cantine del campione si fermano al 5,5%. Le aziende informatiche sono in testa con il 33,5%, e anche lì due su tre lasciano scoperto il proprio nome.
Metodologia
Popolazione. 36.842 domini italiani che ricevono e-mail (record MX funzionanti), da due fonti:
- imprese italiane mappate su OpenStreetMap con un sito web proprio, con qualsiasi estensione: 27.048 domini
- ogni dominio .it nella classifica di popolarità Tranco top 1 milione: 10.901 domini che ricevono e-mail
1.107 domini compaiono in entrambe. Sono esclusi profili social, elenchi e pagine ospitate che l'impresa non controlla.
Controlli. Ogni dominio è stato analizzato dal motore di Spoofhound, lo stesso della verifica gratuita del dominio. Copre SPF, DKIM (selettori noti dei principali provider di posta come Microsoft, Google, SendGrid, Mailchimp e altri), DMARC, MTA-STS, TLS-RPT e BIMI. Ogni dato riflette un'analisi nei 30 giorni fino al 2026-11-08.
Limiti onesti.
- Settore pubblico. I domini pubblici che possiamo identificare (.gov.it, comune., regione., provincia., .edu.it e uffici mappati come pubblici) sono 548, l'1,5% del campione, e applicano DMARC al 22,3%. Senza di loro il dato è 13,3%: il dato principale è quindi, di fatto, un dato sulle imprese.
- Distorsione del campione. Il campione copre imprese mappate con sito web, il che tende verso attività visibili e rivolte al consumatore. I dati per settore si basano su 100–2.300 domini ciascuno.
- DKIM. DKIM si può confermare solo presente, mai assente.
- Cosa significa «applicato». p=quarantine o p=reject sul dominio stesso. I record difettosi contano come non applicati, perché è così che li trattano i server di posta riceventi.
Dati © contributori OpenStreetMap (ODbL) · lista Tranco del progetto di ricerca Tranco.
Dove si colloca il vostro dominio in questi numeri? Scopritelo in 30 secondi.
Verificate il vostro dominio — gratis