Ricerca Spoofhound · 2026-11-08
Stato di DMARC 2026 — Stati Uniti
Quattro imprese statunitensi su cinque possono essere falsificate via e-mail.
Spoofhound ha analizzato le imprese statunitensi: 113.484 domini che ricevono e-mail, quasi tutti di attività locali mappate in tutti i 50 stati, verificati con lo stesso motore della nostra verifica gratuita del dominio. È uno dei campioni più grandi delle nostre ricerche.
Verificate il vostro dominio — gratisIl dato chiave
Quattro imprese statunitensi su cinque che ricevono e-mail possono essere falsificate. Su 113.484 domini verificati, 91.419 (80,6%) non hanno una policy DMARC applicata: nessun record, sola osservazione o un record difettoso. I sistemi di posta riceventi non ricevono mai l'istruzione di bloccare i falsi inviati a loro nome.
Tre numeri raccontano la storia:
- •Il 19,4% applica DMARC. Dietro al Regno Unito (24,5%), all'India (24,9%), al Sudafrica (34,1%) e all'Arabia Saudita (45,7%), e davanti alla Francia (15,7%). Contando solo le imprese, gli Stati Uniti sono al 19,0%. Vedete come si confrontano tutti i paesi che abbiamo misurato.
- •La metà non ha alcun record DMARC: 48,6%. 55.208 domini non pubblicano nulla, quindi i loro titolari non saprebbero mai che qualcuno invia posta a loro nome.
- •Il divario delle piccole imprese: 18,5% contro 73,5%. Le imprese statunitensi con una-tre sedi applicano DMARC al 18,5%. Le imprese statunitensi il cui sito è nella top 100.000 mondiale arrivano al 73,5%.
Il dominio medio di un'impresa statunitense ottiene 28,9 su 100 nel controllo completo della sicurezza e-mail, e l'84,7% ha almeno un problema da risolvere.
DMARC nelle imprese statunitensi
L'81% dei domini delle imprese statunitensi può essere falsificato
91.419 dei 113.484 domini verificati non hanno una policy DMARC applicata.
Nessun record DMARC
Sola osservazione (p=none)
Record difettoso o duplicato
p=quarantine
p=reject
Rosso: i riceventi non ricevono mai l'istruzione di bloccare i falsi · Verde: la posta degli impostori viene messa in quarantena o rifiutata.
Gli Stati Uniti hanno uno dei gruppi senza record più grandi che abbiamo misurato: quasi la metà dei domini (48,6%), contro il 39,2% dell'India e il 34,2% del Sudafrica. Un altro terzo pubblica un record ma lo lascia a p=none (31,5%). Quel gruppo in sola osservazione è il più importante commercialmente. Queste imprese hanno già iniziato e forse ricevono report, ma si sono fermate prima dell'impostazione che blocca davvero la posta degli impostori. Completare quel lavoro è esattamente ciò che fa Spoofhound.
Il resto della catena
| Controllo | Riscontro | Domini |
|---|---|---|
| SPF | Nessun record: qualsiasi server può inviare come il dominio | 20.225 (17,8%) |
| SPF | Record che termina con +all o ?all: pubblicato, ma consente comunque a tutti | 3.365 (3,0%) |
| DKIM di Microsoft 365 | Entrambi i selettori di firma guasti: la posta in uscita può fallire l'autenticazione già oggi | 385 |
| MTA-STS | Protegge la posta in arrivo dall'intercettazione: adottato (339 di questi solo in modalità test) | 656 (0,6%) |
| TLS-RPT | Segnala le consegne sicure fallite: adottato | 944 (0,8%) |
| BIMI | Logo verificato nella casella di posta: attivo | 899 (0,8%) |
Negli Stati Uniti il divario inizia prima di DMARC. Quasi un'impresa su cinque non ha alcun record SPF, uno dei tassi più alti che abbiamo misurato: il triplo del Sudafrica (5,8%) e ben sopra l'India (11,6%). Senza SPF, un'impresa non può arrivare ad applicare DMARC senza compromettere la propria posta. Gli standard più recenti sono appena arrivati: meno di 1 dominio su 100 usa MTA-STS, TLS-RPT o BIMI.
Piccole imprese contro quelle più grandi
| Popolazione | Domini verificati | Nessun record DMARC | Sola osservazione | Applicato |
|---|---|---|---|---|
| Imprese statunitensi con 1–3 sedi (negozi, uffici, artigiani) | 109.355 | 49,7% | 31,4% | 18,5% |
| Imprese statunitensi con 4–9 sedi | 1.687 | 16,5% | 36,3% | 46,5% |
| Imprese statunitensi con 10 o più sedi | 908 | 6,5% | 31,1% | 62,1% |
| Imprese statunitensi il cui sito è nella top 100.000 mondiale | 2.070 | 2,7% | 23,8% | 73,5% |
La protezione cresce costantemente con le dimensioni. Catene e marchi noti hanno in gran parte fatto il lavoro: solo una su quindici tra quelle con dieci o più sedi non ha un record DMARC. Le piccole imprese sono l'opposto: la metà non pubblica nulla e l'85,6% ha almeno un problema di sicurezza e-mail. Sono loro le più colpite dalle frodi con fatture false e dalla falsificazione dell'identità, perché non hanno un team di sicurezza che se ne accorga.
Chi è più esposto
I negozi della via commerciale proteggono meno di un dominio su dieci
Quota dei domini di ciascun settore che ricevono e-mail a p=quarantine o p=reject (domini verificati tra parentesi).
Parrucchieri (3.208)
Negozi di biciclette (1.504)
Birrifici (1.552)
Centri estetici (3.010)
Fioristi (1.004)
Panetterie (2.160)
Officine auto (3.980)
Gioiellerie (1.352)
Concessionari auto (3.782)
Agenzie immobiliari (2.604)
Idraulici (635)
Consulenti fiscali (366)
Climatizzazione (HVAC) (937)
Studi legali (3.761)
Commercialisti (729)
Architetti (648)
Uffici aziendali (5.528)
Consulenti finanziari (489)
Aziende informatiche (954)
Agenzie assicurative (2.278)
Blu: professioni che gestiscono denaro dei clienti · linea tratteggiata: media statunitense (19,4%).
Le attività di una tipica via commerciale sono le più basse: parrucchieri e centri estetici, fioristi, panetterie e negozi di biciclette proteggono tutti meno di un dominio su dieci. Le professioni che gestiscono denaro fanno meglio, ma restano esposte. Agenzie immobiliari (18,4%) e studi legali (23,2%) sono i bersagli abituali delle frodi sui bonifici nell'acquisto di case, e tre su quattro lasciano il proprio nome scoperto. Le agenzie assicurative sono in testa con il 51,4%, probabilmente perché le grandi compagnie configurano l'e-mail dei propri agenti.
Metodologia
Popolazione. 113.484 domini statunitensi che ricevono e-mail (record MX funzionanti), da due fonti:
- imprese statunitensi mappate su OpenStreetMap con un sito web proprio, con qualsiasi estensione: 111.716 domini
- ogni dominio .us nella classifica di popolarità Tranco top 1 milione: 1.864 domini che ricevono e-mail
96 domini compaiono in entrambe. Sono esclusi profili social, elenchi e pagine ospitate che l'impresa non controlla.
Controlli. Ogni dominio è stato analizzato dal motore di Spoofhound, lo stesso della verifica gratuita del dominio. Copre SPF, DKIM (selettori noti dei principali provider di posta come Microsoft, Google, SendGrid, Mailchimp e altri), DMARC, MTA-STS, TLS-RPT e BIMI. Ogni dato riflette un'analisi nei 30 giorni fino al 2026-11-08.
Limiti onesti.
- Un rapporto sulle imprese, non nazionale. I siti statunitensi più popolari usano soprattutto .com, che non identifica un paese, quindi il web popolare statunitense non può essere campionato come il .uk del Regno Unito o il .in dell'India. I dati statunitensi descrivono imprese mappate; la riga di confronto usa imprese mappate il cui sito è anche nella top 100.000 di Tranco.
- Settore pubblico escluso. I domini governativi e universitari sono solo l'1,3% del campione (applicazione al 53,5%). Nella lista Tranco, i domini .gov applicano DMARC al 63,5% e i .edu al 57,5%, molto più avanti delle imprese.
- Distorsione del campione. Il campione copre imprese mappate con sito web, il che tende verso attività visibili e rivolte al consumatore. I dati per settore si basano su 300–5.500 domini ciascuno, abbastanza per essere citati.
- DKIM. DKIM si può confermare solo presente, mai assente.
- Cosa significa «applicato». p=quarantine o p=reject sul dominio stesso. I record difettosi contano come non applicati, perché è così che li trattano i server di posta riceventi.
Dati © contributori OpenStreetMap (ODbL) · lista Tranco del progetto di ricerca Tranco.
Dove si colloca il vostro dominio in questi numeri? Scopritelo in 30 secondi.
Verificate il vostro dominio — gratis