Investigação Spoofhound · 2026-11-08
Estado do DMARC 2026 — Países Baixos
Mais de dois em cada três domínios neerlandeses podem ser falsificados por e-mail.
O Spoofhound analisou a web neerlandesa: 43 453 domínios que recebem e-mail entre os sites populares do país e os negócios locais cartografados nas 12 províncias, verificados com o mesmo motor da nossa verificação de domínio gratuita.
Verifique o seu domínio — grátisO número-chave
Mais de dois em cada três domínios neerlandeses que recebem e-mail podem ser falsificados. Dos 43 453 domínios verificados, 30 166 (69,4%) não têm política DMARC aplicada: nenhum registo, só monitorização ou um registo defeituoso. Os sistemas de correio recetores nunca recebem a instrução de bloquear as falsificações enviadas em seu nome.
Três números contam a história:
- •30,6% aplicam DMARC. Ficam atrás da Arábia Saudita (45,7%) e da África do Sul (34,1%), e à frente do Reino Unido (24,5%). Contando só empresas, os Países Baixos estão nos 30,2%. Veja como se comparam todos os países que medimos.
- •O setor público dita o ritmo: 80,7% contra 27,5%. Os domínios públicos neerlandeses que conseguimos identificar aplicam DMARC a 80,7%. As empresas neerlandesas com uma a três localizações chegam a 27,5%.
- •Quatro em cada dez ficam por p=none: 42,1%. A Itália tem um grupo maior em só monitorização: 54,9%. Dois em cada três destes domínios neerlandeses (12 074) nem sequer pedem relatórios DMARC, pelo que o seu registo não bloqueia as falsificações nem avisa ninguém sobre elas.
O domínio neerlandês médio obtém 38,1 em 100 na verificação completa de segurança de e-mail, e 84,0% têm pelo menos um problema a corrigir.
DMARC na web neerlandesa
69% dos domínios neerlandeses que recebem e-mail estão expostos à falsificação
30 166 dos 43 453 domínios verificados não têm política DMARC aplicada.
Sem registo DMARC
Só monitorização (p=none)
Registo defeituoso ou duplicado
p=quarantine
p=reject
Vermelho: os recetores nunca recebem a instrução de bloquear as falsificações · Verde: o correio de impostores é posto em quarentena ou rejeitado.
A maioria dos domínios neerlandeses já deu o primeiro passo: só um quarto não tem registo DMARC (26,6%). O grupo maior publica um mas deixa-o em p=none (42,1%). Estas organizações estão a um pequeno passo da proteção, mas esse passo exige os relatórios DMARC que mostram cada serviço que envia correio em seu nome. Ler esses relatórios e acabar o trabalho é exatamente o que o Spoofhound faz.
O resto da cadeia
| Verificação | Constatação | Domínios |
|---|---|---|
| SPF | Nenhum registo: qualquer servidor pode enviar em nome do domínio | 2 810 (6,5%) |
| SPF | O registo termina em +all ou ?all: publicado, mas autoriza toda a gente | 832 (1,9%) |
| DKIM Microsoft 365 | Ambos os seletores de assinatura avariados: o correio de saída pode falhar a autenticação hoje mesmo | 183 |
| MTA-STS | Protege o correio de entrada contra interceção: adotado (158 destes só em modo de teste) | 395 (0,9%) |
| TLS-RPT | Comunica falhas de entrega segura: adotado | 645 (1,5%) |
| BIMI | Logótipo verificado na caixa de entrada: ativo | 457 (1,1%) |
O essencial está em grande parte feito: só 6,5% dos domínios neerlandeses não têm registo SPF. As normas mais recentes continuam raras: menos de 2 em cada 100 domínios usam MTA-STS, TLS-RPT ou BIMI.
Pequenas empresas contra empresas maiores
| População | Domínios verificados | Sem registo DMARC | Só monitorização | Aplicado |
|---|---|---|---|---|
| Empresas neerlandesas com 1–3 localizações (lojas, escritórios, ofícios) | 33 220 | 28,7% | 43,1% | 27,5% |
| Empresas neerlandesas com 4–9 localizações | 462 | 11,7% | 44,6% | 43,3% |
| Empresas neerlandesas com 10 ou mais localizações | 187 | 8,6% | 30,5% | 60,4% |
| Os 100 000 sites .nl mais bem classificados dos Países Baixos | 606 | 12,4% | 22,3% | 65,3% |
A proteção sobe com a dimensão. As cadeias e os sites .nl mais conhecidos já fizeram em grande parte o trabalho, enquanto 88,0% das pequenas empresas ainda têm pelo menos um problema de segurança de e-mail. O fosso das pequenas empresas tem menos a ver com registos em falta do que com registos deixados em p=none: é aí que estão 43,1% das pequenas empresas.
Setor público contra pequenas empresas
Os organismos públicos neerlandeses comprometeram-se a proteger os seus domínios com DMARC. A norma consta da lista «cumprir ou explicar» do Forum Standaardisatie, e um acordo para toda a administração pública fixou o final de 2019 como prazo para uma política estrita. O Forum considera estritas p=quarantine ou p=reject, sendo p=reject o objetivo final. Os dados mostram que a maioria dos domínios públicos seguiu, embora não até ao fim:
| População | Domínios | Sem registo DMARC | Só monitorização | p=quarantine | p=reject | Aplicado |
|---|---|---|---|---|---|---|
| Domínios públicos neerlandeses que conseguimos identificar | 305 | 7,2% | 11,8% | 37,7% | 43,0% | 80,7% |
| Empresas neerlandesas com 1–3 localizações | 33 220 | 28,7% | 43,1% | 14,3% | 13,1% | 27,5% |
Os domínios públicos têm três vezes mais probabilidade de aplicar DMARC do que as pequenas empresas. Quatro em cada cinco cumprem o acordo de política estrita, mas menos de metade (43,0%) chegou a p=reject, e um em cada cinco (19,0%) continua sem registo ou fica por p=none, sete anos depois do prazo. As pequenas empresas não têm nenhum acordo deste tipo por trás, e isso nota-se: 71,8% não têm registo ou ficam por p=none.
Quem está mais exposto
As agências imobiliárias são o setor neerlandês menos protegido
Parte dos domínios que recebem e-mail de cada setor em p=quarantine ou p=reject (domínios verificados entre parênteses).
Agências imobiliárias (656)
Floristas (598)
Padarias (656)
Lojas de bicicletas (1 232)
Lojas de roupa (2 021)
Oficinas / reparação auto (1 120)
Cabeleireiros (1 926)
Institutos de beleza (795)
Joalharias (454)
Concessionários auto (1 014)
Lojas de móveis (533)
Lojas de informática (220)
Consultores financeiros (118)
Escritórios de advogados (258)
Contabilistas (163)
Agentes de seguros (106)
Escritórios de empresas (4 368)
Serviços de educação (408)
Escritórios financeiros (102)
Notários (111)
Empresas de informática (483)
Azul: profissões que gerem dinheiro de clientes · linha tracejada: média neerlandesa (30,6%).
As agências imobiliárias ficam em último lugar com 17,4%, embora lidem com os sinais e os pagamentos de compra que o e-mail de impostores visa. As outras profissões que lidam com dinheiro saem-se melhor: os notários lideram-nas com 52,3%, e os escritórios de advogados e os contabilistas ficam entre 36% e 39%. As lojas de rua rondam um em cada cinco. As empresas de informática lideram com 56,9%.
Metodologia
População. 43 453 domínios neerlandeses que recebem e-mail (registos MX funcionais), de duas fontes:
- empresas e organizações neerlandesas cartografadas no OpenStreetMap com site próprio, em qualquer terminação: 34 169 domínios
- cada domínio .nl do ranking de popularidade Tranco top 1 milhão: 10 777 domínios que recebem e-mail
1 493 domínios figuram em ambas. Excluem-se perfis sociais, diretórios e páginas alojadas que a empresa não controla.
Verificações. Cada domínio foi analisado pelo motor do Spoofhound, o mesmo da verificação de domínio gratuita. Cobre SPF, DKIM (seletores conhecidos dos principais fornecedores de e-mail, como Microsoft, Google, SendGrid, Mailchimp e outros), DMARC, MTA-STS, TLS-RPT e BIMI. Cada número reflete uma análise nos 30 dias até 2026-11-08.
Limites honestos.
- Domínios públicos. Os 305 domínios públicos são os que conseguimos identificar: serviços cartografados como administração pública no OpenStreetMap e domínios cujo nome remete para overheid, gemeente, provincie ou waterschap. Muitos municípios e ministérios usam nomes .nl simples, pelo que isto é uma amostra do setor público, não a sua totalidade. Representa 0,7% do total, pelo que o número principal é, na prática, um número de empresas (30,2% sem ele).
- Enviesamento da amostra. A amostra cobre empresas cartografadas com site, o que pende para ofícios visíveis virados ao consumidor. Os números por setor assentam em 100 a 4 400 domínios cada.
- DKIM. O DKIM só pode ser confirmado como presente, nunca como ausente.
- O que significa «aplicado». p=quarantine ou p=reject no próprio domínio. Os registos defeituosos contam como não aplicados, porque é assim que os servidores recetores os tratam.
Dados © contribuidores do OpenStreetMap (ODbL) · lista Tranco do projeto de investigação Tranco.
Onde se situa o seu domínio nestes números? Descubra em 30 segundos.
Verifique o seu domínio — grátis