Investigação Spoofhound · 2026-11-08
Estado do DMARC 2026 — Estados Unidos
Quatro em cada cinco empresas norte-americanas podem ser falsificadas por e-mail.
O Spoofhound analisou as empresas norte-americanas: 113 484 domínios que recebem e-mail, quase todos de empresas locais cartografadas nos 50 estados, verificados com o mesmo motor da nossa verificação de domínio gratuita. É uma das maiores amostras da nossa investigação.
Verifique o seu domínio — grátisO número-chave
Quatro em cada cinco empresas norte-americanas que recebem e-mail podem ser falsificadas. Dos 113 484 domínios verificados, 91 419 (80,6%) não têm uma política DMARC aplicada: nenhum registo, só monitorização ou um registo defeituoso. Os sistemas de correio recetores nunca recebem a instrução de bloquear as falsificações enviadas em seu nome.
Três números contam a história:
- •19,4% aplicam DMARC. Atrás do Reino Unido (24,5%), da Índia (24,9%), da África do Sul (34,1%) e da Arábia Saudita (45,7%), e à frente de França (15,7%). Contando só empresas, os Estados Unidos estão em 19,0%. Veja como se comparam todos os países que medimos.
- •Metade não tem qualquer registo DMARC: 48,6%. 55 208 domínios não publicam nada, por isso os seus donos nunca saberiam que alguém estava a enviar correio em seu nome.
- •A lacuna das pequenas empresas: 18,5% contra 73,5%. As empresas norte-americanas com um a três locais aplicam DMARC a 18,5%. As empresas norte-americanas cujo site está no top 100 000 mundial chegam a 73,5%.
O domínio empresarial norte-americano médio obtém 28,9 em 100 na verificação completa de segurança de e-mail, e 84,7% têm pelo menos um problema a corrigir.
DMARC nas empresas norte-americanas
81% dos domínios de empresas norte-americanas podem ser falsificados
91 419 dos 113 484 domínios verificados não têm uma política DMARC aplicada.
Sem registo DMARC
Só monitorização (p=none)
Registo defeituoso ou duplicado
p=quarantine
p=reject
Vermelho: os recetores nunca recebem a instrução de bloquear as falsificações · Verde: o correio de impostores é posto em quarentena ou rejeitado.
Os Estados Unidos têm um dos maiores grupos sem registo que medimos: quase metade de todos os domínios (48,6%), contra 39,2% na Índia e 34,2% na África do Sul. Outro terço publica um registo mas deixa-o em p=none (31,5%). Esse grupo em só monitorização é o mais importante comercialmente. Estas empresas já começaram e talvez recebam relatórios, mas pararam antes da definição que realmente bloqueia o correio de impostores. Terminar esse trabalho é exatamente o que o Spoofhound faz.
O resto da cadeia
| Verificação | Constatação | Domínios |
|---|---|---|
| SPF | Nenhum registo: qualquer servidor pode enviar em nome do domínio | 20 225 (17,8%) |
| SPF | Registo termina em +all ou ?all: publicado, mas permite a todos | 3 365 (3,0%) |
| DKIM do Microsoft 365 | Ambos os seletores de assinatura avariados: o correio enviado pode falhar a autenticação já hoje | 385 |
| MTA-STS | Protege o correio recebido contra interceção: adotado (339 destes só em modo de teste) | 656 (0,6%) |
| TLS-RPT | Reporta entregas seguras falhadas: adotado | 944 (0,8%) |
| BIMI | Logótipo verificado na caixa de entrada: ativo | 899 (0,8%) |
Nos Estados Unidos, a lacuna começa antes do DMARC. Quase uma em cada cinco empresas não tem qualquer registo SPF, uma das taxas mais altas que medimos: o triplo da África do Sul (5,8%) e bem acima da Índia (11,6%). Sem SPF, uma empresa não consegue chegar à aplicação do DMARC sem estragar o seu próprio correio. Os padrões mais recentes mal chegaram: menos de 1 em cada 100 domínios usa MTA-STS, TLS-RPT ou BIMI.
Pequenas empresas contra as maiores
| População | Domínios verificados | Sem registo DMARC | Só monitorização | Aplicado |
|---|---|---|---|---|
| Empresas norte-americanas com 1–3 locais (lojas, escritórios, ofícios) | 109 355 | 49,7% | 31,4% | 18,5% |
| Empresas norte-americanas com 4–9 locais | 1 687 | 16,5% | 36,3% | 46,5% |
| Empresas norte-americanas com 10 ou mais locais | 908 | 6,5% | 31,1% | 62,1% |
| Empresas norte-americanas cujo site está no top 100 000 mundial | 2 070 | 2,7% | 23,8% | 73,5% |
A proteção sobe de forma constante com a dimensão. As cadeias e as marcas conhecidas já fizeram em grande parte o trabalho: só uma em cada quinze com dez ou mais locais não tem registo DMARC. As pequenas empresas são o oposto: metade não publica nada e 85,6% têm pelo menos um problema de segurança de e-mail. São elas as mais atingidas pela fraude de faturas falsas e pela falsificação de identidade, porque não têm uma equipa de segurança que dê por isso.
Quem está mais exposto
O comércio de rua protege menos de um domínio em cada dez
Parte dos domínios de cada setor que recebem e-mail em p=quarantine ou p=reject (domínios verificados entre parênteses).
Cabeleireiros (3 208)
Lojas de bicicletas (1 504)
Cervejeiras (1 552)
Institutos de beleza (3 010)
Floristas (1 004)
Padarias (2 160)
Oficinas auto (3 980)
Joalharias (1 352)
Concessionários auto (3 782)
Agências imobiliárias (2 604)
Canalizadores (635)
Consultores fiscais (366)
Climatização (HVAC) (937)
Escritórios de advogados (3 761)
Contabilistas (729)
Arquitetos (648)
Escritórios de empresas (5 528)
Consultores financeiros (489)
Empresas de informática (954)
Agentes de seguros (2 278)
Azul: profissões que gerem dinheiro de clientes · linha tracejada: média norte-americana (19,4%).
As lojas de uma rua comercial típica estão no fundo: cabeleireiros e institutos de beleza, floristas, padarias e lojas de bicicletas protegem todos menos de um domínio em cada dez. As profissões que gerem dinheiro saem-se melhor, mas continuam expostas. As agências imobiliárias (18,4%) e os escritórios de advogados (23,2%) são os alvos habituais da fraude por transferência na compra de casas, e três em cada quatro deixam o seu nome desprotegido. Os agentes de seguros lideram com 51,4%, provavelmente porque as grandes seguradoras configuram o e-mail dos seus agentes.
Metodologia
População. 113 484 domínios norte-americanos que recebem e-mail (registos MX funcionais), de duas fontes:
- empresas norte-americanas cartografadas no OpenStreetMap com site próprio, em qualquer terminação: 111 716 domínios
- cada domínio .us do ranking de popularidade Tranco top 1 milhão: 1 864 domínios que recebem e-mail
96 domínios aparecem em ambas. Excluem-se perfis sociais, diretórios e páginas alojadas que a empresa não controla.
Verificações. Cada domínio foi analisado pelo motor do Spoofhound, o mesmo da verificação de domínio gratuita. Abrange SPF, DKIM (seletores conhecidos dos principais fornecedores de e-mail, como Microsoft, Google, SendGrid, Mailchimp e outros), DMARC, MTA-STS, TLS-RPT e BIMI. Cada número reflete uma análise nos 30 dias até 2026-11-08.
Limites honestos.
- Um relatório empresarial, não nacional. Os sites norte-americanos populares usam sobretudo .com, que não identifica um país, por isso a web popular norte-americana não pode ser amostrada como o .uk do Reino Unido ou o .in da Índia. Os números norte-americanos descrevem empresas cartografadas; a linha de comparação usa empresas cartografadas cujo site também está no top 100 000 da Tranco.
- Setor público excluído. Os domínios governamentais e universitários são só 1,3% da amostra (aplicação a 53,5%). Na lista Tranco, os domínios .gov aplicam DMARC a 63,5% e os .edu a 57,5%, muito à frente das empresas.
- Enviesamento da amostra. A amostra abrange empresas cartografadas com site, o que pende para atividades visíveis e viradas para o consumidor. Os números por setor assentam em 300 a 5 500 domínios cada, o suficiente para serem citados.
- DKIM. O DKIM só pode ser confirmado como presente, nunca como ausente.
- O que significa «aplicado». p=quarantine ou p=reject no próprio domínio. Os registos defeituosos contam como não aplicados, porque é assim que os servidores de correio recetores os tratam.
Dados © contribuidores do OpenStreetMap (ODbL) · lista Tranco do projeto de investigação Tranco.
Onde se situa o seu domínio nestes números? Descubra em 30 segundos.
Verifique o seu domínio — grátis