Rapporto svizzero sulla sicurezza delle e-mail 2026

7 domini e-mail svizzeri su 10 non si proteggono efficacemente dalla falsificazione del mittente

Uno studio nazionale sulla protezione contro la falsificazione del mittente, basato su 2'459'127 domini .ch.

· Peter Hadorn

Il mittente di un’e-mail può essere falsificato. Il messaggio sembra così provenire da un’azienda, da un ente pubblico o da una persona conosciuta. False fatture, richieste di pagamento e link di phishing diventano più credibili.

I punti essenziali

Per i risultati sulla falsificazione del mittente, 1'700'148 domini .ch esaminati costituiscono la base del 100%. Sono configurati per ricevere e-mail.

  • 1'190'194 domini (70,01%) non si proteggono efficacemente dalla falsificazione del mittente.
  • Solo 226'957 domini (13,35%) richiedono che le e-mail con un indirizzo del mittente falsificato siano rifiutate.
  • I dati indicano se è pubblicata una protezione. Non dimostrano che un’organizzazione abbia subito un attacco o un accesso abusivo.

Scaricare dati e grafici.

DMARC: come funziona la protezione dalla falsificazione del mittente?

DMARC collega l’indirizzo del mittente visibile alle verifiche SPF e DKIM. SPF controlla se un server può inviare messaggi per un dominio. DKIM controlla la firma digitale del messaggio. Per superare DMARC, almeno una delle due verifiche deve riuscire. Il dominio così autenticato deve corrispondere al dominio del mittente visibile secondo le regole di allineamento. Questa corrispondenza si chiama allineamento.

Con il valore p=, il titolare del dominio richiede un trattamento specifico quando la verifica DMARC fallisce. Questo ostacola l’uso fraudolento del proprio dominio come mittente. Non impedisce l’uso di domini simili o di nomi visualizzati falsificati.

DMARC: quali regole di protezione sono pubblicate?

p=reject richiede il rifiuto del messaggio. È stato rilevato nel 13,35% dei domini e-mail esaminati. p=quarantine richiede di trattare il messaggio come sospetto, ad esempio spostandolo nello spam. Questo valore è pubblicato dal 16,65%.

p=none non richiede trattamenti particolari in base a DMARC. Riguarda il 12,91%. Altri filtri antispam possono comunque intervenire. Nel 57,07% non è stato trovato alcun record DMARC. Per un ulteriore 0,03% circa, il valore p= era assente o il suo contenuto non è stato riconosciuto. Insieme, questi gruppi rappresentano il 57,10%.

DMARC: regole di protezione pubblicate

Base: 1'700'148 domini esaminati con un record MX non vuoto. Ogni barra completa rappresenta il 100%.

p=rejectRichiedere il rifiuto se la verifica DMARC fallisce226'957 domini13,35%
p=quarantineRichiedere un trattamento come sospetto, ad esempio nello spam282'997 domini16,65%
p=noneNon richiedere trattamenti particolari in base a DMARC219'494 domini12,91%
Record DMARC assente o valore p non riconosciuto57,07% senza record. Circa 0,03% senza un valore p riconosciuto970'700 domini57,10%

Richieste pubblicate, non consegna misurata. Validità dei record non verificata completamente.

Scarica il grafico (PNG) · Grafico vettoriale (SVG)

Il 57,10% senza una regola di protezione riconosciuta e il 12,91% con p=none danno un totale del 70,01%. La metodologia spiega quali informazioni rileva lo scanner e i limiti della misurazione.

Che cosa abbiamo esaminato?

2'459'127
domini .ch esaminati
2'316'512
analizzati (94,2% dell’intero elenco)
142'615
non analizzabili (5,8% dell’intero elenco)
1'700'148
configurati per ricevere e-mail (73,39% dei domini analizzati)

Fonte: file di zona .ch di SWITCH. I domini senza una risposta analizzabile sono classificati come non misurati, non come non protetti, ed esclusi dai risultati. Se non diversamente indicato, i valori SPF, DKIM e DMARC si riferiscono ai domini con MX.

Mostra la tabella dettagliata
Ogni dato riporta il numero di domini, la base di confronto e i limiti della misurazione.
MisuraRisultatoNumero di dominiBase di confrontoGruppo esaminatoCosa indica il dato
Nessuna protezione efficace contro i mittenti falsificati70,01%1'190'1941'700'148configurati per ricevere e-mailNessuna regola supportata rilevata, oppure una regola che non richiede né isolamento né rifiuto.
p=reject: Richiedere il rifiuto se la verifica DMARC fallisce13,35%226'9571'700'148configurati per ricevere e-mailRichiesta pubblicata di rifiutare i messaggi. La consegna effettiva non è stata verificata.
Record SPF presente86,75%1'474'9061'700'148configurati per ricevere e-mailRecord rilevato. I rimandi ad altri elenchi SPF non sono stati verificati completamente.
Selettore DKIM rilevato20,15%342'5081'700'148configurati per ricevere e-mailRicerca con nomi conosciuti. Altri record possono non essere stati rilevati.
DNSSEC: record DS per autenticare le informazioni del dominio53,84%1'247'3132'316'512analizzatiSolo presenza del record DNS; nessuna validazione crittografica DNSSEC né verifica funzionale DANE.

SPF e DKIM: autorizzazione all’invio e firma digitale

SPF elenca i server autorizzati a inviare e-mail per un dominio. La regola può escludere esplicitamente tutti gli altri server o indicarli come probabilmente non autorizzati. -all produce il risultato Fail per gli altri server, mentre ~all produce Softfail. Sono risultati della verifica SPF, non garanzie di rifiuto da parte del destinatario. SPF da solo non protegge completamente l’indirizzo del mittente visibile. I rimandi ad altri elenchi SPF non sono stati verificati completamente.

Nel 19,33% non è stato rilevato alcun meccanismo all. Non significa automaticamente che l’impostazione sia errata: redirect= può rimandare alla regola SPF di un altro dominio. Se mancano sia all sia redirect= e nessun altro meccanismo corrisponde, il risultato è Neutral. SPF non conferma quindi né l’autorizzazione né la sua assenza.

DKIM è una firma digitale per le e-mail. Aiuta il destinatario a verificare quale dominio ha firmato il messaggio e se i contenuti firmati sono rimasti invariati. Per cercare una chiave DKIM serve un nome chiamato selettore. Lo scanner ha interrogato selettori noti dei provider di posta. Ha trovato un record nel 20,15% dei domini e-mail esaminati. Poiché la ricerca non copre tutti i selettori possibili, la quota effettiva può essere più alta.

SPF e DKIM: impostazioni rilevate

Base: 1'700'148 domini esaminati con un record MX non vuoto. Ogni barra completa rappresenta il 100%.

Record SPF presenteSono pubblicati i server autorizzati all’invio1'474'906 domini86,75%
SPF -all: FailGli altri server sono dichiarati non autorizzati571'967 domini33,64%
SPF ~all: SoftfailGli altri server sono considerati probabilmente non autorizzati486'459 domini28,61%
SPF senza meccanismo allÈ possibile un rimando redirect. Non dimostra l’assenza di protezione328'576 domini19,33%
Selettore DKIM rilevatoChiave pubblica di verifica trovata tramite un selettore noto342'508 domini20,15%

Categorie sovrapposte. Rimandi SPF non seguiti completamente. La rilevazione DKIM è un limite inferiore.

Scarica il grafico (PNG) · Grafico vettoriale (SVG)

Dettagli tecnici della ricerca DKIM

I due dati seguenti descrivono i record DKIM trovati. La base è costituita dai domini con un selettore rilevato. Nel 31,65% è stato salvato un valore di chiave codificato corto. Questo non dimostra una vulnerabilità. Il controllo della lunghezza non distingue RSA da Ed25519, per cui anche valori corti possono essere validi. Nel 7,44% è stato rilevato un indicatore di test. Non dimostra che fosse effettivamente in corso un test.

MX: quali provider di posta si possono identificare?

L’attribuzione si basa su schemi riconoscibili nei nomi dei server di posta. Non indica quote di mercato esatte né la sicurezza di un provider. Non permette neppure di stabilire con certezza chi gestisce effettivamente il server.

MX: classificazione secondo i nomi dei server di posta

Base: 1'700'148 domini esaminati con un record MX non vuoto. Ogni barra completa rappresenta il 100%.

HostpointSchema riconosciuto nel nome del server348'340 domini20,49%
InfomaniakSchema riconosciuto nel nome del server178'072 domini10,47%
Microsoft 365Schema riconosciuto nel nome del server160'129 domini9,42%
Google WorkspaceSchema riconosciuto nel nome del server59'683 domini3,51%
Non attribuito / forse autogestitoNessuno schema associato a un provider432'455 domini25,44%
Altre categorieAltri schemi attribuiti dallo scanner405'385 domini23,84%
Sconosciuto / non riconosciutoNessuna attribuzione riconosciuta0 domini0,00%

Non sono quote di mercato o giudizi di sicurezza. I nomi non dimostrano chi gestisce davvero il server.

Scarica il grafico (PNG) · Grafico vettoriale (SVG)

Mostra la tabella dettagliata
Attribuzione secondo schemi riconoscibili nei nomi dei server. Ogni riga si riferisce ai domini con MX.
Provider di posta identificatoNumero di dominiQuotaBase di confrontoGruppo esaminatoCosa indica il dato
Non attribuito / potenzialmente autogestito432'45525,44%1'700'148configurati per ricevere e-mailAttribuzione secondo il nome del server. Non dimostra quote di mercato, sicurezza o identità del gestore effettivo.
Sconosciuto / non riconosciuto405'38523,84%1'700'148configurati per ricevere e-mailAttribuzione secondo il nome del server. Non dimostra quote di mercato, sicurezza o identità del gestore effettivo.
Hostpoint348'34020,49%1'700'148configurati per ricevere e-mailAttribuzione secondo il nome del server. Non dimostra quote di mercato, sicurezza o identità del gestore effettivo.
Infomaniak178'07210,47%1'700'148configurati per ricevere e-mailAttribuzione secondo il nome del server. Non dimostra quote di mercato, sicurezza o identità del gestore effettivo.
Microsoft 365160'1299,42%1'700'148configurati per ricevere e-mailAttribuzione secondo il nome del server. Non dimostra quote di mercato, sicurezza o identità del gestore effettivo.
Google Workspace59'6833,51%1'700'148configurati per ricevere e-mailAttribuzione secondo il nome del server. Non dimostra quote di mercato, sicurezza o identità del gestore effettivo.
Altre categorie di impronta116'0846,83%1'700'148configurati per ricevere e-mailAttribuzione secondo il nome del server. Non dimostra quote di mercato, sicurezza o identità del gestore effettivo.

DNSSEC e trasporto: quali record sono presenti?

Altri record riguardano la protezione delle informazioni del dominio, i certificati e la cifratura durante il trasporto delle e-mail. Alcuni annunciano rapporti sugli errori o rimandano a un logo del mittente. La tabella indica se queste informazioni erano presenti. Non sono stati verificati il funzionamento delle protezioni, la validità dei certificati, la visualizzazione dei loghi o l’invio dei rapporti.

DNSSEC e trasporto: record rilevati

Per DS, la base è di 2'316'512 domini analizzati. Per gli altri dati, è di 1'700'148 domini con MX. Ogni barra completa rappresenta il 100% del relativo gruppo.

DNSSEC: DSCollegamento per autenticare le informazioni DNS1'247'313 su 2'316'512 domini53,84%
DANE: TLSAInformazioni per verificare il certificato del server di posta652'997 su 1'700'148 domini38,41%
MTA-STS: TXTIndicazione di regole per il trasporto cifrato delle e-mail2'534 su 1'700'148 domini0,15%
TLS-RPT: TXTInformazioni per segnalare problemi di trasporto2'728 su 1'700'148 domini0,16%

Solo presenza dei record. Funzionamento di DNSSEC, DANE, regole HTTPS e invio dei rapporti non verificato.

Scarica il grafico (PNG) · Grafico vettoriale (SVG)

Mostra la tabella dettagliata
Ogni dato riporta il numero di domini, la base di confronto e i limiti della misurazione.
Record DNSRisultatoNumero di dominiBase di confrontoGruppo esaminatoCosa indica il dato
DNSSEC: record DS per autenticare le informazioni del dominio53,84%1'247'3132'316'512analizzatiÈ stata misurata solo la presenza del record. Il funzionamento di DNSSEC e DANE non è stato verificato.
DANE: record TLSA per verificare il certificato del server38,41%652'9971'700'148configurati per ricevere e-mailÈ stata misurata solo la presenza del record. Il funzionamento di DNSSEC e DANE non è stato verificato.
MTA-STS: indicazione DNS di regole per il trasporto cifrato0,15%2'5341'700'148configurati per ricevere e-mailRecord rilevato. Il funzionamento non è stato verificato.
TLS-RPT: record DNS per segnalare problemi di trasporto0,16%2'7281'700'148configurati per ricevere e-mailRecord rilevato. Il funzionamento non è stato verificato.
BIMI: rimando DNS a un logo del mittente0,08%1'3121'700'148configurati per ricevere e-mailRecord rilevato. Il funzionamento non è stato verificato.
CAA: autorità di certificazione consentite1,50%25'4911'700'148configurati per ricevere e-mailRecord rilevato. Il funzionamento non è stato verificato.

Cosa non misura questo rapporto

  • la recapitabilità effettiva o la valutazione antispam
  • phishing, violazioni di dati o caselle di posta compromesse
  • la sicurezza, qualità o affidabilità di ogni azienda, host o provider
  • la possibilità di sfruttare host MX non risolvibili

Come sono state effettuate le misurazioni

Il rapporto esamina le impostazioni pubbliche dei domini .ch. Il programma di misurazione ha consultato soltanto l’elenco pubblico di Internet. Non ha inviato e-mail, aperto caselle di posta o valutato aziende.

Le misurazioni si sono svolte dal 21 al 23 agosto 2026, usando un elenco fisso di domini .ch del 12 aprile 2026. I domini registrati dopo quella data non sono tutti inclusi.

Per 142'615 domini non è stata ottenuta una risposta utilizzabile. Non sono stati conteggiati come non protetti e sono esclusi dai risultati. Questi domini possono essere diversi da quelli analizzati. I risultati non possono quindi essere applicati automaticamente anche a loro.

Il programma riconosce alcune informazioni nelle regole DMARC pubblicate. Non ne verifica completamente la validità. Se sono presenti più regole, può scegliere la prima. Inoltre, non scarta tutte le informazioni errate o ripetute. Le percentuali si riferiscono quindi a questo metodo di ricerca.

Una regola che vale soltanto per una parte delle e-mail non dimostra una protezione completa. L’impostazione p=none non indica neppure se i rapporti sono configurati o letti.

I termini essenziali in parole semplici

  • DNS: l’elenco pubblico delle informazioni tecniche di un dominio.
  • MX: indica i server previsti per ricevere le e-mail di un dominio. Anche senza questa voce, un dominio può inviare e-mail e, in alcuni casi, riceverle.
  • SPF: indica i server autorizzati a inviare e-mail per conto di un dominio.
  • DKIM: aggiunge una firma digitale alle e-mail in uscita.
  • DMARC: indica cosa viene chiesto al destinatario quando il mittente di un’e-mail non può essere confermato.
Fonte datiFile di zona .ch di SWITCH (2026-04-12)
Periodo di misurazione –
MetodoSono stati consultati soltanto i servizi DNS pubblici. Nessuna connessione a siti web o server di posta, nessuna ricerca di porte aperte, nessun accesso ad account e nessun invio di e-mail.
Servizi DNS utilizzati1.1.1.1, 8.8.8.8, 9.9.9.9, 1.0.0.1, 8.8.4.4
Codice e metodoswiss-email-security-report
PubblicoDati raggruppati, grafici, codice e documenti di verifica.
Non pubblicoDati grezzi relativi ai singoli domini.

Limiti dell'analisi

  • La ricerca DKIM usa nomi noti dei servizi di posta. Può non trovarne altri. Il numero reale di domini che usano DKIM può quindi essere più alto.
  • Le chiavi sono state valutate soltanto in base alla lunghezza della loro versione codificata. La loro sicurezza non è stata verificata.
  • I rimandi ad altri elenchi nelle regole SPF non sono stati seguiti tutti.
  • Per MTA-STS è stata verificata soltanto la presenza di una voce DNS. La regola pubblicata sul sito corrispondente non è stata consultata.
  • I risultati sono raggruppati e non permettono di giudicare una singola organizzazione.

Correzioni e domande metodologiche:

Citazione

Hadorn, P. (2026). Rapporto svizzero sulla sicurezza delle e-mail 2026. WebEvolve.ch.
https://webevolve.ch/it/studi/rapporto-sicurezza-email-svizzera/
Dataset archiviato (v2026.08.2), DOI: 10.5281/zenodo.22116736

Scaricare dati e grafici

Qui trovate i risultati aggregati e i grafici da riutilizzare. Sono pubblici solo i totali e le percentuali, non gli elenchi di domini o i risultati dei singoli domini.

Scarica i dati (CSV)
Scarica i dati (JSON)

Codice sorgente e metodo su GitHub
Dataset su Zenodo

Potete riutilizzare dati e grafici con licenza CC BY 4.0. Indicate Peter Hadorn / WebEvolve come fonte, inserite un link a questo studio e segnalate eventuali modifiche.

Grafici dei risultati

I grafici si trovano nei rispettivi capitoli. Lì è possibile scaricarli in formato PNG o SVG.

Correzioni e domande

Avete trovato un errore? Scrivete a hallo@webevolve.ch.

Indicate il dato o il file interessato e descrivete il problema con elementi verificabili. Esaminiamo le segnalazioni e documentiamo le correzioni confermate. Le modifiche ai valori misurati vengono pubblicate in una nuova versione. Le versioni precedenti restano accessibili e citabili. I file archiviati su Zenodo non vengono sostituiti senza pubblicare una nuova versione.

Non pubblicate dati grezzi relativi a singoli domini. Rispondiamo alle richieste sui singoli domini nei limiti della protezione dei dati e degli accordi sulle fonti.

Le precisazioni del 6 settembre 2026 riguardano i limiti delle misurazioni DMARC, DKIM e DNSSEC. I valori misurati e l’archivio pubblicato restano invariati.

Precisazioni metodologiche e correzioni dello scanner (in inglese)

Domande frequenti

Quanti domini .ch non si proteggono efficacemente dalla falsificazione del mittente?

Il 70,01% dei domini .ch esaminati e configurati per ricevere e-mail non si protegge efficacemente dalla falsificazione del mittente. Nel 57,07% non è stato rilevato alcun record DMARC. Circa lo 0,03% non ha un valore p riconosciuto. Un altro 12,91% pubblica p=none, senza richiedere né isolamento né rifiuto. Si tratta di 1'190'194 domini su 1'700'148.

Significa che questi domini hanno subito un attacco?

No. Il rapporto misura impostazioni pubbliche. Non dimostra né un attacco né l’accesso illecito a una casella di posta.

Quali regole di protezione esistono?

L’impostazione p=none non richiede di isolare o rifiutare i messaggi. Può servire a osservare cosa succede. Non abbiamo verificato se i rapporti sono configurati o letti. Con p=quarantine, i messaggi sospetti dovrebbero essere spostati nello spam. Con p=reject, dovrebbero essere rifiutati. Non abbiamo verificato se il destinatario segue queste indicazioni per ogni messaggio.

SPF basta da solo?

No. SPF da solo non protegge da tutte le forme di falsificazione del mittente.

Come sono stati esaminati i domini?

Abbiamo consultato soltanto i servizi DNS pubblici. Non sono state inviate e-mail e nessun server di posta è stato contattato direttamente.

Perché alcuni domini non hanno potuto essere analizzati?

Non hanno fornito una risposta DNS utilizzabile durante la misurazione. Non sono quindi conteggiati come non protetti e sono esclusi dai risultati. Si tratta di 142'615 domini su 2'459'127.

La ricerca trova tutti i domini che usano DKIM?

No. La ricerca usa nomi noti dei servizi di posta. I nomi personalizzati o sconosciuti possono sfuggire. Il numero reale di domini che usano DKIM può quindi essere più alto.

È stata verificata la ricezione delle e-mail?

No. Non sono state inviate e-mail né esaminate caselle di posta.

Quali dati sono pubblici?

Sono pubblici i dati raggruppati, i grafici, il codice del programma e i documenti di verifica. I risultati dei singoli domini restano privati.

Come citare il rapporto?

Hadorn, P. (2026). Rapporto svizzero sulla sicurezza delle e-mail 2026. WebEvolve.ch.

↑

Proteggete il vostro dominio e-mail.

Esaminiamo la vostra situazione attuale e definiamo i prossimi passi più adatti alla vostra azienda.

Prenotare una consulenza