Quanti domini popolari usano SPF, DMARC e MTA-STS nel 2026?

Cosa ha rilevato lo studio?

Pubblicare SPF e DMARC è ormai la norma tra i domini popolari; applicarli no. Nove domini di posta su dieci tra i primi 1,000 pubblicano un record DMARC, ma solo la metà dice ai destinatari di rifiutare la posta che non supera il controllo. Uno su sette resta su p=none, che raccoglie report e non blocca nulla, e un quarto va in quarantena. Quasi ogni record DMARC chiede report aggregati: il 93.3% contiene un indirizzo rua.

SPF racconta la stessa storia. Il 93.9% pubblica un record, ma un hard fail (-all) ne chiude solo il 49.8%; il 37.9% termina con un soft fail (~all). Tre domini pubblicano due record SPF, che la RFC 7208 considera un errore permanente, e la nostra guida al record SPF mostra perché un solo record deve includere ogni mittente.

Il trasporto sicuro è molto indietro. MTA-STS, che obbliga i server mittenti a usare TLS, è pubblicato da 36 dei 688 domini di posta (5.2%), e SMTP TLS reporting da 43. Solo 30 dei 691 combinano SPF, una politica DMARC applicata e MTA-STS.

I domini che non inviano posta si proteggono?

Per lo più no. 306 dei 1,000 domini non hanno record MX o hanno un MX nullo (RFC 7505), quindi non inviano mai posta legittima. Un criminale può comunque usarne uno qualsiasi nella riga From. La correzione costa due record DNS: SPF "v=spf1 -all" e DMARC "p=reject". 95 dei 306 pubblicano l'hard fail SPF e 92 la politica DMARC reject, quindi circa due su tre lasciano la porta aperta.

Lo stesso vale per un dominio personale che conservi per dopo, o per un secondo dominio acquistato solo per proteggere il proprio indirizzo. La guida alla configurazione di DMARC include il set di record senza posta, e l'editor DNS di Postelva ha un modello con un clic per questo.

Come è stato condotto lo studio?

Abbiamo preso la lista Tranco PY2NJ, costruita con i dati di cinque fornitori tra il 13 ottobre e l'11 novembre 2026, e ne abbiamo tenuto i primi 1,000 domini. Ogni dominio ha ricevuto sei ricerche DNS tramite il resolver DNS-over-HTTPS pubblico di Cloudflare il 12 novembre 2026: MX sull'apice, TXT sull'apice (SPF) e TXT su _dmarc, _mta-sts, _smtp._tls e default._bimi.

Un dominio conta come ricevente posta quando ha almeno un record MX diverso da un MX nullo. SPF conta quando esattamente un record TXT inizia con v=spf1, e la sua politica si legge dal meccanismo all. DMARC conta quando un record TXT su _dmarc inizia con v=DMARC1, e la sua politica è il tag p. Una ricerca fallita dopo tre tentativi è esclusa da quella riga. Tranco classifica i domini registrabili, quindi alcune voci sono nomi di infrastruttura che non inviano mai posta; per questo le cifre sulla posta usano solo i 691 domini con record MX.

Le risposte grezze e lo script sono conservati con lo studio. Pubblichiamo solo i totali, senza nomi di domini.

Cosa significano i dati per il proprio dominio

Un dominio personale o familiare può eguagliare il meglio dei primi 1,000 in un pomeriggio. Secondo il sondaggio di Postelva del 12 novembre 2026, 347 dei 691 domini di posta più popolari rifiutano la posta che non supera il controllo con DMARC p=reject e 36 pubblicano MTA-STS; un dominio collegato a Proton Mail, Fastmail o Zoho Mail tramite i nostri modelli parte già con SPF, DKIM e DMARC scritti.

L'ordine solito è SPF e DKIM per primi, DMARC su p=none per una settimana di report, poi quarantena e reject; il confronto tra SPF, DKIM e DMARC spiega cosa verifica ciascun record. MTA-STS richiede un piccolo file di politica su un host web, come mostra la nostra guida a MTA-STS. Un .com su Postelva costa 12,49 USD/anno, lo stesso prezzo ogni anno.