# Quanti domini popolari usano SPF, DMARC e MTA-STS nel 2026? > Abbiamo letto SPF, DMARC e MTA-STS per i 1,000 domini più popolari: l'88.9% dei domini di posta pubblica DMARC, il 50.2% con p=reject, il 5.2% usa MTA-STS. - URL: https://postelva.com/it/data/email-authentication-statistics-2026/ - Ultimo aggiornamento: 2026-11-12 - Editore: Postelva (https://postelva.com) Abbiamo cercato i record e-mail pubblici dei 1,000 domini più popolari nella lista Tranco dell'11 novembre 2026: MX, SPF, DMARC, MTA-STS, SMTP TLS reporting e BIMI. Ecco i dati aggregati, il metodo e i suoi limiti. **Risposta rapida — Quanti domini popolari usano SPF, DMARC e MTA-STS nel 2026?** Dei 691 domini che ricevono posta tra i 1,000 più popolari (Tranco, 11 novembre 2026), il 93.9% pubblica SPF e l'88.9% pubblica DMARC, ma solo il 50.2% applica p=reject e il 5.2% usa MTA-STS. **Postelva** ha letto i record il 12 novembre 2026 tramite DNS pubblico. ## Risultati per i 691 domini che ricevono posta *Lista Tranco PY2NJ (dal 13 ottobre all'11 novembre 2026), primi 1,000; 691 domini con record MX. Una ricerca fallita è esclusa dalla sua riga, quindi i totali differiscono di uno o tre.* | Record | Pubblicato | Quota | Cosa significa | | --- | --- | --- | --- | | SPF (TXT v=spf1) | 647 su 689 | 93.9% | Elenca i server autorizzati a inviare posta per il dominio | | SPF che termina con -all (hard fail) | 343 su 689 | 49.8% | La posta proveniente da altri server dovrebbe essere rifiutata | | SPF che termina con ~all (soft fail) | 261 su 689 | 37.9% | La posta proveniente da altri server viene solo contrassegnata | | Più di un record SPF (non valido) | 3 su 689 | 0.4% | La RFC 7208 ne ammette uno; i destinatari restituiscono un errore | | DMARC (TXT at _dmarc) | 614 su 691 | 88.9% | Una politica per la posta che non supera SPF e DKIM | | DMARC p=reject | 347 su 691 | 50.2% | La posta che non supera il controllo viene rifiutata | | DMARC p=quarantine | 168 su 691 | 24.3% | La posta che non supera il controllo finisce nello spam | | DMARC p=none | 99 su 691 | 14.3% | Solo monitoraggio: nulla viene bloccato | | MTA-STS (TXT su _mta-sts) | 36 su 688 | 5.2% | I mittenti devono usare TLS per raggiungere il dominio | | SMTP TLS reporting (TXT su _smtp._tls) | 43 su 688 | 6.2% | Segnalazioni sugli errori di consegna TLS | | BIMI (TXT su default._bimi) | 159 su 688 | 23.1% | Un record con il logo del marchio per le caselle che lo supportano | *Ultima verifica il 12 novembre 2026; i dati più vecchi riportano la propria data.* ## Cosa ha rilevato lo studio? **Pubblicare SPF e DMARC è ormai la norma tra i domini popolari; applicarli no.** Nove domini di posta su dieci tra i primi 1,000 pubblicano un record DMARC, ma solo la metà dice ai destinatari di rifiutare la posta che non supera il controllo. Uno su sette resta su p=none, che raccoglie report e non blocca nulla, e un quarto va in quarantena. Quasi ogni record DMARC chiede report aggregati: il 93.3% contiene un indirizzo rua. SPF racconta la stessa storia. Il 93.9% pubblica un record, ma un hard fail (-all) ne chiude solo il 49.8%; il 37.9% termina con un soft fail (~all). Tre domini pubblicano due record SPF, che la RFC 7208 considera un errore permanente, e la nostra [guida al record SPF](https://postelva.com/it/guides/spf-record-setup/ "How to set up an SPF record") mostra perché un solo record deve includere ogni mittente. Il trasporto sicuro è molto indietro. MTA-STS, che obbliga i server mittenti a usare TLS, è pubblicato da 36 dei 688 domini di posta (5.2%), e SMTP TLS reporting da 43. Solo 30 dei 691 combinano SPF, una politica DMARC applicata e MTA-STS. ## I 100 domini più popolari a confronto con i primi 1,000 *Tutti i domini di ciascun gruppo, che ricevano o no posta; un dominio senza posta può comunque pubblicare SPF e DMARC per impedire lo spoofing.* | Measure | Top 100 (tutti i domini) | Top 1,000 (tutti i domini) | | --- | --- | --- | | SPF pubblicato | 81 su 100 (81%) | 762 su 996 (76.5%) | | DMARC pubblicato | 76 su 100 (76%) | 730 su 998 (73.1%) | | DMARC p=reject | 51 su 100 (51%) | 439 su 998 (44%) | | MTA-STS | 10 su 100 (10%) | 38 su 994 (3.8%) | | BIMI | 17 su 99 (17.2%) | 159 su 994 (16%) | *Ultima verifica il 12 novembre 2026; i dati più vecchi riportano la propria data.* ## I domini che non inviano posta si proteggono? **Per lo più no.** 306 dei 1,000 domini non hanno record MX o hanno un MX nullo (RFC 7505), quindi non inviano mai posta legittima. Un criminale può comunque usarne uno qualsiasi nella riga From. La correzione costa due record DNS: SPF "v=spf1 -all" e DMARC "p=reject". 95 dei 306 pubblicano l'hard fail SPF e 92 la politica DMARC reject, quindi circa due su tre lasciano la porta aperta. Lo stesso vale per un dominio personale che conservi per dopo, o per un secondo dominio acquistato solo per proteggere il proprio indirizzo. La [guida alla configurazione di DMARC](https://postelva.com/it/guides/dmarc-setup/ "How to set up DMARC for a personal domain") include il set di record senza posta, e l'editor DNS di Postelva ha un modello con un clic per questo. ## Come è stato condotto lo studio? **Abbiamo preso la lista Tranco PY2NJ, costruita con i dati di cinque fornitori tra il 13 ottobre e l'11 novembre 2026, e ne abbiamo tenuto i primi 1,000 domini.** Ogni dominio ha ricevuto sei ricerche DNS tramite il resolver DNS-over-HTTPS pubblico di Cloudflare il 12 novembre 2026: MX sull'apice, TXT sull'apice (SPF) e TXT su _dmarc, _mta-sts, _smtp._tls e default._bimi. Un dominio conta come ricevente posta quando ha almeno un record MX diverso da un MX nullo. SPF conta quando esattamente un record TXT inizia con v=spf1, e la sua politica si legge dal meccanismo all. DMARC conta quando un record TXT su _dmarc inizia con v=DMARC1, e la sua politica è il tag p. Una ricerca fallita dopo tre tentativi è esclusa da quella riga. Tranco classifica i domini registrabili, quindi alcune voci sono nomi di infrastruttura che non inviano mai posta; per questo le cifre sulla posta usano solo i 691 domini con record MX. Le risposte grezze e lo script sono conservati con lo studio. Pubblichiamo solo i totali, senza nomi di domini. ## Cosa significano i dati per il proprio dominio **Un dominio personale o familiare può eguagliare il meglio dei primi 1,000 in un pomeriggio.** Secondo il sondaggio di Postelva del 12 novembre 2026, 347 dei 691 domini di posta più popolari rifiutano la posta che non supera il controllo con DMARC p=reject e 36 pubblicano MTA-STS; un dominio collegato a Proton Mail, Fastmail o Zoho Mail tramite i nostri modelli parte già con SPF, DKIM e DMARC scritti. L'ordine solito è SPF e DKIM per primi, DMARC su p=none per una settimana di report, poi quarantena e reject; il [confronto tra SPF, DKIM e DMARC](https://postelva.com/it/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC") spiega cosa verifica ciascun record. MTA-STS richiede un piccolo file di politica su un host web, come mostra la nostra [guida a MTA-STS](https://postelva.com/it/guides/mta-sts-setup/ "How to set up MTA-STS"). Un .com su Postelva costa 12,49 USD/anno, lo stesso prezzo ogni anno. ## Domande sullo studio ### Quale quota di domini popolari usa DMARC nel 2026? L'88.9% dei 691 domini che ricevono posta nei primi 1,000 di Tranco ha pubblicato DMARC il 12 novembre 2026, e il 50.2% ha usato p=reject. Su tutti i 1,000 domini, il 73.1% ha pubblicato DMARC. ### Quanti domini popolari usano MTA-STS? 36 dei 688 domini di posta (5.2%) tra i primi 1,000, e 10 dei primi 100. È il record meno adottato tra quelli controllati. ### Is p=none enough? No. Il p=none chiede solo report; la posta falsificata viene comunque consegnata. Il 14.3% dei domini di posta controllati è rimasto su p=none. ### Perché alcuni domini sono contati su 689 o 688? Una ricerca fallita dopo tre tentativi è esclusa dalla riga di quel record, quindi la base varia da uno a tre domini. ### Lo studio sarà ripetuto? Sì, con la stessa dimensione della lista, lo stesso script e gli stessi record, così i dati formano una serie datata; ogni aggiornamento è registrato nella nostra pagina degli aggiornamenti. **In sintesi** - 1,000 domini più popolari (Tranco, 11 novembre 2026), lettura DNS del 12 novembre 2026; 691 ricevono posta. - Mail domains: SPF 93.9%, DMARC 88.9%, DMARC p=reject 50.2%, p=none 14.3%. - MTA-STS è raro: 5.2% dei domini di posta, 10% dei primi 100; solo 30 combinano SPF, DMARC applicato e MTA-STS. - Dei 306 domini che non inviano posta, 92 pubblicano DMARC p=reject e 95 un hard fail SPF. - Solo totali; script e risposte grezze sono conservati per ripetere lo studio. ## Fonti e metodo 1. [Tranco list PY2NJ (top 1M, 13 October – 11 November 2026)](https://tranco-list.eu/list/PY2NJ/1000000) — Tranco (downloaded 2026-11-12) 2. [DNS over HTTPS, JSON API](https://developers.cloudflare.com/1.1.1.1/encryption/dns-over-https/make-api-requests/dns-json/) — Cloudflare (used 2026-11-12) 3. [RFC 7208: Sender Policy Framework (SPF)](https://www.rfc-editor.org/rfc/rfc7208) — IETF (consultato il 2026-11-12) 4. [RFC 8461: SMTP MTA Strict Transport Security (MTA-STS)](https://www.rfc-editor.org/rfc/rfc8461) — IETF (consultato il 2026-11-12) 5. [RFC 7505: A "Null MX" No Service Resource Record](https://www.rfc-editor.org/rfc/rfc7505) — IETF (consultato il 2026-11-12) --- Postelva: Postelva registra nomi di dominio per l'email privata — l'indirizzo che si conserva quando si cambia provider — pagati in crypto e senza KYC: nessun documento d'identità, solo un'email verificata per dominio. È gestita da DomaineGoat LLC, una società registrata a Panama; i domini sono registrati tramite il suo registrar partner accreditato ICANN. Un .com costa 12,49 USD/anno, lo stesso prezzo ogni anno.