KI-Barometer · Swiss Web Report
Rapporto svizzero sulla sicurezza delle e-mail 2026
Un censimento DNS di 2'459'127 domini .ch.
Pubblicato il 19 agosto 2026 · Peter Hadorn
In breve: 7 domini di aziende svizzere su 10 che ricevono e-mail non hanno una protezione efficace contro i mittenti falsificati. In pratica, dei criminali potrebbero inviare e-mail che sembrano provenire dall'azienda stessa, ad esempio per phishing, fatture false o frode al CEO (il capo scriverebbe di persona chiedendo un bonifico urgente).
Il 70,1% dei domini .ch che ricevono e-mail (con record MX) non ha un'applicazione DMARC efficace.
DMARC è la regola che stabilisce cosa succede a un'e-mail falsificata: non fare nulla (solo monitorare), spostarla nella cartella spam, o bloccarla del tutto. «Nessuna applicazione efficace» significa: o questa regola manca del tutto, oppure è impostata solo su «monitoraggio» (p=none) e non blocca nulla. Questo non significa che un'azienda abbia subito un attacco o che una casella di posta sia compromessa: è una protezione tecnica mancante, non un incidente di sicurezza. Solo il 13,3% applica la regola più severa: il blocco attivo (p=reject).
Cosa è stato misurato e perché è rilevante?
In teoria, qualsiasi dominio .ch può essere sfruttato per frodi via e-mail a proprio nome, indipendentemente dal fatto che invii o meno e-mail. Quanto bene un dominio si difende tecnicamente è visibile pubblicamente nel DNS, nei record MX, SPF, DKIM, DMARC, DNSSEC, TLSA/DANE, BIMI, MTA-STS, TLS-RPT e CAA. Sono proprio questi record che questo rapporto ha analizzato. Stabiliscono chi è autorizzato a inviare e-mail a nome di un dominio e cosa deve fare un server di posta ricevente quando un messaggio non supera questo controllo.
I termini principali in parole semplici:
- DNS: l'elenco degli indirizzi di Internet. Traduce un indirizzo come
azienda.chin informazioni tecniche, comprese le impostazioni di sicurezza per le e-mail. - Record MX: indica che un dominio può ricevere e-mail.
- SPF: un elenco dei server autorizzati a inviare e-mail a nome di un dominio.
- DKIM: una firma digitale su ogni e-mail, che permette di verificare se è stata modificata lungo il percorso.
- DMARC: la regola che stabilisce cosa succede quando un'e-mail non supera il controllo SPF o DKIM: monitorare, mettere in spam, o bloccare.
Gli indirizzi mittente falsificati sono tra gli strumenti più comuni del phishing e della frode al CEO (Business E-Mail Compromise). SPF, DKIM e DMARC sono la risposta: gli standard aperti consolidati con cui un dominio controlla chi è autorizzato a inviare e-mail a suo nome e come un destinatario gestisce i messaggi non autorizzati.
La presenza di un record SPF non significa una protezione completa, e la pubblicazione di un record DMARC non equivale alla sua applicazione. Entrambe le distinzioni sono alla base di questo rapporto.
Stato dei dati: 19 agosto 2026. → Metodologia & limiti
3. Copertura e metodologia in sintesi
Fonte: file di zona .ch di SWITCH. Scansione nell'agosto 2026, interrogazioni DNS passive, due cicli completi. Il 5,5% con errore DNS persistente è considerato come non misurato, non come non protetto, ed è escluso da tutte le percentuali seguenti. Salvo diversa indicazione, tutte le percentuali SPF, DKIM e DMARC di questo rapporto si riferiscono ai 1'708'618 domini con record MX (73,5% dei 2'324'088 domini valutati lato DNS), non a tutti i domini .ch.
Stampa
- 2'459'127 domini .ch verificati, 1'708'618 valutati con record MX
- 70,1% senza applicazione DMARC efficace (nessun record o solo
p=none) - Solo il 13,3% applica la regola più severa
p=reject - 20,1% con selettore DKIM rilevabile; il 31,72% di questi con chiave debole (≤ 1024 bit)
4. DMARC: pubblicazione versus applicazione efficace
DMARC (Domain-based Message Authentication, Reporting and Conformance) si basa su SPF e DKIM e stabilisce la conseguenza: cosa deve succedere quando un'e-mail non supera uno di questi controlli? Sono possibili tre risposte: non fare nulla e limitarsi a segnalare (p=none), spostare nella cartella spam (p=quarantine), oppure respingere (p=reject). Solo le ultime due regole proteggono attivamente dallo spoofing di dominio. Un record pubblicato da solo non basta: deve anche essere applicato.
Base: 1'708'618 domini .ch con record MX. Del 57,2% senza record, il 99,97% non ha mai configurato un record DMARC; solo 308 domini hanno un record mal formattato senza policy valida. È una configurazione errata rara, non la norma.
Nel complesso fa 70,1%: 1'197'112 su 1'708'618 domini con record MX non hanno alcun record DMARC (57,2%), oppure hanno solo la regola di monitoraggio p=none (12,9%), che non blocca né reindirizza alcuna e-mail. È un'indicazione di una configurazione DNS assente o incompleta, non di un incidente di sicurezza.
Applicazione parziale e allineamento severo
Dei 731'804 domini con record DMARC (42,8% dei domini con record MX), lo 0,49% applica la regola solo a una parte delle e-mail (tag pct inferiore a 100). Il 12,05% utilizza un allineamento severo (adkim=s o aspf=s), che richiede una corrispondenza più stretta tra il dominio del mittente visibile e il nome di dominio verificato da SPF/DKIM.
Il 28,4% dei 615'470 domini senza record MX pubblica comunque un record DMARC. Questi domini non inviano e-mail, ma probabilmente pubblicano questa regola per impedire che qualcun altro usurpi il loro nome a scopo di spoofing.
5. SPF e DKIM
SPF (Sender Policy Framework) pubblica quali server di posta sono autorizzati a inviare e-mail a nome di un dominio. DKIM (DomainKeys Identified Mail) firma crittograficamente le e-mail, in modo che un destinatario possa verificare se un messaggio è stato modificato lungo il percorso. Entrambi sono un presupposto per DMARC, ma non lo sostituiscono: un record SPF o DKIM presente non significa, da solo, una protezione completa.
SPF
Base: 1'708'618 domini .ch con record MX. Il 5,1% utilizza il meccanismo neutro ?all, che non consente né impedisce esplicitamente lo spoofing. Il 19,3% ha un record SPF, ma nessun meccanismo di chiusura all riconoscibile.
Inoltre, lo 0,43% di tutti i domini .ch analizzabili (non solo i domini con MX) utilizza ancora il tipo di risorsa DNS SPF obsoleto 99 (tipo RR 99), contrassegnato come superato dalla RFC 7208 e non più valutato dai server di posta moderni. Il 29,3% dei 615'470 domini senza record MX pubblica comunque un record SPF, perlopiù per segnalare che il dominio non invia affatto e-mail.
Non una protezione completa: questa analisi non esegue una valutazione ricorsiva completa secondo RFC 7208 (le catene annidate include: e redirect= non vengono risolte completamente). Un record SPF presente con -all è un segnale forte, ma SPF da solo non autentica crittograficamente alcun messaggio e non protegge da tutte le varianti di spoofing.
DKIM
«Selettore trovato»: 20,1% dei 1'708'618 domini con record MX. Gli altri due valori si riferiscono ai 342'876 domini in cui è stato trovato un selettore.
Limite inferiore, non una rilevazione completa: il rilevamento DKIM verifica un elenco di nomi di selettori noti e tipici di determinati provider (tra gli altri i selettori standard di Microsoft 365 e Google Workspace). I nomi di selettori individuali e personalizzati non vengono rilevati. Il 20,1% è quindi un limite inferiore, non una prova completa dell'uso effettivo di DKIM. La valutazione «chiave debole» si basa sulla lunghezza della chiave pubblica codificata in base64 nel record DNS, non su un audit crittografico.
6. Infrastruttura e-mail svizzera
Il 73,5% dei 2'324'088 domini .ch valutati lato DNS ha un record MX ed è quindi configurato per la ricezione di e-mail. Chi ospita questa infrastruttura? La tabella qui sotto classifica i record MX per categoria di provider, come semplice panoramica della quota di mercato, non come valutazione della sicurezza o della qualità di singoli provider.
| Categoria | Domini | Quota |
|---|---|---|
| Ospitato in proprio | 433'207 | 25,4% |
| Altri / non riconosciuto | 410'893 | 24,0% |
| Hostpoint | 348'745 | 20,4% |
| Infomaniak | 179'364 | 10,5% |
| Microsoft 365 | 160'321 | 9,4% |
| Google Workspace | 59'756 | 3,5% |
| Altri provider (ciascuno < 3%, non dettagliati qui) | — | 6,8% |
Base: 1'708'618 domini .ch con record MX. «Ospitato in proprio» indica record MX che puntano a un'infrastruttura non riconosciuta come provider terzo (ad es. un server di posta proprio), senza che si tratti necessariamente di un server gestito nel proprio data center.
Oltre alla distribuzione dei provider di posta: il 53,9% dei 2'324'088 domini .ch valutati lato DNS è firmato DNSSEC, e il 96,4% ha un record NS regolare (invece di una configurazione di nameserver difettosa o parcheggiata).
Questa panoramica classifica i record MX per categoria di provider. Non valuta se un singolo provider sia più o meno sicuro di un altro: le proprietà di sicurezza SPF, DKIM e DMARC misurate in questo rapporto sono rilevate per dominio, indipendentemente dal provider di hosting.
7. Nuovi standard: DNSSEC, DANE, MTA-STS, TLS-RPT, BIMI, CAA
Oltre a SPF, DKIM e DMARC esistono ulteriori standard di sicurezza DNS più recenti per le e-mail e la crittografia del trasporto. La loro diffusione in Svizzera varia molto: da una forte concentrazione presso pochi grandi provider di hosting fino a un utilizzo praticamente inesistente.
| DNSSEC firmato | 53,9% | di tutti i 2'324'088 domini .ch valutati |
| TLSA/DANE per SMTP | 38,33% | dei domini con record MX |
| Host MX orfano (non risolvibile) | 2,24% | dei domini con record MX |
| Record CAA | 1,5% | dei domini con record MX |
| TLS-RPT | 0,2% | dei domini con record MX |
| BIMI | 0,1% | dei domini con record MX |
| MTA-STS (record TXT presente) | 0,1% | dei domini con record MX |
Non leggere il valore TLSA/DANE come una diffusione ampia: il 38,33% appare elevato, ma è fortemente concentrato presso pochi grandi provider svizzeri di hosting condiviso, che sembrano aver attivato DANE a livello di piattaforma per l'intera clientela. Non è un segnale di una configurazione individuale ampia e consapevole da parte dei titolari di dominio.
Un rischio più circoscritto ma concreto: il 2,24% dei domini con record MX, 38'351 domini, ha almeno un host MX non più risolvibile (né record A né AAAA, confermato tramite NXDOMAIN o una netta assenza di entrambi i tipi di record). Un record orfano di questo tipo può essere sfruttato da malintenzionati per scenari di acquisizione del dominio.
Gli altri quattro standard, MTA-STS, TLS-RPT, BIMI e CAA, sono tutti sotto il 2%. Per MTA-STS è stata verificata solo la presenza del record DNS TXT, non il file di policy vero e proprio: questo viene recuperato via HTTPS da un endpoint di sottodominio dedicato e non faceva parte di questa scansione DNS passiva. Un record TXT presente non è quindi una prova di una modalità MTA-STS applicata attivamente.
8. Cosa non misura questo rapporto
Questa misurazione è un'istantanea DNS, non un test di recapito delle e-mail, di phishing, di violazione dei dati o di caselle di posta compromesse.
Questo rapporto non è inoltre esplicitamente:
- Un test del recapito effettivo delle e-mail di un dominio
- Un test di phishing o spam
- Un test di violazione dei dati o data breach
- Un test su caselle di posta o account compromessi
- Una valutazione della qualità, affidabilità o sicurezza di una singola azienda, host o provider
- Un controllo di recapitabilità, spam-score o reputazione di singoli mittenti
Non è mai stata inviata alcuna e-mail, aperta alcuna casella di posta, tentato alcun login, né stabilita alcuna connessione HTTP, SMTP o di porta verso i domini scansionati stessi. L'analisi si limita a record DNS che il rispettivo gestore del dominio pubblica comunque pubblicamente.
Un record DNS mancante o debole non significa automaticamente un problema di sicurezza reale nella pratica, e un record presente e correttamente configurato non garantisce una sicurezza completa. Questo rapporto non fa alcuna affermazione su una singola azienda: tutti i numeri sono aggregati.
9. Metodologia e limiti
| Fonte dei dati | File di zona .ch di SWITCH |
| Domini nel corpus di partenza | 2'459'127 |
| Valutati lato DNS | 2'324'088 (94,5%) |
| Errore DNS persistente dopo 2 cicli completi | 135'039 (5,5%), considerato come non misurato, non come non protetto |
| Denominatore per le percentuali SPF/DKIM/DMARC | 1'708'618 domini con record MX, non tutti i domini .ch |
| Metodo di scansione | Interrogazioni DNS passive (MX, DS/DNSSEC, NS, TXT/SPF, tipo RR SPF legacy 99, DMARC, DKIM, BIMI, MTA-STS, TLS-RPT, CAA, TLSA/DANE) |
| Resolver utilizzati | 5 resolver pubblici (1.1.1.1, 8.8.8.8, 9.9.9.9, 1.0.0.1, 8.8.4.4) |
| Periodo di scansione | Agosto 2026 |
Fonte dei dati: Tutti i domini .ch tratti dal file di zona .ch di SWITCH. SWITCH gestisce la zona di dominio .ch della Svizzera.
Metodo di scansione: Esclusivamente interrogazioni DNS passive: MX, DS (DNSSEC), NS, TXT/SPF, il tipo di risorsa DNS SPF obsoleto 99, DMARC, DKIM (ricerca di selettori consapevole dei provider), BIMI, MTA-STS (solo presenza TXT), TLS-RPT, CAA e TLSA/DANE per host MX. Nessuna connessione HTTP, SMTP o di porta verso un dominio scansionato, nessun login, nessun invio di e-mail, nessuna verifica di caselle di posta. Sono stati interrogati esclusivamente 5 resolver pubblici (1.1.1.1, 8.8.8.8, 9.9.9.9, 1.0.0.1, 8.8.4.4), mai direttamente i nameserver del rispettivo dominio.
Gestione degli errori: I domini con un errore DNS sono stati riverificati nel ciclo completo successivo. Solo dopo 2 cicli completi senza esito un dominio è considerato durevolmente difettoso (perlopiù SERVFAIL dovuto a nameserver irraggiungibili o mal configurati lato gestore del dominio) ed è escluso dai numeri dei risultati DNS.
Limiti dell'analisi
- Il rilevamento DKIM è una ricerca di selettori consapevole dei provider (selettori standard noti, tra gli altri per Microsoft 365 e Google Workspace, più un elenco di nomi di selettori osservati di frequente), non un controllo esaustivo. I nomi di selettori individuali e personalizzati non vengono rilevati. I numeri DKIM sono un limite inferiore.
- La valutazione «chiave DKIM debole» si basa sulla lunghezza della chiave codificata in base64 nel record DNS (≤ 1024 bit). È un'approssimazione, non un audit crittografico della chiave reale.
- L'analisi SPF non esegue una valutazione ricorsiva completa dell'albero di risoluzione secondo RFC 7208; le catene annidate
include:eredirect=non vengono risolte completamente. - MTA-STS è stato verificato esclusivamente come presenza di un record DNS TXT. Il file di policy recuperato via HTTPS, che contiene la modalità di applicazione effettiva, non faceva parte di questa scansione.
- Il rapporto misura la presenza e la configurazione dei record DNS. Non misura il recapito effettivo delle e-mail, né un incidente di phishing o violazione dei dati, né caselle di posta compromesse.
- Non vengono pubblicati risultati individuali per dominio: tutti i numeri di questo rapporto sono aggregati.
Open source: Il codice completo dello scanner è disponibile pubblicamente su GitHub. Il codice consente un controllo metodologico e una riproduzione della scansione.
Come citare:
https://ki-barometer.ch/it/rapporto-sicurezza-email-svizzera/
Dati & riproducibilità
| File di zona | File di zona .ch di SWITCH |
| Codice dello scanner | github.com/peterhadorn/swiss-web-report (Open Source) |
| Periodo di scansione | Agosto 2026 |
| Domini nel corpus di partenza | 2'459'127 |
| Valutati lato DNS | 2'324'088 |
| Dati pubblici | Risultati aggregati su questa pagina |
| Non pubblico | Dati grezzi a livello di singolo dominio (protezione dei dati) |
| Domande metodologiche | |
| Hosting | Database e applicazioni presso UP Network (Svizzera). Sito web statico via Cloudflare. |
Correzioni & contatto
Segnalazioni di errori metodologici, informazioni contestuali mancanti o proposte di correzione: E-mail. Le correzioni inviate vengono esaminate e, se pertinenti, integrate nel rapporto.
10. Domande frequenti
Quanti domini .ch svizzeri non hanno un'applicazione DMARC efficace?
Il 70,1% dei 1'708'618 domini .ch con record MX (1'197'112 domini) non ha un'applicazione DMARC efficace: il record manca del tutto, oppure è attiva solo la policy di monitoraggio p=none.
Significa che queste aziende hanno subito un attacco?
No. La misurazione indica solo quale regola DNS è pubblicata. Non è un test di incidente di sicurezza, casella compromessa o phishing.
Qual è la differenza tra p=none, p=quarantine e p=reject?
p=none monitora soltanto e non blocca nulla. p=quarantine sposta tipicamente le e-mail non conformi nella cartella spam. p=reject le respinge presso il server del destinatario. Solo il 13,3% dei domini con record MX applica p=reject.
Un record SPF basta a proteggersi dallo spoofing delle e-mail?
No. SPF verifica solo se il server mittente è autorizzato, ma non copre tutti gli scenari di abuso. Questa analisi non esegue nemmeno una valutazione ricorsiva completa secondo RFC 7208.
Come sono stati scansionati i domini?
Esclusivamente tramite interrogazioni DNS passive verso cinque resolver pubblici (1.1.1.1, 8.8.8.8, 9.9.9.9, 1.0.0.1, 8.8.4.4). Nessuna connessione HTTP, SMTP o di porta verso i domini stessi, nessun login, nessun invio di e-mail, nessuna ispezione delle caselle.
Cosa significa il tasso di errore del 5,5%?
135'039 dei 2'459'127 domini .ch hanno continuato a restituire un errore DNS dopo due cicli di scansione completi. Questi domini sono considerati come non misurati, non come non protetti.
Il rilevamento DKIM è esaustivo?
No. Il rilevamento cerca selettori noti e tipici di determinati provider. I selettori personalizzati non vengono rilevati. Il dato rappresenta un limite inferiore.
Cosa significa una chiave DKIM debole in questo rapporto?
La valutazione si basa sulla lunghezza della chiave codificata in base64 nel record DNS (minore o uguale a 1024 bit), non su un audit crittografico.
È stata testata la recapitabilità delle e-mail?
No. Non sono state inviate e-mail né ispezionate caselle di posta. Il rapporto misura esclusivamente record DNS pubblicamente accessibili.
Come si cita questo rapporto?
Hadorn, P. (2026). Schweizer E-Mail-Sicherheitsreport 2026: Eine DNS-basierte Bestandsaufnahme von 2'459'127 .ch-Domains. KI-Barometer.ch.