Defaults.Exposed › Report

«quarentine», «ninguno», «non»: gli errori di battitura DMARC più comuni di internet (2026)

Pubblicato 2026-06-29

Cifre al 2026-06-29 · metodologia v7. Dati aggregati del censimento: il token di policy p= di ogni record _dmarc pubblicato su 261 milioni di domini valutati, deduplicati per dominio. Vedi come valutiamo.

Configurare DMARC è laborioso, e i dati lo dimostrano: 48.648 domini hanno pubblicato un record DMARC la cui policy è scritta male, scritta nella lingua sbagliata o del tutto assente — quindi non fa nulla. Hanno fatto la parte difficile (pubblicare un record) e sono inciampati sull’ultima parola. Una policy DMARC ti protegge solo se riporta esattamente p=quarantine o p=reject; qualsiasi altra cosa, e i server di posta riceventi la ignorano e il dominio può ancora essere impersonato.

Che aspetto ha un errore di battitura DMARC

DMARC ha esattamente tre policy valide: none (solo monitoraggio), quarantine e reject. Le ultime due sono quelle che fermano davvero l’impersonificazione via e-mail. Ma la policy è solo testo che una persona digita in un record DNS — e su 65 milioni di record DMARC, ecco le cose più comuni che le persone hanno digitato invece di una policy valida:

Compaiono due tipi di errore. Quelli strutturali — un record senza alcun token p=, oppure la parola letterale policy o una p isolata — significano che la sintassi è stata sbagliata. Quelli linguistici sono più umani: quarentine e quarantaine sono semplici errori di ortografia di “quarantine”, mentre ninguno (spagnolo per “none”) e non (francese) sono proprietari che scrivono la parola della policy nella propria lingua. Ognuno di essi è invalido, e ognuno significa la stessa cosa: nessuna protezione, nonostante la presenza di un record DMARC.

Perché questo conta più di quanto sembri

Una policy scritta male è probabilmente peggiore di nessun DMARC, perché sembra fatta. Il record esiste; un’occhiata rapida — o una semplice casella di conformità — dice “DMARC: presente”. Ma i riceventi rifiutano tutto ciò che non è una parola chiave di policy valida, quindi il dominio resta completamente falsificabile. Il proprietario crede di essere protetto; gli aggressori sanno che non lo è.

Per contesto, solo il 10,59% di tutti i domini raggiunge una policy di applicazione valida (27.639.358 domini). I 48.648 con una policy guasta sono una piccola fetta dei record DMARC esistenti — ma sono il fallimento più evitabile nella sicurezza delle e-mail: una sola parola digitata male tra un’azienda e una difesa funzionante.

Domande frequenti

Quali sono le policy DMARC valide? Esattamente tre: p=none (solo monitoraggio, nessuna protezione), p=quarantine e p=reject. Solo le ultime due fermano l’impersonificazione. Qualsiasi altra cosa — un errore di ortografia, un’altra lingua o un p= mancante — è invalida e ignorata.

Perché “quarentine” o “ninguno” comparirebbe in un record DMARC? Errore umano. quarentine/quarantaine sono errori di ortografia di “quarantine”; ninguno (spagnolo) e non (francese) sono proprietari che scrivono la parola nella propria lingua. DMARC accetta solo le parole chiave inglesi esatte, quindi tutte queste falliscono silenziosamente.

Una policy DMARC scritta male è peggiore di nessuna? In pratica, sì — offre la stessa protezione nulla ma sembra un controllo configurato, quindi il problema passa inosservato.

Come faccio a sapere se la mia policy DMARC è valida? Controlla il tuo dominio (sotto) — legge la tua policy effettivamente pubblicata e ti dice se è in applicazione, solo monitoraggio o invalida.

Verifica che la tua policy DMARC sia davvero valida

Un record funzionante è a una parola digitata male da uno guasto. Controlla il tuo in modo privato e gratuito — vedrai la tua policy esatta e come correggerla.

Controlla il tuo dominio → · Correggi DMARC → · Qualcuno può falsificare il tuo dominio? → · Solo dati aggregati. Dati archiviati ed elaborati nell’UE.