Defaults.Exposed › Report

Il DNSSEC obbligatorio funziona? Cosa rivela l'adozione guidata dai registri (2026)

Pubblicato 2026-06-29

Dati al 2026-06-29 · metodologia v7. Dati censuari aggregati su 261 milioni di domini valutati, per terminazione di dominio nazionale (un indicatore della politica del registro, non della sede dell’azienda). «Guidato dal registro» = il registro della terminazione promuove attivamente DNSSEC tramite incentivi o requisiti — per lo più incentivi ai registrar, non obblighi di legge. «Valido» = una catena DNSSEC che valida; «rotto» = firmato ma che fallisce la validazione. Vedi come valutiamo.

Obbligare i registrar a spingere DNSSEC muove davvero l’adozione? Sì — in modo decisivo — ma con una clausola. Sulle terminazioni i cui registri guidano DNSSEC, il 9,1% dei domini ha una firma valida, contro appena il 1,3% sulle terminazioni che la lasciano ai proprietari — circa 7× più alto. La politica funziona dove l’adozione volontaria ristagna. La clausola: persino tra i leader, più domini rompono DNSSEC di quanti lo facciano correttamente — quindi la pressione del registro risolve l’attivazione, non la corretta implementazione.

Spingere DNSSEC aumenta l’adozione?

Senza ambiguità. Le terminazioni nazionali guidate dal registro si raggruppano intorno al 10–18% di DNSSEC valido; le terminazioni laissez-faire si collocano vicino al pavimento globale del 1,99%. Una percentuale di validi più alta è migliore; la percentuale di rotti è il costo di sbagliare. Al 2026-06-29:

Il 18,38% della Svezia è più di dieci volte il 1,62% di .com. Il divario non riguarda la tecnologia — è lo stesso protocollo ovunque — ma se qualcuno nella catena ha avuto un motivo per implementarlo.

La clausola: più rotto che funzionante

Ecco la metà scomoda. In ogni terminazione guidata dal registro qui sopra, il tasso di rotti è più alto del tasso di validi — la Svezia registra 30,35% di rotti contro 18,38% di validi; i Paesi Bassi 22,98% contro 11,86%. Su tutte le terminazioni guidate è 15,7% rotto contro 9,1% valido.

Questo conta perché un DNSSEC rotto non è innocuo: un resolver che valida si rifiuterà di risolvere un dominio le cui firme non tornano, quindi una configurazione errata può mandare il dominio offline — sito web ed e-mail — per una fetta di internet. Spingere l’adozione senza spingere la correttezza fa crescere i disservizi insieme alla protezione. È lo stesso problema di esecuzione che tutto il web mostra nel paradosso DNSSEC, solo amplificato dove più domini ci provano.

Perché la politica del registro batte il lasciarlo ai proprietari

DNSSEC non ha alcun evento forzante per un singolo proprietario: nulla si rompe o avvisa se lo salti, quindi su una terminazione laissez-faire come .com l’adozione resta piatta vicino al 1,62% indefinitamente. I registri che ne sono usciti l’hanno fatto tramite economia, non editti — tipicamente incentivi ai registrar (sconti o rimborsi per la firma delle zone) più automazione del provider, che è come i registri nordici, ceco e olandese hanno sollevato l’intera popolazione. È un esperimento naturale pulito: stesso protocollo, stessa difficoltà, esiti molto diversi — e la differenza è la politica del registro.

Obbligo o incentivo — cosa muove davvero l’ago?

Soprattutto l’incentivo. Nonostante l’inquadramento «obbligatorio» con cui la domanda viene di solito posta, le terminazioni ad alta adozione qui generalmente incoraggiano DNSSEC anziché imporlo per legge; gli obblighi rigidi sono più rari (alcuni governi lo richiedono per i domini del settore pubblico). La lezione per qualsiasi registro: allineare l’economia dei registrar e l’automazione verso la firma funziona — ma andrebbe abbinato a firma gestita e rotazione delle chiavi, altrimenti si fabbricano semplicemente più zone rotte.

Domande frequenti

Richiedere o incentivare DNSSEC aumenta davvero l’adozione? Sì — circa 7× nei nostri dati: 9,1% valido sulle terminazioni guidate dal registro contro 1,3% su quelle laissez-faire, al 2026-06-29.

Quale paese o TLD ha più DNSSEC? Tra le grandi terminazioni, la Svezia (.se) è in testa con il 18,38% valido — oltre dieci volte il 1,62% di .com.

Se l’adozione è più alta, DNSSEC è fatto correttamente? Spesso no. In ogni terminazione ad alta adozione, il DNSSEC rotto supera quello valido (15,7% contro 9,1% sull’insieme delle terminazioni guidate) — e un DNSSEC rotto può mandare un dominio offline.

Una piccola impresa dovrebbe attivare DNSSEC? Solo se gestito correttamente — una firma rotta è peggio di nessuna. Usa un provider che gestisca firma e rotazione delle chiavi, e verifica che validi. Vedi come riparare DNSSEC.

Controlla il DNS del tuo dominio

Verifica se il tuo DNSSEC è valido, rotto o assente — e il resto della tua postura — in modo privato e gratuito.

Controlla il tuo dominio → · Il paradosso DNSSEC → · Chi gestisce il DNS di internet? → · Riparare DNSSEC → · Solo dati aggregati. Dati archiviati ed elaborati nell’UE.