Defaults.Exposed › Correzioni › Guides

Quel vecchio dominio del Suo rebranding è una porta lasciata aperta — come bloccare i domini che non inviano email (2026)

Pubblicato 2026-07-08

Cifre aggiornate al 2026-06-29 · metodologia v7. Dati aggregati del censimento su 261 milioni di domini valutati — non pubblichiamo mai i risultati di un singolo dominio. Veda come assegniamo i voti.

Un dominio che non invia mai email può comunque essere usato per inviare email a nome della Sua azienda — fatture false, richieste ai fornitori, cambi di coordinate per gli stipendi — a meno che il suo DNS non dica il contrario. Tre record gratuiti lo chiudono a chiave, circa dieci minuti per dominio. Il 46,4% dei domini non ha alcun record SPF, secondo il censimento Defaults.Exposed di 261.086.232 domini (al 2026-06-29).

La soluzione è breve e gratuita: per ogni dominio che possiede ma da cui non invia mai nulla, pubblichi tre piccoli record DNS (più un quarto facoltativo) che dicono ai sistemi di posta di tutto il mondo “nessuno può inviare a nome di questo dominio, rifiutate qualsiasi tentativo, e non riceve nemmeno posta”. Questa guida Le dà i record esatti, come trovare i domini che ha dimenticato, e cosa consegnare al Suo tecnico informatico.

Di quali domini stiamo parlando?

Quasi ogni azienda con più di qualche anno di vita li ha:

• Il vecchio nome. Ha cambiato marchio nel 2014 e ha tenuto il vecchio dominio “così non se lo prende nessun altro”. Si rinnova ancora sulla carta di credito di qualcuno; nessuno lo guarda da allora.
• Le registrazioni difensive. Il .com comprato insieme al Suo .ie o .de, la versione con il trattino, l’errore di battitura più comune.
• Le registrazioni dell’agenzia. Un dominio per una campagna che un’agenzia di marketing ha registrato per Suo conto anni fa — magari nemmeno nel Suo account presso il registrar.
• Il dominio che fa solo da reindirizzamento. Manda i visitatori al Suo sito vero, quindi sembra sistemato. Non lo è: il reindirizzamento web non fa nulla per l’email.

Nessuno di questi domini invia email. Tutti possono — per un server di posta ricevente, un dominio senza record email non è “chiuso”, è “non rivendicato”. Chiunque può mettere il Suo vecchio nome nel campo mittente di un’email fraudolenta, e a chi la riceve non è stato dato alcun motivo per rifiutarla.

Perché un dominio che non invia nulla può essere usato per inviare email a mio nome?

L’email è nata sulla fiducia: di default, qualsiasi server ovunque nel mondo può dichiarare di inviare per conto di qualsiasi dominio. I record che revocano quella fiducia funzionano solo se qualcuno li pubblica — e su un dominio parcheggiato, nessuno l’ha mai fatto. Il Suo dominio attivo probabilmente ne ha ricevuti alcuni alla configurazione dell’email; il dominio del rebranding non ha ricevuto nulla.

I numeri dicono quanto sia normale. Dei 261.086.232 domini valutati nel censimento Defaults.Exposed (al 2026-06-29), il 46,4% non pubblica alcun record SPF, e il 89,41% non ha una policy DMARC applicata — l’impostazione che dice ai riceventi di rifiutare gli impostori. I domini parcheggiati stanno all’estremo di quella curva: nessuno vi ha configurato l’email, quindi nessuno ha mai pubblicato i record che chiudono la porta.

E il vecchio nome è un travestimento migliore di un dominio simile inventato: una fattura “da” il nome con cui i Suoi clienti L’hanno conosciuta per un decennio non fa alzare un sopracciglio — lo scenario di quella storia di frode sulle fatture che ha sentito — potrebbe capitare alla Sua azienda?. Se sospetta che stia già succedendo, inizi da qualcuno sta inviando email fingendosi Lei?.

Quali record bloccano un dominio che non invia email?

Il set completo di blocco: un lavoro di dieci minuti per dominio, ogni record gratuito, nessun servizio email necessario — solo l’accesso alle impostazioni DNS del dominio.

I primi tre sono il set; il quarto è la cintura più le bretelle. L’indirizzo per i report DMARC (rua) è la differenza tra una porta chiusa a chiave e una porta chiusa a chiave con una telecamera: se qualcuno prova a inviare a nome del Suo vecchio dominio, i report sono il modo in cui lo scopre.

Come blocco un dominio parcheggiato?

1. Prima scansioni gratis ogni dominio su defaults.exposed — due minuti ciascuno mostrano esattamente quali record mancano prima che qualcuno tocchi il DNS.
2. Acceda al DNS di quel dominio — di solito il pannello di controllo del registrar. Se l’ha registrato l’agenzia, questo passo è un’email all’agenzia.
3. Aggiunga il record SPF: un record TXT sul dominio stesso con il valore v=spf1 -all. Deve esserci esattamente un record che inizia con v=spf1.
4. Aggiunga il record DMARC: un record TXT su _dmarc con v=DMARC1; p=reject; rua=mailto:..., puntando i report a una casella su un dominio che usa davvero. Nota per il Suo tecnico informatico: i report che attraversano domini diversi richiedono il record di autorizzazione esterna (yourolddomain.com._report._dmarc.your-live-domain.com) sul dominio attivo, altrimenti semplicemente non arrivano mai.
5. Aggiunga il null MX: un record MX con priorità 0 e valore . — il modo standard (RFC 7505) per dichiarare che il dominio non riceve posta.
6. Facoltativamente, aggiunga la revoca DKIM: un record TXT su *._domainkey con v=DKIM1; p=.
7. Ripeta la scansione per confermare. Il report con il voto è una prova datata che la porta è chiusa — lo conservi per il rinnovo dell’assicurazione.

Un’avvertenza: questo set è per domini che davvero non inviano e non ricevono nulla. Se il vecchio dominio inoltra ancora silenziosamente posta verso di Lei, non è parcheggiato — gli servono invece record veri: veda la checklist email per un nuovo dominio, come correggere SPF e come correggere DMARC.

Come trovo i domini che ho dimenticato di possedere?

La maggior parte dei titolari non riesce a elencare i propri domini a memoria — è proprio questo il problema. Quattro posti dove guardare: il Suo account presso il registrar (esporti la lista completa — di solito ce ne sono più di quanti ricorda); vecchie fatture ed estratti conto della carta per addebiti di rinnovo da registrar dimenticati; l’agenzia di marketing e il Suo consulente informatico, con una domanda diretta — “quali domini avete mai registrato per noi?”; e i vecchi archivi delle campagne. Poi scansioni ognuno su defaults.exposed. Un dominio lasciato scadere è un discorso diverso — chiunque può registrarlo di nuovo, un buon motivo per continuare a pagare i 15 € l’anno per quelli che portano il Suo vecchio nome.

Domande frequenti

Il vecchio dominio reindirizza soltanto al nostro sito — questo non significa che è sistemato? No. Il reindirizzamento gestisce le persone che visitano il dominio; non fa nulla per le email inviate a suo nome — la condizione di default per il 46,4% di tutti i 261.086.232 domini del censimento (al 2026-06-29). E bloccarlo non romperà il reindirizzamento: questi record riguardano solo l’email.

Questo ferma davvero la frode? Impedisce che il Suo vecchio dominio esatto venga usato presso ogni provider di posta che rispetta questi record — inclusi tutti i grandi che i Suoi clienti usano. Non ferma i domini simili, un problema a parte trattato in qualcuno sta spoofando il Suo dominio?. Bloccato più sorvegliato è la posizione più forte in cui un dominio parcheggiato possa trovarsi — mentre il 89,41% di tutti i 261.086.232 domini valutati non ha applicato una policy nemmeno sul proprio dominio principale (al 2026-06-29).

Quanto costa e quanto tempo richiede? Niente, e circa dieci minuti per dominio — i record sono gratuiti e non c’è alcun servizio a cui abbonarsi. Trovare i Suoi domini di solito richiede più tempo che sistemarli. E vale per ogni dominio, non solo per quelli importanti: alla frode basta quello che salta.

Consegni la lista al Suo tecnico informatico

Aggiunga ogni dominio trovato alla lista che manda al Suo tecnico informatico — insieme a questo articolo, che contiene i record esatti di cui ha bisogno. Gli faccia rieseguire la scansione gratuita alla fine e farsi inoltrare i report con i voti: prova datata, in linguaggio semplice, che ogni nome che possiede è bloccato. È la pila di carte che vuole avere accanto al modulo di rinnovo dell’assicurazione cyber.

Controlli il Suo dominio → · Quella storia di frode sulle fatture che ha sentito → · Come correggere DMARC → · Solo dati aggregati. Dati archiviati ed elaborati nell’UE.