Defaults.Exposed › Relatórios
O Índice de Falsificabilidade de E-mail: Quantos Domínios Qualquer Um Consegue Forjar? (2026)
Publicado 2026-07-03
Números de 2026-06-29 · metodologia v7. Censo agregado de 261 milhões de domínios avaliados — a internet tal como a medimos — unido por domínio. Todos os números são agregados; nunca a nota de uma empresa individual. Veja como avaliamos.
Quantos domínios podem ser falsificados?
9 em 10. 89,4% da internet — 233.445.245 domínios — não publica nenhuma política que instrua os receptores a rejeitar ou marcar como lixo o correio que falha a autenticação. É isto que contamos como falsificável, e é a visão do censo pelos olhos do atacante: não “quem começou a proteger o e-mail”, mas “quem ainda pode ser personificado”. A maioria dos domínios começou — publica SPF. Muito menos terminaram, e a distância entre esses dois verbos é o índice.
O que significa “falsificável” aqui?
Uma definição precisa, porque este número é muito citado: um domínio é falsificável quando não publica nenhuma política DMARC em p=quarantine ou p=reject — a única instrução padronizada que faz com que todos os grandes receptores rejeitem ou marquem como lixo uma mensagem que falhou. Alguns receptores agem sobre um SPF estrito -all por si só, mas esse comportamento é discricionário e inconsistente entre as caixas de entrada do mundo; a imposição do DMARC é a instrução que todos honram. Portanto, um domínio falsificável não está necessariamente indefeso em toda parte — está indefeso por política, dependente da boa vontade de cada receptor.
É também por isso que publicar apenas SPF não retira um domínio deste índice: o SPF identifica o seu correio genuíno, mas sem imposição nada instrui os receptores a agir sobre as falsificações.
Quais terminações de domínio são mais falsificáveis?
A proporção de domínios avaliados sem DMARC impositivo, por terminação:
| TLD | Proporção falsificável |
|---|---|
| .xyz | 94,9% |
| .de | 78,6% |
| .com | 90,5% |
| .org | 90,0% |
| .uk | 86,6% |
| .nl | 70,6% |
Nenhum bairro da internet está a salvo — a diferença entre as terminações são graus de exposição, não categorias dela. Os extremos a nível de país são uma história à parte: veja os países mais falsificáveis para a classificação por país que este índice resume.
O corte dos servidores de correio: caixas de entrada ativas, sem proteção
A fatia mais aguda do índice: 42,7% de todos os domínios avaliados operam um servidor de correio ativo sem publicar nenhuma autenticação — 111.369.509 domínios que ao mesmo tempo recebem correio real e oferecem aos falsificadores um nome desprotegido. Não são cascas estacionadas; são domínios de correio em operação cujos proprietários nunca instalaram as fechaduras.
Por que este é o número que importa
As estatísticas de adoção lisonjeiam a internet; a falsificabilidade mede o que um atacante ainda consegue fazer. A correção é gratuita em cada passo — SPF, DKIM e, depois, uma política DMARC em p=reject — e cada domínio que termina passa dos 9-em-10 para os poucos protegidos. Os dois artigos são o mesmo conjunto de dados lido a partir de extremos opostos: este conta as portas abertas; aquele conta as fechadas.
Perguntas frequentes
O que torna um domínio falsificável?
A ausência de uma política DMARC impositiva (p=quarantine ou p=reject). Sem ela, nenhuma instrução padronizada diz aos receptores para rejeitar ou marcar como lixo o correio que falha nas verificações SPF/DKIM. 89,4% dos domínios — 9 em 10 — estão neste estado em 2026-06-29.
Eu publico SPF — o meu domínio ainda pode ser falsificado? Se nada impuser, sim. O SPF prova qual correio é genuíno; não instrui os receptores a rejeitar o resto. O mecanismo e a correção são abordados em SPF sem DMARC.
O DMARC p=quarantine torna o meu domínio seguro?
Retira-o deste índice: o correio que falha é marcado como lixo em vez de entregue na caixa de entrada. O p=reject vai mais longe e recusa-o de imediato — a configuração mais forte e o destino recomendado.
Como torno o meu domínio impossível de forjar?
Instale as três fechaduras — SPF, DKIM e DMARC em p=reject — cada uma uma alteração de DNS gratuita. Corrija a sua política DMARC é o passo de imposição que o retira do índice.
Verifique se o seu é um dos 9
O seu domínio está neste índice ou fora dele, e a resposta é gratuita de obter e gratuita de mudar.
Verifique o seu domínio → · Corrigir DMARC → · Corrigir SPF → · Os países mais falsificáveis → · Os poucos protegidos → · Apenas dados agregados. Dados armazenados e processados na UE.