A partire dal 16 aprile 2026, DMARC contribuirà per la prima volta alla Bitsight Security Rating di un'organizzazione, con un peso del 1% nell'aggiornamento annuale dell'algoritmo della piattaforma. Per le aziende che hanno considerato DMARC una "funzione opzionale", questo orientamento avrà ora un costo misurabile su un punteggio su cui assicuratori, fornitori e board si affidano per valutare il rischio informatico.
Cosa è cambiato e perché è importante
DMARC contribuirà ora alla Bitsight Rating con un peso dell'1%, riallocato dalla categoria Sistemi compromessi. Questo completa la triade dei vettori di rischio fondamentali basati sulla posta: domini Sender Policy Framework (SPF), record DomainKeys Identified Mail (DKIM) e DMARC.
I voti DMARC erano già visibili nella piattaforma Bitsight, ma prima di questo aggiornamento non avevano alcun impatto sulla valutazione complessiva. DKIM e SPF hanno entrambi un peso dell'1%, e le organizzazioni che implementano politiche DMARC vedranno ora questo investimento riflesso direttamente nella loro Bitsight Rating.
L'aggiornamento dell'algoritmo Bitsight Ratings 2026 sarà disponibile per l'anteprima a partire dal 16 aprile. Per garantire trasparenza e dare alle organizzazioni tempo per prepararsi, Bitsight offre una finestra di anteprima di tre mesi prima che l'aggiornamento diventi operativo.
Le implicazioni vanno ben oltre un singolo punto percentuale. Dalle sale riunioni alle agenzie di credito, dagli assicuratori alle autorità di regolamentazione e dagli esperti di conformità agli analisti SOC, le Bitsight Security Ratings sono integrate nel tessuto del commercio globale. Il sistema di valutazione della piattaforma è correlato con la probabilità di violazione ed è ampiamente utilizzato da assicuratori e istituzioni finanziarie. Per i team di marketing e growth, ciò significa che una postura DMARC debole può ora indirettamente influire sui premi dell'assicurazione informatica, sulle approvazioni dei fornitori e sulle decisioni di procurement, non solo sulla consegnabilità della posta.
Cosa fa effettivamente DMARC
DMARC è un protocollo di autenticazione della posta che si basa su SPF e DKIM, dando ai proprietari di domini maggiore controllo sull'autenticazione della posta, inclusa la possibilità di richiedere che SPF o DKIM superino il controllo affinché la posta sia considerata autenticata, specificare l'azione che i server di posta dovrebbero intraprendere quando l'autenticazione non riesce (ad esempio rifiutare o mettere in quarantena il messaggio) e richiedere statistiche di autenticazione ai server di posta riceventi per verificare l'efficacia della loro implementazione.
Per i marketer di posta, questo ha una dimensione diretta sulla consegnabilità. I marketer stanno capendo che DMARC non solo migliora la sicurezza ma aumenta anche la consegnabilità della posta. Quando gli ISP vedono che un mittente ha una postura di autenticazione forte, le campagne legittime è meno probabile che vengano segnalate come spam, il che è fondamentale per il successo dell'email marketing.
Il divario di adozione che crea rischio
La sfida è che la maggior parte delle organizzazioni non ha ancora raggiunto l'applicazione DMARC completa. L'adozione di DMARC tra i domini principali è aumentata dal 27,2% al 47,7% tra il 2023 e il 2025, un aumento del 75% nei domini protetti, con le politiche di applicazione (quarantena e rifiuto) in crescita del 50% durante questo periodo. Questa crescita sembra incoraggiante, ma il dettaglio dell'applicazione racconta una storia diversa.
L'adozione DMARC valida è cresciuta da 523.921 domini nel 2023 a 858.782 nel 2025 e 937.931 all'inizio del 2026. Tuttavia, p=none rimane la politica più comune a livello globale, e molte organizzazioni utilizzano ancora DMARC principalmente per la visibilità piuttosto che per la protezione attiva. Nel 2026, 525.996 domini sono rimasti a p=none.
Una politica p=none genera dati di reporting ma non fa nulla per bloccare la posta falsificata o non autenticata. L'analisi dei 10 milioni di domini internet principali ha rilevato che solo il 22,9% dei domini che inviano dati di reporting DMARC a se stessi ha una politica DMARC reject. Secondo il nuovo sistema di punteggio Bitsight, una configurazione p=none probabilmente riceverà un voto inferiore rispetto a una politica p=reject completamente applicata, il che significa che il divario di valutazione tra le organizzazioni che hanno implementato l'applicazione e quelle che non l'hanno fatto sta per diventare visibile in un punteggio esterno.
Come Bitsight valuterà DMARC
Solo i domini con criteri specifici genereranno un risultato DMARC: domini protetti da un record DMARC e domini non protetti da un record DMARC associati a un record MX. Se è presente un record MX e non è configurato alcun record DMARC, questo determina un risultato con il problema "Il record non esiste" e un voto scarso.
Per le entità che non hanno domini associati, SPF e DKIM avranno ora come impostazione predefinita N/A e non avranno alcun impatto negativo sulla valutazione. In precedenza, queste entità ricevevano voti predefiniti nonostante non avessero domini da valutare.
Misurando DMARC insieme a SPF e DKIM, Bitsight rafforza la capacità della Rating di evidenziare protezioni basate su prove contro lo spoofing e il phishing, offrendo ai team di sicurezza e rischio un indicatore più chiaro e pratico per dimostrare una postura di sicurezza della posta migliorata.
Cosa dovrebbero fare adesso gli email marketer e i proprietari di aziende
La finestra di anteprima è un'opportunità pratica per colmare il divario prima che i punteggi cambino. Ecco i passaggi più rilevanti per i team di marketing e growth:
- Verificare il record DMARC attuale. Controllare se i domini di invio dispongono di un record TXT
_dmarcvalido nel DNS. Strumenti come MXToolbox possono verificarlo in pochi secondi. - Andare oltre
p=none. Una politica di sola monitoraggio non guadagnerà un voto Bitsight forte. Lavorare versop=quarantineop=rejectconpct=100. Una politica attiva che utilizzap=rejectop=quarantineche agisce su tutti gli errori di autenticazione conpct=100è necessaria per il voto migliore possibile. - Verificare tutti i domini di invio, inclusi i domini non di posta. Bitsight cerca record SPF correttamente configurati per tutti i domini di un'organizzazione, anche quelli non utilizzati per l'invio di posta, perché gli attaccanti potrebbero tentare di falsificare la posta da un dominio anche se l'organizzazione non lo utilizza per la posta.
- Informare gli stakeholder prima della fine del periodo di anteprima. Molte organizzazioni condividono la loro Bitsight Rating con fornitori, partner, board e assicuratori. Il periodo di anteprima è un'opportunità per informare questi stakeholder e garantire l'allineamento.
I dati più ampi sono chiari su perché questo è importante. I paesi con requisiti DMARC obbligatori mostrano modelli di attacchi di phishing drammaticamente diversi. Gli USA hanno ridotto la consegna di phishing riuscito dal 69% al 14%, mentre i paesi senza mandati di applicazione come i Paesi Bassi hanno visto la vulnerabilità aumentare al 97%. Per qualsiasi organizzazione che gestisce email marketing su larga scala, il business case per l'applicazione DMARC è ora sia un argomento di sicurezza che un argomento di valutazione.
