Un nuovo white paper tecnico pubblicato l'8 aprile 2026 dalla società di sicurezza blockchain TrustNFT.io, con sede a Miami, sostiene che DMARC (Domain-based Message Authentication, Reporting and Conformance) lascia tre vuoti critici nella sicurezza email aziendale che nessuna configurazione può colmare. Il documento, intitolato "The Authentication Gap: Why DMARC Alone Is Not Enough", è rivolto ai responsabili della sicurezza IT aziendale, ai CISO e ai leader della gestione del rischio, e sostiene la verifica di dominio ancorata alla blockchain come livello di fiducia rivolto ai consumatori che lo stack di autenticazione esistente non può fornire. Per gli esperti di email marketing e i team di growth che dipendono dall'email come canale di revenue, i risultati hanno implicazioni dirette per la deliverability, la fiducia nel brand e il ROI delle campagne.
I Tre Vuoti che DMARC Non Può Colmare
Il primo vuoto è costituito dagli attacchi su domini contraffatti. DMARC protegge solo il dominio registrato esatto e offre zero protezione contro le email inviate da indirizzi contraffatti che i criminali registrano per impersonare i grandi brand. I ricercatori di sicurezza hanno confermato questo in modo indipendente, notando che anche con autenticazione corretta e enforcement, DMARC è efficace solo contro lo spoofing del dominio diretto e non può prevenire domini lookalike o cugini.
In un singolo periodo di monitoraggio di 30 giorni, gli utenti di TrustNFT Guardian hanno segnalato phishing da quattro domini contraffatti separati che prendevano di mira un grande utility, tutti i quali hanno superato l'autenticazione DMARC per i loro domini fraudolenti. Questo dettaglio è importante: il controllo DMARC è passato perché il dominio fraudolento aveva i suoi record validi. Il protocollo ha funzionato esattamente come previsto, eppure l'attacco di phishing ha comunque avuto successo.
Il secondo vuoto è l'assenza di qualsiasi segnale di fiducia visibile al consumatore. DMARC opera interamente in background. Anche quando un'azienda ha un enforcement DMARC perfetto, i consumatori non vedono alcun badge, alcun indicatore e nessuna conferma visibile che un'email sia genuina, lasciandoli senza modo di distinguere un'email conforme a DMARC da una sofisticata impersonificazione.
Il terzo vuoto riguarda i numeri di adozione grezzi. Secondo Newswire, il white paper sostiene che meno del 50% delle aziende Fortune 500 ha pubblicato alcun record DMARC, e meno del 30% ha lo standard configurato al livello di enforcement più protettivo.
Cosa Mostrano i Dati Più Ampi
Il quadro dell'adozione è più sfumato di quanto il white paper suggerisca, e altre ricerche recenti vale la pena comprenderle insieme ad esso.
Secondo il Rapporto DMARC Adoption and Enforcement 2026 di EasyDMARC, l'adozione Fortune 500 ha raggiunto 475 aziende su 500, con più dell'80% in politiche a livello di enforcement. Questo contrasta con la cifra di TrustNFT, sebbene la discrepanza probabilmente rifletta quando ogni dataset è stato catturato e come viene definito "record DMARC valido".
Dove entrambe le fonti concordano è sul divario di enforcement al di sotto della Fortune 500. Solo il 15,2% delle aziende Inc. 5000 ha raggiunto il livello di enforcement p=reject, e più della metà rimane in una politica di sola monitoraggio p=none che fornisce visibilità ma li espone agli attacchi di phishing. I dati a livello di dominio più ampi sono ancora più preoccupanti: a dicembre 2025, solo il 14,9% dei domini da un campione di 73,3 milioni aveva implementato alcuna politica DMARC, e solo il 2,5% ha applicato l'impostazione più ristretta di p=reject, con l'83,9% di tutti i domini che non mostra alcun record DMARC visibile, secondo il tracker globale di adozione DMARC di Red Sift.
Come nota EasyDMARC nel suo rapporto 2026, l'adozione di DMARC è diventata diffusa, ma l'adozione da sola non garantisce protezione. Molte organizzazioni hanno implementato record DMARC per soddisfare i requisiti tecnici ma non hanno progredito verso politiche che bloccano attivamente l'email spoofed.
Per gli esperti di email marketing, la conseguenza pratica è reale. La ricerca di sicurezza dei domini CSC mostra che l'80% dei domini che assomigliano ai brand Global 2000 è di proprietà di terze parti, e il 42% di questi è configurato per inviare email. Quando i criminali inviano email lookalike convincenti che superano i loro stessi controlli DMARC, i destinatari che rimangono bruciati spesso smettono di interagire completamente con il brand reale.
La Proposta Blockchain
Il white paper di TrustNFT include una roadmap di implementazione a quattro livelli che copre SPF, DKIM, DMARC e verifica blockchain, insieme a un confronto tecnico di ciò che ogni livello protegge e quali vulnerabilità rimangono non affrontate senza lo stack completo.
La ricerca dell'azienda indica che implementare lo stack di autenticazione completo combinato con la verifica di dominio ancorata alla blockchain riduce gli attacchi di impersonificazione riusciti fino al 67% quando completamente distribuito. TrustNFT Verify consente alle aziende di registrare i loro domini di invio sulla blockchain attraverso un processo che richiede l'aggiunta di un singolo record DNS, con verifica completa tipicamente completata entro 48 ore.
Vale la pena notare che TrustNFT è un vendor con un prodotto commerciale da vendere. La cifra del 67% proviene dalla ricerca proprietaria dell'azienda, e il white paper funge sia da argomento tecnico che da pitch di prodotto. La verifica indipendente di questa affermazione non è ancora disponibile.
Cosa Dovrebbero Assimilare gli Esperti di Email Marketing
DMARC rimane un fondamento non negoziabile. Il costo medio di una violazione correlata al phishing era di circa 4,88 milioni di dollari nel 2025, e le organizzazioni statunitensi che hanno applicato DMARC a livello di politica hanno ridotto la consegna di phishing riuscita dal 69% al 14%, secondo il Rapporto DMARC Adoption 2025 di EasyDMARC. Questo da solo giustifica il raggiungimento di p=reject.
Ma il documento TrustNFT sottolinea qualcosa che gli esperti di marketing spesso trascurano: l'autenticazione è invisibile ai clienti. Quando il tuo brand viene impersonato tramite un dominio lookalike, i tuoi subscriber non possono fare la differenza, e il danno reputazionale ricade su di te indipendentemente da quanto puliti siano i tuoi stessi record DNS.
Le priorità immediate per qualsiasi team di marketing o growth sono chiare:
- Sposta la tua politica DMARC da
p=noneap=quarantineop=reject - Configura il reporting aggregato
RUAin modo da poter vedere chi sta inviando per tuo conto - Monitora le registrazioni di domini lookalike che prendono di mira il tuo brand
- Assicurati che ogni piattaforma di invio di terze parti (ESP, CRM, mail transazionale) sia correttamente inclusa nel tuo record
SPFe firmi conDKIM
Se la verifica blockchain diventerà un livello mainstream dello stack di fiducia email rimane da vedere. Ciò che è già chiaro è che DMARC da solo non è mai stato progettato per risolvere il problema dell'impersonificazione del brand a livello di ecosistema di dominio, e trattarlo come una soluzione completa lascia esposti sia i tuoi clienti che la tua reputazione come mittente.
