Ottobre è il Cybersecurity Awareness Month negli Stati Uniti e il Mese europeo della sicurezza informatica nell’UE. La campagna 2026 dell’agenzia statunitense CISA, «Securing the Next 250», mette al primo posto tra i suoi quattro passi fondamentali evitare e segnalare le truffe di phishing. Nell’UE, un sondaggio Eurobarometro pubblicato dalla Commissione europea il 30 settembre 2026 ha rilevato che tre dipendenti su quattro si erano imbattuti al lavoro in e-mail, messaggi o link sospetti nei sei mesi precedenti il sondaggio.
Il sito web, la posta elettronica e gli accessi dei clienti di un’azienda dipendono dai suoi nomi di dominio, e cinque impostazioni decidono se quei nomi possono essere dirottati, persi o falsificati.
Chi controlla i vostri domini?
Chi detiene l’account presso il registrar e i dati dell’intestatario. Verificate quindi entrambi: il blocco su ogni nome e i dati di contatto che vi stanno dietro.
Il vostro dominio è bloccato contro i trasferimenti?
Dovrebbe esserlo. Per .com e molte estensioni nazionali lo mostrano i dati pubblici del dominio: il blocco del registrar compare come codice di stato clientTransferProhibited, che, come spiega l’ICANN, indica al registro di respingere le richieste di spostare il dominio presso un altro registrar. I codici clientUpdateProhibited e clientDeleteProhibited fanno lo stesso per le modifiche e la cancellazione.
Alcuni registri non pubblicano alcuno stato di blocco, per esempio nic.at per .at e DENIC per .de. In questi casi, chiedete al vostro registrar come viene autorizzato un trasferimento.
Un registry lock va oltre. I codici che iniziano con server, come serverTransferProhibited, sono impostati dal registro, e alcuni registri li offrono come servizio di blocco che viene rimosso solo quando il registrar lo chiede al registro. Chiedete al vostro registrar quali dei vostri nomi possono averne uno.
Per verificare, cercate il dominio con la nostra ricerca whois, che mostra i codici di stato per un massimo di 20 nomi alla volta, quando il registro li pubblica. Poi verificate chi può rimuovere il blocco: l’ICANN consiglia agli intestatari di attivare l’autenticazione a più fattori sul proprio account presso il registrar, dove è disponibile.
I dati dell’intestatario e del contatto amministrativo sono corretti?
Dovrebbero indicare l’azienda titolare del marchio, con indirizzi e numeri che essa controlla. I registri dell’UE hanno iniziato a verificare questi dati in base alle leggi nazionali che recepiscono la direttiva NIS2. EURid ha pubblicato una policy di verifica per .eu nell’ottobre 2024, e la legge austriaca NISG 2026 è entrata in vigore il 1° ottobre 2026: gli intestatari di domini .at devono ora fornire un numero di telefono oltre a un indirizzo e-mail, e devono collaborare quando viene loro chiesto di verificare i propri dati.
Il registro austriaco avverte che prove mancanti o tardive possono portarlo a cancellare il dominio. Secondo le sue FAQ su NIS2, un dominio i cui dati non sono verificati entro 21 giorni viene messo in serverHold, il che blocca il sito web e la posta elettronica, e viene revocato se i dati non sono corretti entro altri 30 giorni.
Dal 1° ottobre, nic.at pubblica nel whois anche il numero di telefono e l’indirizzo e-mail degli intestatari che sono aziende, che prima potevano nasconderli; raccomanda quindi un indirizzo e un numero centralizzati anziché quelli personali di un dipendente.
Gli avvisi di scadenza e le richieste di verifica vengono inviati a questi contatti. Un dominio intestato a un ex dipendente, a un’agenzia o a una controllata è difficile da rinnovare, trasferire o difendere, e un indirizzo di contatto su un dominio che scade può finire nelle mani di chiunque registri quel dominio. Per verificare, chiedete al vostro registrar i dati completi di ogni dominio, poiché il whois pubblico spesso nasconde i dati dell’intestatario, e confrontate l’intestatario con la ragione sociale dell’azienda.
Chi riceve gli avvisi di scadenza dei vostri domini?
L’indirizzo e-mail dell’intestatario. Per le estensioni generiche, la politica di recupero delle registrazioni scadute dell’ICANN (Expired Registration Recovery Policy) impone ai registrar di inviare almeno due promemoria, circa un mese e circa una settimana prima della scadenza, e un altro entro cinque giorni dalla scadenza se il nome non è stato né rinnovato né cancellato. Tutti vengono inviati all’indirizzo e-mail dell’intestatario indicato nei dati di contatto.
Dopo la scadenza, un registrar può offrire un periodo di tolleranza per il rinnovo automatico da 1 a 45 giorni. Una volta cancellato un dominio generico, il registro deve offrire una Redemption Grace Period di 30 giorni, durante la quale l’intestatario può ripristinarlo tramite il registrar, eventualmente a pagamento. Il DNS viene disattivato prima della cancellazione e durante la Redemption Grace Period, quindi il sito web e la posta elettronica si fermano, comprese le caselle di posta sul dominio stesso. I registri delle estensioni nazionali stabiliscono le proprie regole.
Per tutelarvi, attivate il rinnovo automatico per ogni nome in uso, mantenete registrato un metodo di pagamento valido, fate inviare gli avvisi a una casella condivisa su un altro dominio ed elencate le date di scadenza dei prossimi dodici mesi.
I vostri domini possono essere falsificati?
Sì, nel DNS e nella posta elettronica, a meno che la zona non sia firmata con DNSSEC e ogni dominio non pubblichi SPF e DMARC.
DNSSEC è attivo, e le chiavi corrispondono ancora?
Dovrebbe esserlo ovunque il registro lo supporti, con un record DS presso il registro che corrisponda ancora a una chiave della vostra zona. Senza DNSSEC, spiega l’ICANN, un resolver non può verificare che una risposta DNS sia autentica, e un aggressore che ne avvelena la cache può indirizzare gli utenti verso una copia del vostro sito.
La nostra verifica della zona DNS legge il record DS presso il registro e le chiavi della vostra zona, e vi dice se corrispondono, senza verificare le firme. Con una chiave mancante o diversa, i resolver che convalidano DNSSEC non riescono più a risolvere il dominio, quindi eseguite la verifica dopo ogni cambio di provider DNS. Non tutti i registri supportano DNSSEC: la nostra pagina Gestione DNS spiega come lo gestiamo.
Anche la radice del DNS ha avuto la sua scadenza questo mese. L’ICANN aveva previsto che KSK-2024, la nuova chiave di firma delle chiavi della zona radice, subentrasse nella firma l’11 ottobre 2026. Un resolver che non la considera attendibile (tag della chiave 38696) tratta le risposte firmate con la nuova chiave come manomesse, e quindi ogni risoluzione fallisce, come spiegano le FAQ dell’ICANN. Se la vostra azienda gestisce resolver di convalida propri, verificate che la contengano, come chiede la pagina dell’ICANN sul rollover.
Tutti i vostri domini autenticano la posta, compresi quelli che non ne inviano?
Dovrebbero, perché un dominio che non invia e-mail può essere falsificato con la stessa facilità di uno che le invia. SPF elenca i server autorizzati a inviare la sua posta, DKIM firma ogni messaggio e DMARC dice ai server riceventi che cosa fare della posta che non supera i controlli.
Il National Cyber Security Centre (NCSC) britannico avverte che una registrazione difensiva da sola non protegge un dominio, e consiglia di proteggere per primi i domini che non inviano e-mail, perché una volta protetti non richiedono manutenzione. Elenca quattro record, da impostare in questo ordine:
- SPF senza mittenti autorizzati: v=spf1 -all;
- DMARC su _dmarc con una policy di rifiuto: v=DMARC1; p=reject, più un indirizzo per i rapporti, per individuare gli abusi;
- un record MX nullo, 0 ., quando il dominio ha un record di indirizzo ma nessun server di posta;
- facoltativamente, un record DKIM wildcard con chiave vuota, che revoca le eventuali chiavi in cache.
Per i domini che inviano posta, il piano di implementazione dell’NCSC avvia DMARC con la policy none, che si limita a raccogliere rapporti, passa a quarantine quando ogni mittente legittimo supera i controlli, e poi a reject. La verifica della zona mostra i record SPF e DMARC di qualsiasi dominio. Le chiavi DKIM si trovano sotto un selettore impostato dalla vostra piattaforma di posta, quindi verificatele lì.
Che cosa fare adesso?
Eseguite i cinque controlli su ogni dominio che possedete, poi stabilite per ciascuno quando ripeterlo.
| Impostazione | Come verificare | Quando verificare di nuovo |
|---|---|---|
| Blocco di trasferimento e accesso all’account | Codici di stato whois, quando il registro li pubblica; utenti dell’account presso il registrar e autenticazione a più fattori | Quando se ne va una persona con accesso all’account |
| Dati di contatto | Dati completi forniti dal registrar, confrontati con i dati legali dell’azienda | Dopo una riorganizzazione e a ogni richiesta del registro |
| Rinnovo e scadenza | Rinnovo automatico, metodo di pagamento, indirizzo per gli avvisi, date di scadenza | Un mese prima di ogni data di scadenza |
| DNSSEC | Verifica della zona: il record DS corrisponde a una chiave della zona | Dopo ogni cambio di provider DNS |
| SPF, DKIM, DMARC | Verifica della zona; piattaforma di posta per DKIM; rapporti DMARC | Quando si aggiunge o si rimuove un servizio che invia e-mail a vostro nome |
Domgate registra e gestisce domini nazionali per i titolari di marchi e i loro consulenti. Pubblica i record SPF, DKIM e DMARC e porta la policy DMARC a reject per gradi. Il suo audit di strategia globale per i nomi di dominio elenca ogni nome con intestatario, contatti e data di scadenza, poi stabilisce regole per i rinnovi e la sicurezza, compreso un registry lock dove l’estensione lo offre.
