Ogni email che il tuo ecommerce invia — conferma d’ordine, notifica di spedizione, promemoria carrello abbandonato — è anche un’opportunità per un truffatore di spedirne una identica, con il tuo nome e il tuo logo, ma con un link verso un sito falso. Se il tuo dominio non è protetto correttamente, quella email fraudolenta arriva nella casella di posta del cliente con la stessa credibilità delle tue comunicazioni ufficiali. Una ricerca recente mostra quanto questo problema sia diffuso, e quanto sia facile — se lo sai fare — verificarlo sul proprio dominio in pochi minuti.
Il dato: un ecommerce su tre non protegge le email dei clienti
Una ricerca di Proofpoint condotta sulle 20 piattaforme di viaggio online più popolari in Italia ha rilevato che il 30% di questi siti non implementa nemmeno le misure di cybersecurity più elementari sulle proprie email, esponendo di fatto quasi la metà dei clienti italiani al rischio di frodi via posta elettronica. Il dato riguarda il settore travel, ma il problema tecnico di fondo — l’assenza o la configurazione parziale del protocollo DMARC — è trasversale a qualunque ecommerce, non un’esclusiva di quel comparto. E il momento non potrebbe essere peggiore per ignorarlo: gli acquisti online in Italia sono cresciuti del 14% nel 2025, il che significa più email transazionali in circolazione e più occasioni per chi vuole intercettarle o falsificarle.
Cos’è il DMARC e perché conta più di quanto sembri
DMARC (Domain-based Message Authentication, Reporting and Conformance) è il protocollo che permette a un dominio di dichiarare, in modo verificabile dai server di posta di destinazione, quali email sono davvero legittime e cosa fare con quelle che non superano il controllo. Senza DMARC configurato correttamente, chiunque può inviare email che sembrano provenire dal tuo dominio, e il fornitore di posta del destinatario non ha modo affidabile di distinguerle da quelle reali. Con DMARC attivo, invece, un’email contraffatta può essere segnalata, messa in quarantena o bloccata prima ancora di raggiungere la casella del cliente.
I tre livelli di protezione: dal monitoraggio al blocco
DMARC prevede tre livelli progressivi di applicazione, ed è qui che si nasconde la parte più insidiosa del problema: molti domini hanno una configurazione DMARC presente ma impostata solo in modalità di monitoraggio, che raccoglie dati sulle email sospette senza però bloccarle davvero.
- Monitoraggio (p=none): le email che falliscono il controllo vengono comunque recapitate, ma il proprietario del dominio riceve report sulle anomalie. È un primo passo utile, ma da solo non protegge nessuno.
- Quarantena (p=quarantine): le email sospette vengono deviate nello spam invece che nella posta in arrivo principale.
- Blocco (p=reject): le email che falliscono il controllo non vengono recapitate in alcun modo, nemmeno come spam.
Solo il 45% delle piattaforme travel analizzate risulta bloccare effettivamente i messaggi fraudolenti: una parte consistente si ferma al primo livello, quello che dà solo l’illusione di essere protetti.
Come verificare (in 10 minuti) se il tuo dominio è protetto
Non serve un audit di sicurezza completo per avere un primo riscontro:
- Cerca online uno dei tanti strumenti gratuiti di verifica DMARC e inserisci il tuo dominio: in pochi secondi ti dirà se il record esiste e a quale livello (none, quarantine, reject) è impostato.
- Se il record non esiste o è impostato solo su “none”, parlane con chi gestisce l’infrastruttura email o il provider che invii le comunicazioni transazionali (spesso un servizio terzo, non il tuo hosting principale).
- Passa gradualmente da “none” a “quarantine” e infine a “reject”, monitorando i report DMARC lungo il percorso: un salto diretto a “reject” senza aver prima verificato che tutte le tue email legittime siano correttamente autenticate rischia di bloccare anche le comunicazioni reali ai tuoi clienti.
Proteggere il proprio dominio email non impedisce a un truffatore di creare un sito clone del tuo ecommerce, ma gli toglie uno dei canali più efficaci per portare i clienti su quel sito: la tua stessa credibilità, usata contro di loro. È una delle poche misure di sicurezza che, una volta configurata correttamente, lavora in background senza bisogno di manutenzione costante.
