Durante o Mês da Consciência de Cibersegurança, um projeto independente chamado Defaults Exposed publicou a edição de outubro de 2026 do seu Censo de Segurança de Domínios. Ele examinou 632.901.201 nomes de domínio obtidos dos arquivos de zona da ICANN, OpenINTEL e CommonCrawl nos dias 11 e 12 de outubro, constatou que 361.301.790 existem e avaliou 332.492.319 com base na autenticação de e-mail, no DNS e nas configurações de segurança web que publicam. Os dados agregados foram divulgados abertamente no Zenodo sob licença Creative Commons Attribution 4.0, com tabelas também no Kaggle e no Hugging Face. Essa abertura importa. Os números de adoção de DMARC normalmente chegam embrulhados no marketing de um fornecedor. Desta vez, qualquer pessoa pode reconferir cada valor.
Os números principais
O censo encontrou 83.466.694 domínios publicando um registro DMARC, ou 25,1 por cento de todos os domínios avaliados. Dessas publicações, 39.758.587 aplicam a política com p=quarantine ou p=reject, o que dá 47,6 por cento dos domínios com registro. A configuração mais rígida, p=reject, está publicada em 18.601.119 domínios. É ela que ordena aos servidores receptores recusar e-mail que finge vir do domínio, e cobre bem menos de seis por cento da internet avaliada.
As camadas de apoio contam a mesma história. 157.065.571 domínios publicam um registro SPF, mas apenas 61.408.709 o terminam com o qualificador estrito -all. Onde o censo pôde verificar DKIM, 50,5 por cento dos domínios publicam uma chave de assinatura. Só 32.980.787 domínios solicitam relatórios agregados de DMARC, o que significa que a maioria de quem publica um registro não tem visibilidade de quem está falhando na autenticação se passando por eles.
A lacuna de aplicação é a notícia
Um registro DMARC com p=none é uma política de monitoramento, não uma defesa. Ele diz aos receptores que entreguem o e-mail falsificado normalmente e apenas enviem um relatório ao proprietário. O censo mostra que essa é a posição majoritária mesmo entre as organizações que se deram ao trabalho de publicar um registro. Mais da metade de quem publica DMARC nunca saiu da fase de observação.
Para quem faz email marketing, a lacuna também é um problema de entregabilidade, e não apenas de segurança. O Gmail exige SPF e DKIM de remetentes em volume desde fevereiro de 2024, e o Outlook.com exige uma assinatura DKIM válida de remetentes em volume desde maio de 2025. Um quarto da web avaliada ainda não publica registro DMARC, e cada um desses domínios pode ser falsificado à vontade por qualquer campanha de phishing ou fraude de faturas contra seus clientes.
Uma linha de base que você pode conferir
Como todos os dados agregados são públicos, essas cifras servem como linha de base honesta. Entre os domínios de nível superior com pelo menos 500.000 domínios avaliados, o .nl tem a maior proporção com nota acima de F, 58,6 por cento, seguido pelo .ch com 58,2 por cento. Dos 10.000 sites mais visitados, os 9.840 que o censo conseguiu avaliar têm média de 66 pontos, contra 47 do conjunto total. Sites grandes e bem administrados vão melhor, mas até essa média deixa espaço enorme para e-mail falsificado.
A conclusão prática para qualquer remetente é simples. Publicar o registro é o primeiro quarto do trabalho. Migrar para quarantine, depois reject, e ler os relatórios agregados é o resto. O Excello Mail mostra todas as fontes que enviam em nome dos seus domínios e conduz você de p=none a p=reject sem quebrar o e-mail legítimo. Crie sua conta grátis no Excello Mail e descubra de que lado do censo estão os seus domínios.