Perché conta
Un'email falsa del Comune, e chi la ferma
Un esempio, inventato ma realistico: arriva un'email da «tributi@comune.tuopaese.it» che chiede di pagare entro tre giorni un arretrato della tassa sui rifiuti, con un link per farlo. L'indirizzo del mittente è quello del Comune, il link no. Se il Comune ha la protezione attiva, quell'email viene respinta o finisce fra lo spam prima di arrivare; se non ce l'ha, arriva in posta in arrivo come qualunque altra.
Chiunque può spedire un'email scrivendo come mittente un indirizzo che non è suo: il protocollo della posta non lo impedisce. È la base di gran parte del phishing. Il CERT-AgID, la struttura dell'Agenzia per l'Italia digitale che segue gli incidenti informatici della pubblica amministrazione, ha segnalato campagne in cui il mittente di un ente pubblico veniva falsificato proprio così [1], e raccomanda a chi gestisce la propria posta di adottare SPF, DKIM e DMARC [2].
Dei tre, è DMARC a decidere. Un record DMARC dice ai servizi di posta che cosa fare di un messaggio che usa il dominio del Comune senza superare i controlli: niente («none»), metterlo fra lo spam («quarantine») o respingerlo («reject») [3]. SPF elenca i server autorizzati a spedire per il dominio [4], ma da solo non protegge il mittente che il cittadino legge sullo schermo: per questo il giudizio dell'Osservatorio si basa sulla politica DMARC, e SPF è riportato accanto come informazione.
Protetta
29 Comuni
Un'email falsa che usa il dominio del Comune viene respinta o messa fra lo spam dai servizi di posta che applicano DMARC.
Protetta in parte
1 Comuni
La politica DMARC chiede di fermare le email false, ma solo su una parte dei messaggi: le altre passano.
Solo monitoraggio
240 Comuni
Il Comune ha impostato DMARC, ma con l'istruzione «none»: chiede ai servizi di posta di non fermare nulla, quindi un'email falsa arriva come se fosse vera.
Senza protezione
99 Comuni
Il dominio non ha una politica DMARC valida: niente dice ai servizi di posta di diffidare di un'email falsa a nome del Comune.
Non verificabile
9 Comuni
Il DNS non ha risposto durante la rilevazione, il dominio indicato in IndicePA non esiste, oppure il Comune non ha un dominio di posta suo: il dato manca, e non è conteggiato nelle percentuali.
Per chi gestisce la posta di un Comune
Come si arriva a «protetta»
Il passaggio si fa per gradi, per non bloccare per errore la posta vera del Comune: prima si osserva, poi si stringe.
Elencare chi spedisce a nome del dominio
Il servizio di posta, ma anche il gestionale del protocollo, le newsletter, i servizi in cloud che mandano avvisi ai cittadini. Chi resta fuori dall'elenco, al passo 5 smette di arrivare.Un solo record SPF che li comprende tutti
v=spf1 include:_spf.fornitore.it -allUn solo record: due record SPF sullo stesso dominio sono un errore, e nessuno dei due vale.La firma DKIM attiva presso il fornitore di posta
Si attiva dal pannello del fornitore, che indica il record da pubblicare.DMARC in osservazione, per qualche settimana
v=DMARC1; p=none; rua=mailto:dmarc@comune.esempio.itI rapporti che arrivano a quell'indirizzo dicono chi spedisce davvero a nome del Comune, compreso chi non doveva.Poi quarantine, e infine reject
v=DMARC1; p=reject; rua=mailto:dmarc@comune.esempio.itQuando i rapporti mostrano solo mittenti legittimi. Da qui un'email falsa a nome del Comune viene respinta.
La PEC è un sistema a parte, gestito dal suo fornitore, e non è oggetto di questa rilevazione.
Metodo
Come abbiamo misurato
- L'elenco dei Comuni viene da IndicePA, l'indice ufficiale della pubblica amministrazione, nella versione del 20 ottobre 2026 [5]: tutti gli enti «Comune di» della regione Lazio, più Roma Capitale.
- Il dominio controllato è quello dell'indirizzo email ordinario che IndicePA riporta per il Comune, escluse le PEC. Se manca, o è una casella di un servizio gratuito, si controlla il dominio del sito istituzionale; se anche il sito sta sulla piattaforma di un fornitore, il Comune non ha un dominio di posta proprio ed è «non verificabile».
- Sono stati letti i record DNS pubblici: SPF fra i TXT del dominio, DMARC in
_dmarcdel dominio e, se assente, del suo dominio organizzativo, come prevede lo standard [3]; i record MX per i server di posta. - DKIM non entra nel giudizio: per leggerlo bisogna conoscere il nome della chiave, che ogni fornitore sceglie a modo suo, e dal di fuori non si può verificare con certezza.
- Per il sito è stata aperta la sola homepage, in https e in http, con un programma che si dichiara come Osservatorio e indica questa pagina. Un certificato scaduto, autofirmato o intestato a un altro nome è «non valido»; una catena di certificati incompleta è un difetto da correggere, non un sito insicuro.
- Quando il DNS o il sito non hanno risposto entro il tempo massimo, anche dopo un secondo tentativo, il Comune è «non verificabile» e resta fuori dalle percentuali: un dato in meno è meglio di un giudizio sbagliato.
- È una fotografia del 20 ottobre 2026. I record possono essere cambiati dopo: la rilevazione successiva lo mostrerà.
Tutti i dati della rilevazione, Comune per Comune, sono scaricabili e riutilizzabili con licenza CC BY 4.0, citando la fonte.
Come citare: Osservatorio sulle email dei Comuni del Lazio, Digital Atelier, rilevazione del 20 ottobre 2026, www.dgtatelier.it/osservatorio/email-comuni-lazio. Elenco dei Comuni: IndicePA, AgID, CC BY 4.0.
Correzioni
Lavori per un Comune e la configurazione è cambiata dopo il 20 ottobre 2026, o un dato ti sembra sbagliato? Scrivi a dgtatelier@gmail.com: lo verifichiamo, e la rilevazione successiva lo riporta.
Fonti
- [1]Phishing ai danni del Ministero della Salute sfrutta un falso «rimborso ticket sanitario» · CERT-AgID
- [2]Il tema SPID sfruttato per una nuova campagna di phishing · CERT-AgID
- [3]RFC 7489 – Domain-based Message Authentication, Reporting, and Conformance (DMARC) · IETF
- [4]RFC 7208 – Sender Policy Framework (SPF) · IETF
- [5]Opendata IPA – Enti · IndicePA, Agenzia per l'Italia digitale