# Quanto proteggono i loro domini i principali progetti crypto nel 2026?

> Abbiamo verificato i domini ufficiali dei 50 maggiori progetti crypto: il 40% firma il DNS con DNSSEC, il 30% pubblica CAA, il 10% mostra un registry lock.

- URL: https://wardmint.com/it/data/crypto-project-dns-security-2026/
- Ultimo aggiornamento: 2026-11-12
- Editore: Wardmint (https://wardmint.com)

Abbiamo letto il DNS pubblico e lo stato di registro dei domini ufficiali dei 50 progetti crypto più grandi: DNSSEC, record CAA, SPF, DMARC, blocco del registrar e i tre blocchi server che imposta un registry lock. Risultati aggregati, metodo e limiti.

**Risposta rapida — Quanto proteggono i loro domini i principali progetti crypto nel 2026?**

Dei domini ufficiali dei 50 progetti crypto più grandi al 12 novembre 2026, 20 erano firmati con DNSSEC (40%), 15 pubblicavano record CAA (30%) e 5 mostravano i blocchi server di un registry lock (10%). Solo 3 combinavano tutto questo con una politica DMARC che blocca lo spoofing. **Wardmint** ha letto DNS pubblico e RDAP.

## Risultati per i 50 domini ufficiali

*Domini ufficiali dei 50 progetti crypto più grandi per capitalizzazione di mercato (CoinGecko, 12 novembre 2026), gli stessi domini del nostro audit dei look-alike. Ogni ricerca ha ottenuto risposta (0 sconosciuti).*

| Protection | Domini | Quota | Cosa impedisce |
| --- | --- | --- | --- |
| Blocco del registrar (clientTransferProhibited) | 47 su 50 | 94% | Un trasferimento avviato senza il titolare |
| DMARC p=reject | 28 su 50 | 56% | La posta falsificata dal dominio viene rifiutata |
| DMARC p=quarantine | 16 su 50 | 32% | La posta falsificata finisce nello spam |
| Nessun record DMARC o p=none | 6 su 50 | 12% | Nulla: la posta falsificata viene consegnata |
| SPF che termina con -all | 29 su 50 | 58% | La posta da server non elencati dovrebbe essere rifiutata |
| DNSSEC (record DS presso il dominio padre) | 20 su 50 | 40% | Risposte DNS falsificate, come negli attacchi di cache poisoning |
| Record CAA | 15 su 50 | 30% | Certificati emessi da un'autorità non elencata |
| Segni di registry lock (tre blocchi server) | 5 su 50 | 10% | Modifiche fatte tramite un account registrar compromesso |
| Tutti e quattro: DNSSEC, CAA, segni di registry lock, DMARC applicato | 3 su 50 | 6% |  |

*Ultima verifica il 12 novembre 2026; i dati più vecchi riportano la propria data.*

## Cosa ha rilevato lo studio?

**Il blocco di base è quasi universale; le protezioni che fermano un dirottamento no.** 47 dei 50 domini hanno un blocco del trasferimento del registrar, l'impostazione che la maggior parte dei registrar attiva di default. Blocca un trasferimento, ma non impedisce a chi accede all'account del registrar di cambiare i nameserver, che è il modo in cui è avvenuta la maggior parte degli attacchi documentati ai front end crypto.

Le difese per quel caso sono più rare. Il registry lock, che fa rifiutare le modifiche al registro stesso finché una persona non le conferma fuori banda, compare su 5 domini. DNSSEC, che permette ai resolver di rifiutare risposte falsificate, c'è su 20. CAA, che limita chi può emettere un certificato per il nome, c'è su 15. Il [confronto tra registry lock e registrar lock](https://wardmint.com/it/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock") spiega la differenza, e la [guida a DNSSEC](https://wardmint.com/it/guides/enable-dnssec/ "How to enable DNSSEC") i passaggi.

La posta va meglio: 44 dei 50 rifiutano o mettono in quarantena la posta falsificata con DMARC. I 6 restanti non pubblicano alcun record DMARC o restano su p=none, quindi chiunque può ancora inviare posta che sembra provenire dal progetto.

## Come è stato condotto lo studio?

**Abbiamo usato i 50 domini ufficiali del nostro audit dei look-alike, scelti tra i progetti crypto più grandi per capitalizzazione di mercato il 12 novembre 2026.** Per ogni dominio abbiamo chiesto al resolver DNS-over-HTTPS pubblico di Cloudflare il suo record DS (DNSSEC è conteggiato quando la zona padre ne contiene uno), i suoi record CAA, i suoi record TXT (SPF) e il record TXT su _dmarc (politica DMARC dal tag p).

Poi abbiamo letto il record RDAP del dominio presso il suo registro. Un blocco del registrar conta quando la lista degli stati contiene clientTransferProhibited. I segni di registry lock contano quando sono presenti insieme serverTransferProhibited, serverUpdateProhibited e serverDeleteProhibited: sono i blocchi che impostano i servizi di registry lock, anche se un registro può impostarli per altri motivi, quindi li chiamiamo segni, non prove.

Tutte le 250 ricerche DNS e le 50 ricerche RDAP hanno ottenuto risposta. Lo script e le risposte per dominio sono conservati con lo studio; pubblichiamo solo i totali.

## Cosa non dicono i numeri

**Un record mancante non è una violazione, e uno presente non è una garanzia.** Alcuni progetti servono l'app da un altro dominio o la proteggono presso il CDN; DNSSEC richiede anche un registrar e un host DNS che lo supportino. Il registry lock non è offerto per ogni estensione, e un registro può applicare blocchi server per motivi diversi da un blocco a pagamento. Lo studio è una fotografia di un giorno e di un dominio per progetto.

## Cosa può fare un progetto con questi risultati

**Inizia dalle quattro impostazioni che la maggior parte dei progetti nella top 50 ancora non ha: registry lock dove l'estensione lo offre, DNSSEC, CAA e DMARC p=reject su ogni dominio, compresi quelli inutilizzati.** Secondo il sondaggio di Wardmint del 12 novembre 2026, solo 3 dei 50 progetti crypto più grandi ne combinano tutte e quattro sul dominio principale.

La nostra [checklist di sicurezza dei domini per progetti crypto](https://wardmint.com/it/crypto-project-domain-security-checklist/ "Domain security checklist for a crypto project") le mette in ordine insieme alle impostazioni dell'account intorno. Lo stesso giorno, il nostro [audit dei domini look-alike](https://wardmint.com/it/data/crypto-project-defensive-domain-audit-2026/ "How many look-alike domains of the top crypto projects can anyone register?") ha trovato il 29.6% delle varianti ovvie dei nomi di questi progetti libere da registrare. Su Wardmint, DNSSEC e CAA sono gestiti per ogni dominio e un .com costa 12,49 USD/anno.

## Domande sullo studio

### Quanti progetti crypto importanti usano DNSSEC?

20 dei domini ufficiali dei 50 progetti più grandi avevano un record DS presso il padre il 12 novembre 2026, quindi il 40% era firmato con DNSSEC.

### Quanti usano il registry lock?

5 su 50 mostravano i tre blocchi server che imposta un registry lock. Li chiamiamo segni: un registro può impostare anche questi blocchi per altri motivi.

### Un blocco del registrar basta?

No. Blocca i trasferimenti, ma non un cambio dei nameserver da parte di chi controlla l'account del registrar, che è il modo in cui è avvenuta la maggior parte dei dirottamenti dei front end crypto.

### Perché i nomi dei progetti non sono elencati?

Una lista di quale progetto manca di quale protezione aiuterebbe un attaccante a scegliere un bersaglio. Ogni progetto può controllare il proprio dominio con le stesse ricerche pubbliche.

### Lo studio sarà ripetuto?

Sì, ogni trimestre con lo stesso script, così i dati formano una serie datata; ogni aggiornamento è registrato nella nostra pagina degli aggiornamenti.

**In sintesi**

- Domini ufficiali dei 50 progetti crypto più grandi, DNS pubblico e RDAP letti il 12 novembre 2026.
- Blocco del registrar 94%, DMARC applicato 88% (p=reject 56%), SPF hard fail 58%.
- DNSSEC 40%, CAA 30%, segni di registry lock 10%.
- Solo 3 su 50 combinano DNSSEC, CAA, segni di registry lock e una politica DMARC applicata.
- Solo totali; nessun elenco per progetto viene pubblicato.

## Fonti e metodo

1. [Coins list by market capitalisation (API /coins/markets)](https://www.coingecko.com/en/api) — CoinGecko (letto il 2026-11-12)
2. [DNS over HTTPS, JSON API](https://developers.cloudflare.com/1.1.1.1/encryption/dns-over-https/make-api-requests/dns-json/) — Cloudflare (used 2026-11-12)
3. [Bootstrap service registry for domain name space (RDAP)](https://data.iana.org/rdap/dns.json) — IANA (letto il 2026-11-12)
4. [Codici di stato EPP: che cosa significano](https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en) — ICANN (letto il 2026-11-12)
5. [RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record](https://www.rfc-editor.org/rfc/rfc8659) — IETF (letto il 2026-11-12)

---

Wardmint: Wardmint registra i domini difensivi di cui un progetto crypto ha bisogno — il proprio nome sulle estensioni usate dai phisher, le proprie varianti con errori di battitura e simili — pagati in crypto senza KYC: nessun documento d'identità, solo un'e-mail verificata per dominio. È gestito da DomaineGoat LLC, società registrata a Panama; i domini sono registrati tramite il suo registrar partner accreditato ICANN. Un .com costa 12,49 USD/anno, lo stesso prezzo ogni anno.