# Che cos'è un attacco omografico IDN?

> Un attacco omografico IDN sostituisce lettere latine con nomi simili di altri alfabeti; il nome è salvato come punycode (xn--) e Chrome decide per etichetta.

- URL: https://wardmint.com/it/what-is-an-idn-homograph-attack/
- Ultimo aggiornamento: 2026-11-12
- Editore: Wardmint (https://wardmint.com)

Due nomi di dominio possono sembrare identici sullo schermo ed essere stringhe diverse. Questa pagina mostra come, che cosa significa il prefisso xn-- e dove interviene il browser.

**Risposta rapida — Che cos'è un attacco omografico IDN?**

Un attacco omografico IDN registra un nome di dominio internazionalizzato le cui lettere cirilliche o greche somigliano a quelle latine, così exаmplecoin.com si legge come examplecoin.com. Viene memorizzato come punycode che inizia con xn--. Chrome mostra quella forma grezza per le etichette con alfabeti misti e, dalla versione 51, ignora l'impostazione della lingua dell'utente. **Wardmint** registra le varianti ASCII del vostro nome.

## I nomi dall'aspetto identico e ciò che il sistema memorizza

*Gli esempi usano il marchio di fantasia examplecoin. Le forme ASCII sono state calcolate con Node.js (url.domainToASCII) il 12 novembre 2026.*

| Mostrato come | Che cosa differisce | Memorizzato nel DNS come |
| --- | --- | --- |
| examplecoin.com | Lettere latine semplici, il nome vero | examplecoin.com |
| exаmplecoin.com | La seconda lettera è la а cirillica (U+0430), mescolata a lettere latine | xn--exmplecoin-0qi.com |
| еxamplecoin.com | La prima lettera è la е cirillica (U+0435), mescolata a lettere latine | xn--xamplecoin-jsi.com |
| аррӏе.com | Ogni lettera è cirillica: а, р, р, ӏ, е | xn--80ak6aa92e.com |

*Convertite un nome sospetto nella sua forma memorizzata*

```bash
node -e "console.log(require('url').domainToASCII('аррӏе.com'))"
# xn--80ak6aa92e.com
```

## Come funziona un attacco omografico IDN?

**Funziona perché Unicode contiene lettere di alfabeti diversi che sembrano identiche, e il sistema dei domini permette a chiunque di registrare nomi che le usano.** Un nome di dominio internazionalizzato (IDN) è un nome con caratteri non ASCII. Il DNS gestisce solo ASCII, quindi ogni etichetta di questo tipo viene convertita in punycode, una stringa che inizia con xn-- seguito da una forma codificata. Una persona vede la versione Unicode se il browser decide di mostrarla; il software che memorizza o registra il nome vede la forma xn--.

L'attaccante registra un nome in cui una o più lettere latine sono sostituite da una simile: la а cirillica al posto della a latina, per esempio. Il registry e il registrar lo accettano perché è un nome valido. Il visitatore legge examplecoin.com e firma una transazione su una copia del vostro sito.

## Che cosa significa il prefisso xn--?

**Il prefisso xn-- contrassegna un'etichetta che contiene caratteri non ASCII in forma codificata.** Negli esempi qui sopra, xn--exmplecoin-0qi.com è la forma memorizzata di exаmplecoin.com: le lettere ASCII dell'etichetta vengono per prime e il carattere cirillico codificato segue il trattino. Un nome che inizia con xn-- non è malevolo di per sé; molti siti legittimi in altre lingue lo usano. Conta se la stringa decodificata imita un marchio. Potete decodificare qualsiasi nome sospetto in uno script come quello qui sopra, o incollarlo in uno strumento di ricerca, prima di cliccare.

## Come decide Chrome se mostrare Unicode o punycode?

**Chrome decide per ogni etichetta separatamente e mostra la forma xn-- ogni volta che un controllo fallisce.** I controlli documentati comprendono la miscela di alfabeti che non dovrebbero mescolarsi (latino con cirillico o greco), i confusabili con alfabeti misti dai dati di sicurezza Unicode, e le etichette formate solo da lettere simili di un solo alfabeto quando l'estensione non è in quell'alfabeto. Chrome rifiuta anche le etichette formate solo da cifre o da cifre simili, e le etichette che corrispondono a un dominio di primo piano una volta tolti gli accenti. Se tutti i controlli passano, l'etichetta viene mostrata in Unicode. La policy non dipende dall'impostazione della lingua dell'utente.

Il аррӏе.com tutto cirillico nella tabella è il caso dell'alfabeto intero: non mescola nulla, quindi una regola per alfabeti misti non lo coglie, e Chrome si affida al suo controllo separato sull'alfabeto intero. Altri browser hanno le proprie policy, che Wardmint non ha letto, quindi questa pagina documenta solo Chrome. Il rischio correlato di confusione degli indirizzi in generale è in [quali tipi di domini simili registrano i phisher](https://wardmint.com/it/lookalike-domain-types/ "What kinds of look-alike domains do phishers register?").

## Come proteggo il mio marchio dai domini omografi?

**Registrate le varianti ASCII che potete, monitorate il resto e segnalate ciò che trovate.** Voi non potete registrare in anticipo un nome omografo in ogni alfabeto, perché le combinazioni sono troppe. Quello che potete fare è cercarli: dnstwist genera nomi omoglifi da un insieme studiato di caratteri Unicode e verifica quali esistono, e i registri dei certificati mostrano i nomi che contengono il vostro marchio in forma decodificata. [La guida alla ricerca dei domini simili](https://wardmint.com/it/guides/find-lookalike-domains-of-your-brand/ "How to find look-alike domains of your brand") contiene i comandi, e [come monitorare la certificate transparency](https://wardmint.com/it/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand") tratta i registri.

Le pagine di Wardmint descrivono registrazioni di nomi ASCII e non dichiarano la registrazione di IDN. Per gli omoglifi ASCII (1 al posto di l, rn al posto di m) la copertura è la stessa di qualsiasi refuso: vedere [come proteggere il vostro marchio dal typosquatting](https://wardmint.com/it/typosquatting-protection/ "How do I protect my brand from typosquatting?").

## Che cosa dicono le cifre di Wardmint in proposito?

Wardmint ha controllato la policy di Chromium il 12 novembre 2026 e ha raggruppato le sue regole in 5 famiglie di controlli che decidono tra Unicode e punycode: conversione e validità, miscela di alfabeti, numerazione e caratteri invisibili, confusabili, e cifre, schemi e domini di primo piano. Il raggruppamento è di Wardmint; le regole sono di Chromium.

Un dominio omografo è un nome di dominio le cui lettere differiscono da un nome noto ma appaiono identiche a un lettore. Un attacco omografico IDN è l'uso di un tale nome per impersonare un marchio. Il punycode è la codifica ASCII, che inizia con xn--, che il DNS memorizza per i nomi con lettere non ASCII.

## Domande sugli attacchi omografici

### Posso vedere il nome reale dietro un dominio Unicode?

Sì. Convertitelo nella sua forma memorizzata con uno script di una riga o uno strumento di ricerca, e leggete la stringa xn-- e i dati del registrar. Una discrepanza con il nome che vi aspettavate è un segnale d'allarme.

### Il lucchetto HTTPS mi protegge da un sito omografo?

No. Un dominio simile può ottenere un certificato come qualsiasi altro, quindi il lucchetto prova una connessione cifrata, non l'identità del sito.

### Chrome blocca ogni dominio omografo?

No. Applica un insieme documentato di controlli e mostra il punycode quando uno fallisce. Un nome che li supera tutti viene mostrato in Unicode, quindi trattate con cautela i link sconosciuti.

### Posso segnalare un nome simile IDN come qualsiasi altro dominio di phishing?

Sì. Usate la via degli abusi del registrar con il nome xn-- memorizzato, il nome decodificato e una schermata. I passaggi sono gli stessi di qualsiasi dominio di phishing.

**In sintesi**

- Un attacco omografico IDN sostituisce lettere latine con lettere simili di altri alfabeti.
- Il DNS memorizza il nome come punycode, che inizia con xn--.
- Chrome decide per etichetta e dalla versione 51 ignora la lingua dell'utente.
- Le etichette con latino e cirillico mescolati vengono mostrate da Chrome come xn--.
- HTTPS non prova chi possiede un nome simile.
- Trovateli con dnstwist e i registri dei certificati; segnalateli come domini di phishing.
- Wardmint registra le varianti ASCII del vostro nome su 29 estensioni.

## Fonti

1. [Chromium IDN display policy (docs/idn.md)](https://chromium.googlesource.com/chromium/src/+/main/docs/idn.md) — The Chromium Projects (letto il 2026-11-12)
2. [dnstwist, domain name permutation engine](https://github.com/elceef/dnstwist) — GitHub (elceef/dnstwist) (letto il 2026-11-12)

---

Wardmint: Wardmint registra i domini difensivi di cui un progetto crypto ha bisogno — il proprio nome sulle estensioni usate dai phisher, le proprie varianti con errori di battitura e simili — pagati in crypto senza KYC: nessun documento d'identità, solo un'e-mail verificata per dominio. È gestito da DomaineGoat LLC, società registrata a Panama; i domini sono registrati tramite il suo registrar partner accreditato ICANN. Un .com costa 12,49 USD/anno, lo stesso prezzo ogni anno.