Registry e registrar potrebbero presto disporre di un modo comune per dimostrare come affrontano phishing, malware e frodi basate sui domini. Il Domain Trust Badge, promosso dalla Global Cyber Alliance (GCA) con un gruppo di lavoro di oltre 30 organizzazioni, è entrato nella fase di test: il progetto punta a trasformare pratiche antiabuso spesso difficili da confrontare in requisiti documentabili e verificabili.
La precisazione è centrale: oggi non si tratta di un marchio già assegnato né di una certificazione pronta per gli acquisti. Il portale sta raccogliendo feedback e il modello può ancora cambiare. La pubblicazione del Badge è prevista, se il calendario regge, in occasione di ICANN 88 a Lisbona nel marzo 2027.
Leggi anche: ICANN misura i domini associati: cosa rivelano i dati pubblici sul DNS abuse
Un riferimento comune per pratiche oggi poco visibili
La proposta nasce da un problema di comparabilità. Un operatore può avere procedure solide per ricevere segnalazioni, coordinarsi con ricercatori e intervenire sui domini abusivi, ma clienti e partner spesso non dispongono di un riferimento semplice per valutarle. Il Badge vuole rendere più leggibile questo lavoro e offrire anche una traccia di miglioramento a chi deve ancora strutturarlo.
Il progetto è volontario e gratuito, ed è rivolto nella prima fase a registry e registrar. Secondo le linee guida GCA, il gruppo di lavoro ha definito 17 requisiti di base distribuiti in tre aree: Policy, Coordination e Response. In concreto, la valutazione considera l’esistenza di regole pubbliche, la cooperazione con l’ecosistema antiabuso e la capacità di rilevare e mitigare le segnalazioni. Per ogni requisito il candidato deve fornire evidenze, per esempio un documento o un collegamento pubblico.
Il modello si ispira a MANRS, iniziativa nata per promuovere pratiche di sicurezza nel routing. L’idea trasferita al settore dei domini è quella di una base condivisa, costruita dagli operatori e accompagnata da strumenti e risorse per colmare le lacune, invece di limitarsi a una graduatoria pubblica.
Il punteggio misura tre dimensioni, ma resta riservato
Accanto alla checklist compare il Domain Trust metric (DTm), un indicatore che combina tasso di mitigazione, esposizione agli abusi e tempo di intervento. I fornitori di dati partecipanti lo calcolerebbero sui propri archivi, su richiesta dell’operatore. Il risultato non dovrebbe essere scomposto in indicatori pubblici: il candidato vedrebbe il proprio valore e saprebbe se supera la soglia prevista per la categoria di appartenenza — registrar, gTLD o ccTLD.
Superare la soglia DTm non basta da solo: nel modello attuale occorre soddisfare anche tutti gli altri requisiti. Il Badge non promette quindi che un operatore non subirà abusi, né certifica che ogni singolo caso sia stato risolto correttamente. Attesterebbe piuttosto il rispetto di una serie di pratiche e di un livello minimo misurato secondo il quadro comune.
La riservatezza è una scelta rilevante per evitare classifiche che semplifichino eccessivamente realtà diverse. Al tempo stesso, rende decisiva la qualità della verifica: se il pubblico non vede il punteggio, deve poter capire con chiarezza chi controlla le prove, come si mantiene l’indipendenza dei fornitori e cosa significa concretamente il superamento della soglia.
Leggi anche: DNS abuse, perché la segnalazione conta quanto il takedown
La fase pilota deve risolvere il nodo dei dati
Il test, aperto fino alla fine del 2026, serve proprio a verificare se i criteri siano applicabili e se il DTm produca risultati ragionevolmente coerenti usando archivi diversi. Le fonti di dati non osservano necessariamente gli stessi fenomeni con copertura e metodologie identiche: confrontare i punteggi senza tenere conto di queste differenze rischierebbe di creare una precisione solo apparente. La GCA ha quindi invitato i fornitori a provare il calcolo sui dati del 2025 e a segnalare eventuali divergenze.
La platea potenziale è ampia, ma l’avvio sarà graduale. La GCA indica oltre 13.000 operatori teoricamente eleggibili; per ragioni pratiche, i test iniziali coinvolgono soprattutto le organizzazioni già vicine al progetto, circa 30-40. Inoltre, non tutti avranno dati sufficienti per ottenere una misura significativa. Confondere l’idoneità a partecipare con una certificazione già conseguita darebbe al progetto una maturità che non ha ancora raggiunto.
Restano da definire le soglie, il peso dei requisiti e quali elementi debbano essere obbligatori. Le risposte raccolte durante il pilota potranno modificare tutti e tre gli aspetti prima del lancio previsto nel marzo 2027. La GCA prevede poi una possibile estensione ai provider di hosting, ma colloca il lavoro sistematico su quel segmento non prima del secondo trimestre 2027.
La lettura Webinvest
Per registrar e registry, il valore potenziale è duplice: rendere visibili investimenti antiabuso già sostenuti e offrire un percorso comune per rafforzare procedure ancora incomplete. Per clienti, brand e soggetti che selezionano fornitori, un riferimento condiviso potrebbe aggiungere un criterio operativo alla valutazione di un operatore.
La credibilità dipenderà però da verifiche ripetibili, soglie comprensibili e dati abbastanza solidi da sostenere confronti equi. La riservatezza può proteggere gli operatori da classifiche fuorvianti, ma richiede trasparenza sul metodo e sulla governance. Fino alla conclusione del pilota, il Domain Trust Badge va letto come un esperimento di settore da seguire, non come una garanzia già disponibile sul mercato.
Fonte: CircleID, aggiornamento sul pilota del Domain Trust Badge; Global Cyber Alliance, presentazione del portale e linee guida del progetto.
← Tutte le news