Home / Studio
Quanto è messo male l’e-commerce italiano
Abbiamo misurato 1.263 domini di negozi online italiani e analizzato 89 siti pagina per pagina. Nessuna stima, nessun campione comprato: solo controlli automatici su dati pubblici, ripetibili da chiunque. Il risultato è questo.
| Rilevazione | 07/09/2026 |
| Domini analizzati per la posta | 1.263 |
| Siti analizzati per l’accessibilità | 89 su 105 |
| Strumenti | axe-core 4.13, interrogazioni DNS |
| Regole | WCAG 2.2 AA, SPF, DKIM, DMARC, MTA-STS |
| Aziende nominate | nessuna |
I due numeri che contano
84,2%
dei negozi misurati può essere impersonato via email. Chiunque può mandare ai loro clienti una fattura falsa che arriva con il loro dominio nel mittente, e nessun server la ferma.
1 su 89
è il numero di siti che passa una verifica di accessibilità senza un solo errore. Gli altri 88 hanno da 1 a 1.509 elementi non conformi.
Come li abbiamo misurati
Il metodo conta più del risultato, perché senza metodo il risultato non vale niente. Abbiamo pubblicato il nostro per intero.
| Quando | 07/09/2026 |
| Che cosa | Domini di e-commerce italiani raccolti da elenchi pubblici di negozi online. |
| Posta | Interrogazione dei record DNS pubblici SPF, DKIM, DMARC e MTA-STS. Nessun invio, nessun tentativo di accesso. |
| Accessibilità | axe-core sulle regole WCAG 2.2 livello AA, da 3 a 5 pagine pubbliche per sito, una pagina al secondo, user agent dichiarato. |
| Che cosa non abbiamo fatto | Nessun accesso a zone riservate, nessun aggiramento di protezioni, nessuna raccolta di dati personali dei visitatori. |
| Limiti dichiarati | Su 105 siti avviati, 16 hanno bloccato l’analisi automatica e sono esclusi dai conteggi invece di essere stimati. I controlli automatici trovano circa un terzo dei problemi di accessibilità: le cifre qui sotto sono un minimo, non un totale. Il DKIM si rileva provando i selettori più diffusi, quindi un dominio con un selettore insolito può risultare senza DKIM pur avendolo. |
| Nomi | Nessuna azienda è nominata, né qui né altrove. I dati restano aggregati. |
Posta: 84,2% dei domini si può falsificare
Il DMARC è il record che dice ai server di posta cosa fare quando arriva un’email che dichiara il vostro dominio ma non viene da voi. Senza, o con la politica a none, la risposta è: consegnala lo stesso.
| Politica | Domini | Cosa comporta | Esito |
|---|---|---|---|
| Nessun record DMARC | 245 19,4% | Chiunque può scrivere a nome del dominio | IRREGOLARE |
| DMARC p=none | 818 64,8% | Il record c’è ma non chiede di bloccare nulla | IRREGOLARE |
| DMARC p=quarantine | 124 9,8% | La posta falsa finisce nello spam | DA MISURARE |
| DMARC p=reject | 76 6% | La posta falsa viene rifiutata | REGOLARE |
Il punteggio medio sui tre record è 52 su 100. Altri tre numeri che dicono la stessa cosa da angoli diversi: 116 domini (9,2%) non hanno nemmeno SPF, 546 (43,2%) non hanno una firma DKIM rilevabile, e 828 su 1.263 chiudono l’SPF con ~all, che significa "segnala ma consegna" invece di "rifiuta".
C’è anche un effetto che si sente subito in cassa. Google e Yahoo dal febbraio 2024, e Microsoft dal maggio 2025, chiedono autenticazione a chi invia in volume e trattano con sospetto la posta non autenticata. Le conferme d’ordine e le newsletter di questi negozi finiscono nello spam senza che nessuno glielo dica.
Vuoi sapere com’è messo il tuo? Controllalo adesso, in pochi secondi, oppure fallo da solo con la guida in cinque minuti.
Accessibilita: 9.214 elementi non conformi su 89 siti
Media di 104 per sito e 36 per pagina, mediana 69. La mediana più bassa della media dice che il problema non è concentrato in pochi casi estremi: è diffuso, e qualche sito lo porta all’eccesso.
Quanti errori per sito
| Elementi non conformi | Siti |
|---|---|
| 0 | 1 1,1% |
| 1-10 | 8 9% |
| 11-50 | 26 29,2% |
| 51-100 | 18 20,2% |
| 101-500 | 35 39,3% |
| oltre 500 | 1 1,1% |
Per piattaforma
| Piattaforma | Siti | Media errori |
|---|---|---|
| Magento | 58 | 102 |
| Shopify | 21 | 89 |
| WooCommerce | 4 | 133 |
| PrestaShop | 3 | 148 |
Numeri troppo piccoli per dire che una piattaforma sia migliore di un’altra. Dicono che il tema e le personalizzazioni contano più della piattaforma.
Le cinque cause più frequenti
| Regola | Siti in cui è la prima causa | Che cosa significa |
|---|---|---|
color-contrast | 45 50,6% | Testo o comandi con contrasto insufficiente |
target-size | 11 12,4% | Bersagli da toccare troppo piccoli o troppo vicini |
link-name | 8 9% | Collegamenti senza un nome leggibile |
image-alt | 5 5,6% | Immagini senza alternativa testuale |
listitem | 3 3,4% | Elenchi costruiti male |
Il contrasto insufficiente è la prima causa in un sito su due. È anche il difetto più economico da correggere, perché di solito è una manciata di valori di colore in un foglio di stile.
Un ultimo dato che vale la pena guardare due volte: 43 siti su 89 (48,3%) pubblicano una dichiarazione di accessibilità. Quasi metà dichiara di essere accessibile, e uno solo lo è davvero secondo i controlli automatici.
Cosa deve dire una dichiarazione fatta bene, e come controllare prima di scriverla: la guida.
Perché adesso
La direttiva europea 2019/882, in Italia il decreto legislativo 82/2022, si applica dal 28 giugno 2025 ai servizi venduti ai consumatori, e-commerce compreso. Le sanzioni vanno da 5.000 a 40.000 euro. Sono escluse le microimprese, cioè sotto i 10 addetti e sotto i 2 milioni di fatturato. Dall’11 marzo 2026 AgID ha aperto una piattaforma pubblica dove chiunque può segnalare un sito non accessibile.
Detto piano: fino a ieri il rischio era teorico perché non c’era un modo semplice di segnalare. Adesso c’è, e basta un cliente scontento.
Il vostro sito com’è messo
Lo stesso controllo che abbiamo fatto su questi 1.263 domini lo facciamo sul vostro e vi mandiamo il risultato, gratis e senza impegno. Non compriamo liste e non scriviamo a chi non ce lo chiede: la misura parte quando ce la chiedete voi.
Questo studio non nomina nessuna azienda e non è un parere legale. I dati aggregati sono liberamente citabili indicando la fonte.