Dati delle rilevazioni

Unità, finestra e criteri di classificazione

• Dominio apex

  Il dominio registrabile secondo la Public Suffix List: esempio.com, non www.esempio.com né esempio.pages.dev. Ogni conteggio di questo sito è su apex distinti.

• Finestra

  Trenta giorni completi, misurati in un’unica esecuzione. Un dominio che ricompare più volte conta una volta, con la severità più alta che ha raggiunto.

• Severità

  Critical, high, medium, low: una misura tecnica, la severità effettiva descritta alla fase 5 della rilevazione, non una qualificazione giuridica.

• Rivolto all’Italia

  Deciso da una funzione unica che fonde lingua nativa, riferimenti italiani e segnali di targeting: la stessa che alimenta la coda di lavoro degli analisti.

• Mercato servito

  Una lingua ufficiale dell’Unione, esclusa l’inglese, che la pagina serve in modo nativo o tradotto. L’inglese non identifica un mercato.

• Nominato alla lettera

  Il dominio compare, esattamente, nella colonna strutturata di un avviso di un’autorità. Non basta che il nome somigli a un nome citato.

Dal certificato osservato alla severità effettiva

La cascata parte dai domini con pagina letta e classificata e scende fino ai critical rivolti all’Italia. Le cifre sono arrotondate a due cifre significative; la colonna «misurato» porta il valore esatto della finestra. Gli ultimi due gradi vengono da definizioni diverse, targeting e mercato servito: 1.221 domini sono rivolti all’Italia, 972 servono l’italiano, e le due barre si leggono affiancate, non una dentro l’altra.

Confronto fra quattro finestre consecutive

Per sapere quanto una cifra cambia da un mese all’altro sono state misurate quattro finestre consecutive di trenta giorni, in ordine cronologico, con la stessa interrogazione e la stessa unità.

Lo scarto massimo dalla mediana è del +62%: per questo le cifre pubblicate sono arrotondate a due cifre significative.

Il picco della terza finestra viene dall’estrazione del suffisso, poi corretta: nella settimana di picco il 61% dei domini rilevati stava su suffissi di hosting condiviso, contro l’1% a regime. La finestra pubblicata è interamente successiva alla correzione.

Confronto con i domini citati negli avvisi delle autorità

Il contributo di questo confronto è la larghezza: 5.215 critical che nessun avviso letto nomina. Il riferimento esterno sono gli avvisi delle autorità raccolti nel portale IOSCO degli avvisi agli investitori: 44.894 avvisi di 79 autorità, letti dalla loro colonna strutturata. La tabella tiene separati i modi del confronto e le loro popolazioni.

L’aggancio per nome serve a trovare i cloni: un marchio legittimo compare negli avvisi proprio perché viene clonato, quindi la somiglianza indica il clone.

«Assente dagli avvisi letti» indica ciò che nessun avviso importato riporta: l’autorità può conoscerlo per altre vie.

Scarto dall’avviso

Per le coppie dominio–avviso in cui il dominio è nominato alla lettera in un avviso pubblicato dopo l’inizio del monitoraggio, si misura lo scarto fra la prima comparsa del dominio nel nostro registro e la data dell’avviso: è positivo quando il dominio compare dopo l’avviso. Regola fissata prima di guardare: almeno 1.000 coppie. Con 895 coppie, a un’esecuzione precedente, la misura non era pubblicabile; con 1.161, su 1.113 domini e 34 autorità, lo è.

Sui domini che un’autorità ha già nominato, in più di quattro coppie su cinque la nostra prima osservazione non anticipa l’avviso.

Tre fattori spingono lo scarto verso il positivo: osserviamo i registri dall’inizio del monitoraggio, quindi un dominio nato prima e rinnovato dopo compare come nuovo; gli avvisi precedenti restano esclusi; e un dominio senza parole chiave finanziarie nel nome entra nel nostro registro solo per la corrispondenza con un avviso già importato. La seconda colonna, con gli avvisi pubblicati almeno un mese dopo quell’inizio, attenua i due legati all’inizio del monitoraggio; il terzo non si separa, perché il registro non conserva la porta d’ingresso di un dominio.

I domini nominati negli avvisi sono quelli rimasti in vita abbastanza da essere segnalati: per stimare quanto dura un impianto servono anche quelli che spariscono in tre settimane, che l’osservazione alla nascita include.

Mercati dell’Unione serviti dai domini critical

1.561 dei 5.856 critical (27%) servono almeno una lingua ufficiale dell’Unione, inglese escluso, in modo nativo o tradotto: 1.279 una lingua, 43 due, 239 tre o più. Un dominio che apre tre o più mercati nello stesso atto è un caso europeo, anche quando ogni autorità nazionale lo vede dal proprio mercato.

I conteggi per lingua si sovrappongono: dicono quali mercati sono serviti e da quanti domini.

Verifica periodica sui domini critical

Un elenco diventa una coda di lavoro solo se dice quali voci sono ancora attive. Dei 5.856 critical della finestra, 5.769 hanno una verifica di raggiungibilità (99%) e 327 risultano irraggiungibili: 5.442 rispondevano ancora alla data della verifica.

La verifica dice che il server risponde; per il contenuto fa fede la copia conservata, con la sua data. Come si classifica una risposta è descritto alla fase 7 della rilevazione.

Come si leggono queste cifre

• Il tasso di falsi positivi richiede un campione etichettato.

  Si stima su un campione casuale riesaminato in cieco, con un protocollo fissato prima, e poi con il riscontro delle autorità. Finché il campione non è etichettato, il documento non pubblica una percentuale.

• Le severità si confrontano dentro un mercato.

  Il classificatore opera con l’inquadramento «analista per il regolatore italiano»: quote di severità e classifiche per mercato non si ricavano da questi dati.

• I conteggi misurano ciò che la pipeline ha analizzato.

  Non sono un censimento dei domini esistenti: il volume del flusso osservato non è persistito, quindi le quote di penetrazione non si ricavano.

• Certificate Transparency vede le nascite.

  Restano fuori i domini serviti in solo HTTP, quelli coperti da un certificato jolly preesistente e quelli registrati prima dell’inizio del monitoraggio.

• Severità e avvisi si leggono insieme.

  La corrispondenza con i nomi citati negli avvisi entra nel calcolo della severità effettiva, quindi un confronto fra le due è in parte circolare.

• La raggiungibilità si misura dall’Unione Europea.

  Le verifiche usano un risolutore pubblico: un blocco applicato dai fornitori di connettività di un paese si vede da quel paese.

Le interrogazioni che producono queste cifre sono ripetibili ed eseguibili davanti a voi, nell’accesso alla piattaforma.