Ogni volta che registri un dominio senza protezione della privacy, i tuoi dati personali finiscono dritti in un record pubblico. Nome, email, telefono, indirizzo postale. Tutto diventa ricercabile da chiunque abbia una connessione a internet. Quel record pubblico si chiama WHOIS ed esiste fin dai primi tempi di internet. Capire che cos'è WHOIS aiuta a spiegare perché esiste la privacy del dominio.
Che cosa significa privacy del dominio?
La privacy del dominio è un servizio che sostituisce i tuoi dati di registrazione personali nel database WHOIS pubblico con recapiti sostitutivi. Invece di vedere nel record pubblico il tuo vero nome, indirizzo, telefono ed email, l'elenco mostra un proxy fornito dal registrar.
Il registrar ha comunque i tuoi dati reali in archivio. La privacy del dominio cambia ciò che vede il pubblico, non ciò che conserva il registrar. Se qualcuno fa una ricerca WHOIS sul tuo dominio con la privacy attiva, vede informazioni proxy generiche. I tuoi dati personali restano nascosti a ricerche occasionali, programmi di raccolta dati e chiunque consulti il database WHOIS.
Il proxy di solito include un indirizzo email di inoltro. I messaggi legittimi inviati a quell'indirizzo ti raggiungono comunque. Il resto viene filtrato. Per capire meglio il lato tecnico, il capitolo sulla privacy WHOIS spiega la procedura di configurazione e come appare il record proxy.
Che cosa succede quando i tuoi dati di registrazione sono pubblici?
Lasciare il record WHOIS senza protezione non è un rischio teorico. Crea conseguenze reali e misurabili che iniziano nel momento in cui il dominio va online.
Lo spam è il problema più immediato. I bot raccolgono di continuo il database WHOIS, estraendo indirizzi email e inserendoli in liste di marketing. Entro pochi giorni dalla registrazione di un dominio non protetto, la maggior parte dei proprietari inizia a ricevere email non richieste da aziende SEO, web designer, broker di domini e reti pubblicitarie. Quel flusso non si ferma mai. Cresce soltanto.
Poi arriva il phishing. I truffatori usano i dati del tuo record WHOIS per inviare email che sembrano arrivare dal tuo registrar. Includono il tuo vero nome, citano il tuo dominio reale e ti chiedono di "verificare" l'account cliccando su un link. Poiché l'email contiene dati personali esatti, sembra legittima. Molte persone ci cascano.
L'ingegneria sociale è la versione più pericolosa. Chi vuole accedere al tuo account del registrar, al tuo hosting o alla tua email non deve violare nulla. Gli bastano abbastanza dati personali per convincere un operatore dell'assistenza di essere te. Un record WHOIS senza privacy gli consegna nome, email, telefono e indirizzo fisico. È abbastanza per superare la maggior parte dei controlli di identità al telefono.
Oltre a questi attacchi mirati, la combinazione di nome, email, telefono e indirizzo è esattamente il profilo usato nel furto d'identità. I tuoi dati WHOIS possono finire in database di broker di dati, elenchi di credenziali trapelate e sistemi automatici di frode. Le conseguenze vanno ben oltre il tuo dominio.
Come ha cambiato il GDPR la privacy dei domini?
Nel 2018 il Regolamento generale sulla protezione dei dati (GDPR) dell'Unione Europea ha imposto un cambiamento importante nel trattamento dei dati WHOIS. Con il GDPR i dati personali non possono essere pubblicati in un database pubblico senza una base giuridica valida. Poiché i record WHOIS contengono dati personali, i registrar che operano secondo la legge europea hanno dovuto iniziare a oscurare quei dati per impostazione predefinita.
Se registri un dominio tramite un registrar europeo, o se ti trovi nell'UE, i tuoi dati personali sono ora nascosti in automatico dalle ricerche WHOIS pubbliche. Non devi attivare nulla. Il registrar lo gestisce come obbligo di legge.
È stato un cambiamento significativo. Prima del GDPR la privacy del dominio era sempre su richiesta. Dovevi sapere che esisteva, trovare l'impostazione e attivarla. Molti registrar la facevano pagare a parte. Il GDPR ha ribaltato questo modello per le registrazioni europee. La privacy è diventata la regola, ed esporre i dati personali l'eccezione da giustificare.
Il punto è che il GDPR si applica solo alle registrazioni che riguardano residenti nell'UE o registrar con sede nell'UE. Se registri un dominio tramite un registrar con sede negli Stati Uniti e ti trovi negli Stati Uniti, il GDPR non ti protegge. I tuoi dati finiscono nel record pubblico a meno che tu non attivi la privacy da solo. Le regole dipendono interamente da dove ti trovi e da chi è il tuo registrar.
Che ruolo ha ICANN nella privacy WHOIS?
ICANN (Internet Corporation for Assigned Names and Numbers) stabilisce le regole che i registrar devono seguire quando raccolgono e pubblicano i dati di registrazione dei domini. Per decenni ICANN ha richiesto ai registrar di raccogliere recapiti accurati per ogni dominio e di renderli pubblici tramite WHOIS.
Quando è entrato in vigore il GDPR, ICANN ha introdotto una Specifica Temporanea che permetteva ai registrar di oscurare i dati personali nei record WHOIS pubblici. Quella politica temporanea è stata prorogata più volte ed è ancora in vigore. ICANN lavora a un sostituto permanente chiamato System for Standardized Access/Disclosure (SSAD), che creerebbe una procedura con cui le parti autorizzate possono chiedere l'accesso ai dati WHOIS oscurati.
In pratica significa che ICANN ora accetta che un WHOIS pubblico completo non sia più lo standard. Ma la politica permanente è ancora in via di definizione. I registrar operano con regole provvisorie, e la quantità di dati visibili al pubblico varia a seconda del registrar, del TLD e della posizione del registrante.
Qual è la differenza tra privacy predefinita e privacy su richiesta?
Questi due modelli stabiliscono se i tuoi dati personali sono pubblici o nascosti nel momento in cui registri un dominio.
- Privacy predefinita significa che i tuoi dati personali sono nascosti in automatico dalle ricerche WHOIS pubbliche quando registri. Non devi cercare un'impostazione né pagare extra. È il modello usato dai registrar europei in base al GDPR e da molti registrar moderni nel mondo.
- Privacy su richiesta significa che i tuoi dati personali sono pubblici per impostazione predefinita e devi fare qualcosa per nasconderli. Alcuni registrar fanno pagare una quota annuale per questo. Altri la offrono gratis ma richiedono di attivarla a mano durante o dopo la registrazione.
Il modello che ottieni dipende dal registrar, dalla tua posizione e dallo specifico TLD che registri. Alcune estensioni nazionali hanno proprie regole sulla privacy che prevalgono su ciò che offre il registrar. Se il tuo registrar tratta ancora la privacy come un extra da pagare, vale la pena controllare se altri registrar la includono senza costi per la stessa estensione.
La privacy del dominio ti rende anonimo?
No. Privacy del dominio e anonimato non sono la stessa cosa.
La privacy del dominio nasconde i tuoi dati personali dal record WHOIS pubblico. Ferma le ricerche occasionali, i programmi di raccolta dati e i bot di spam, che non possono accedere ai tuoi recapiti. Ma il registrar ha comunque in archivio il tuo vero nome, la tua email, il tuo telefono e il tuo indirizzo. Quelle informazioni sono conservate in privato e accessibili in circostanze specifiche.
Le forze dell'ordine possono chiedere i tuoi dati di registrazione reali tramite procedure legali. Possono accedervi anche i collegi ICANN di risoluzione delle controversie (usati nelle dispute su marchi e proprietà dei domini). I tribunali possono obbligare i registrar a rivelare i dati del registrante quando serve.
La privacy del dominio ti protegge dal pubblico generale. Non ti protegge dalla responsabilità legale. La tua identità resta rintracciabile attraverso i canali appropriati. È una distinzione importante. Privacy significa che i tuoi dati non vengono diffusi al mondo. Non significa che i tuoi dati non esistano.
Chi dovrebbe avere attiva la privacy del dominio?
Tutti. Con pochissime eccezioni, ogni persona e ogni brand che registra un dominio dovrebbe avere la privacy attiva.
Le eccezioni sono poche. Alcune agenzie governative e istituzioni pubbliche lasciano visibili i propri dati di registrazione per trasparenza. Alcuni brand coinvolti in controversie sul marchio in corso preferiscono un record WHOIS pubblico come prova di proprietà, anche se nei procedimenti formali i registri del registrar servono allo stesso scopo.
Per tutti gli altri, non c'è alcun vantaggio nell'avere i propri dati personali in un database pubblico. I rischi (spam, phishing, ingegneria sociale, furto d'identità) sono reali e ben documentati. La protezione è semplice da attivare. Se il registrar la include gratis, non c'è motivo di lasciarla disattivata. Se il registrar la fa pagare, il costo è quasi sempre inferiore al tempo che spenderai per gestire le conseguenze di non averla.
Quanto costa non avere la privacy del dominio?
Il costo non è solo economico. Lasciare il record WHOIS senza protezione ti costa tempo, attenzione e sicurezza.
- Email di spam che inondano la tua casella ogni giorno, richiedendo filtri e pulizia
- Tentativi di phishing che usano i tuoi dati reali per sembrare credibili
- Telefonate di broker di domini e agenti di vendita che hanno preso il tuo numero da WHOIS
- Il rischio continuo di attacchi di ingegneria sociale contro il tuo account del registrar
- I tuoi dati personali che circolano nelle reti dei broker di dati senza possibilità di riprenderli
Una volta che i tuoi dati sono stati raccolti e distribuiti, attivare la privacy in seguito ferma l'esposizione futura. Non può annullare ciò che è già stato raccolto. Più presto la attivi, meno dati finiscono in posti che non puoi controllare. Per una guida dettagliata su come funziona la protezione della privacy del dominio a livello di registrar, quel capitolo spiega i passaggi pratici.
Come protegge WEMASY la tua privacy?
I domini registrati tramite WEMASY includono la protezione della privacy in ogni registrazione. I tuoi recapiti personali non vengono pubblicati nel record WHOIS pubblico. Nessun costo extra, nessun interruttore da cercare e nessun passaggio da attivare. La privacy è attiva dal momento in cui il dominio viene registrato.
Il tuo account WEMASY ti dà un unico posto per gestire impostazioni del dominio, record DNS e stato della privacy. Se colleghi un dominio esterno registrato altrove, le impostazioni della privacy di quel dominio sono gestite presso il registrar in cui è stato registrato in origine.
Scopri che cosa è incluso in ogni piano nei prezzi di WEMASY.
Che cosa viene dopo la privacy del dominio?
Proteggere i tuoi dati personali dal record pubblico è un livello di sicurezza. Proteggere il dominio stesso è una sfida diversa. Chi ottiene l'accesso al tuo account del registrar può trasferire altrove il dominio, cambiare le impostazioni DNS o reindirizzare il tuo traffico senza aver mai bisogno dei tuoi dati WHOIS. Il prossimo capitolo parla del furto di dominio (hijacking) e dei passaggi concreti per blindare il tuo account del registrar.
Domande frequenti
La privacy del dominio influisce sul posizionamento del mio sito nei motori di ricerca?
No. I motori di ricerca posizionano le pagine in base a qualità dei contenuti, pertinenza, autorevolezza e fattori tecnici. Il fatto che il tuo record WHOIS mostri i tuoi dati reali o un proxy non ha alcun impatto sul posizionamento. Google ha confermato che la privacy WHOIS non è un segnale di posizionamento. Con il creatore di siti di WEMASY puoi configurarlo direttamente dal tuo sito.
Posso aggiungere la privacy del dominio dopo aver già registrato il dominio?
Sì. La maggior parte dei registrar permette di attivare la protezione della privacy in qualsiasi momento dopo la registrazione. La modifica di solito diventa effettiva entro poche ore. Tieni presente che i dati personali già raccolti dal record pubblico prima di attivare la privacy non possono essere rimossi da dove sono stati conservati.
Ci sono estensioni di dominio per cui la protezione della privacy non è disponibile?
Alcuni TLD nazionali hanno regole del registro locale che richiedono di lasciare pubbliche le informazioni del registrante. Certe estensioni europee e dell'area Asia-Pacifico hanno storicamente limitato l'uso dei servizi proxy. Se la privacy non è disponibile per una specifica estensione, il registrar di solito lo indica durante la registrazione.
Il GDPR mi protegge se registro un dominio tramite un registrar statunitense?
Dipende da dove ti trovi. Il GDPR si applica ai residenti nell'UE a prescindere da dove ha sede il registrar. Se ti trovi nell'UE e registri tramite un registrar statunitense, il registrar deve comunque rispettare il GDPR per i tuoi dati personali. Se ti trovi negli Stati Uniti e registri tramite un registrar statunitense, il GDPR non si applica e i tuoi dati possono essere pubblici a meno che tu non attivi la privacy da solo.
Se ho la privacy del dominio attiva, qualcuno può comunque scoprire chi possiede il mio dominio?
Non tramite una ricerca WHOIS pubblica. Il record pubblico mostrerà informazioni proxy al posto dei tuoi dati reali. Tuttavia il registrar conserva comunque i tuoi recapiti effettivi. Forze dell'ordine, tribunali e collegi ICANN di risoluzione delle controversie possono chiedere l'accesso ai tuoi dati reali tramite procedure legali formali. La privacy nasconde le tue informazioni al grande pubblico, non alla responsabilità legale.