Trovare un fornitore cinese a partire da un sito web o da un indirizzo email
Ricostruire il percorso di un sito web o di un indirizzo email del fornitore attraverso reindirizzamenti, registrazione ICP, RDAP, autenticazione della posta ed evidenze sull’imballaggio, fino a individuare candidati tra le società legali cinesi.
Inizia con la denominazione legale cinese o il Codice unificato di credito sociale (USCC). Conferma l’azienda corrispondente prima di aprire il suo profilo.
Un sito web o un indirizzo email del fornitore sono sufficienti per avviare un’indagine sull’identità, ma non bastano per identificare la società da cui si acquista. Il sito potrebbe appartenere al titolare del marchio, la casella di posta potrebbe essere gestita da un team export e l’imballaggio in cartone potrebbe indicare un produttore distinto. L’obiettivo utile è documentare un percorso che colleghi ciascun indizio online a uno o più candidati tra i soggetti giuridici cinesi.
Conservare l’indizio prima che il sito web cambi
Inizia con un pacchetto probatorio, non con una casella di ricerca. Salva l’URL completo, compreso il percorso, la data e il fuso orario, uno screenshot dell’intera pagina e l’URL finale dopo eventuali reindirizzamenti. Scarica il preventivo o il catalogo senza modificarlo e registra il nome del file e il suo hash se la transazione è rilevante. Fotografa il prodotto, il manuale, la targhetta dati e ogni lato del cartone prima di smaltire l’imballaggio.
Per le email, conserva il messaggio originale oppure esporta un file .eml con tutte le intestazioni. Uno screenshot della riga del mittente visibile non conserva il Return-Path, i risultati dell’autenticazione, gli identificativi del messaggio e la cronologia di routing. Non fare clic su link imprevisti di accesso o di verifica dell’account solo per “testarli” e non effettuare tentativi di accesso alla casella di posta o ai sistemi privati di un fornitore.
Crea una riga per ogni elemento osservato: URL del sito web, dominio finale, indirizzo From dell’email, Reply-To, telefono, indirizzo, nome riportato nel preventivo, produttore indicato sull’imballaggio ed eventuali caratteri cinesi. Registra ciò che l’artefatto riporta letteralmente prima di aggiungere un’interpretazione. Questo evita che un marchio inglese familiare venga assunto silenziosamente come nome della società.
Ridurre URL e caselle di posta ai domini esatti
Indica il dominio registrabile per ogni indizio, non semplicemente “il sito web”. Per sales.cn.example.com, il sottodominio è sales.cn e il dominio registrabile è example.com. Registra i reindirizzamenti separatamente: brand.cn che reindirizza a group.com è una relazione da indagare, non un motivo per cancellare il primo dominio.
Confronta l’ortografia carattere per carattere. Trattini, lettere raddoppiate, cifre sostituite, diversi domini di primo livello e caratteri Unicode visivamente simili possono sfuggire sullo schermo di un telefono. Le linee guida dell’Internet Crime Complaint Center dell’FBI sui domini aziendali spoofati mostrano come un’imitazione convincente possa aggiungere una parola, alterare una lettera o sostituire la punteggiatura. Si raccomanda di verificare che il dominio appartenga all’attività che dichiara di rappresentare e di confermare il mittente tramite la linea telefonica principale dell’azienda.
La corrispondenza tra domini resta comunque solo una corrispondenza tecnica. Un indirizzo nello stesso dominio del sito web suggerisce un controllo comune del dominio; una casella di posta gratuita o un secondo dominio crea un altro ramo distintivo da documentare. Nessuno dei due risultati identifica la società legale senza ulteriori evidenze.
Leggere il sito web come un insieme di affermazioni
Esamina oltre la sola pagina Chi siamo. Le superfici identitarie più utili si trovano spesso nel footer, nella pagina Contatti, nell’informativa sulla privacy, nei termini e condizioni, nell’avviso legale, nella politica sui resi, nel catalogo scaricabile, nella pagina dei certificati e nei metadati dei PDF. Trascrivi il nome legale esattamente come visualizzato, specialmente i caratteri cinesi. Quindi annota indirizzi, prefissi di telefonia fissa, numeri di telefono, email, nomi riportati nel copyright, marchi e sedi di fabbrica dichiarate.
Distingui quattro ruoli quando il testo lo permette: gestore del sito web, titolare del marchio, produttore e società di vendita o di export. “La nostra fabbrica” e una galleria di macchinari sono affermazioni di marketing finché uno stabilimento specifico non viene collegato al venditore. Testi di prodotto copiati, foto stock o un anno di copyright datato possono orientare i successivi approfondimenti, ma nessuno di questi elementi prova che il sito sia falso.
Se dal sito emerge solo un nome in inglese, trasferisci le parole rimanenti, la città, il prodotto e gli indizi di contatto nell’indagine sul nome in inglese. Non tradurre un marchio inglese in cinese e cercarlo come se fosse la denominazione registrata.
Utilizzare la registrazione ICP per porre la domanda corretta
Per un sito che fornisce servizi di informazione su Internet nella Cina continentale, una licenza ICP o un numero di registrazione può collegare un dominio a un soggetto responsabile della registrazione del sito. L'attuale normativa cinese sui servizi di informazione su Internet richiede che la licenza o il numero di registrazione siano visibili in modo prominente sulla homepage. Le norme del MIIT per la registrazione non commerciale sono più specifiche: il numero di registrazione deve apparire nella parte inferiore centrale della homepage e contenere un link al sistema di registrazione per la verifica pubblica.
Copia il numero come testo e segui il canale ufficiale di verifica; non fidarti di un'immagine nel footer o di un link che porta a un servizio imitativo non correlato. Registra il nome del soggetto responsabile della registrazione, il dominio, lo stato della registrazione e la data della verifica. Confronta il nome cinese del soggetto responsabile con il sito web, il preventivo e l'eventuale registro societario.
Un risultato ICP risponde a una domanda di natura amministrativa relativa al web. Di per sé, non dimostra che il soggetto responsabile possieda la fabbrica, controlli un addetto alle vendite, possa esportare le merci, firmerà il contratto o debba ricevere il pagamento. Un sito ospitato fuori dalla Cina continentale potrebbe legittimamente non avere una registrazione ICP, quindi l'assenza è un dato relativo alla copertura, non un segnale di allarme automatico.
Utilizzare RDAP senza trasformare la privacy in sospetto
Per un dominio di primo livello generico, registrare le date di registrazione e di scadenza, il registrar, lo stato del dominio e i nameserver disponibili tramite RDAP. L'ICANN descrive RDAP come il sostituto strutturato di WHOIS. La sua FAQ sulle consultazioni spiega che i risultati provengono dai registry o dai registrar e che la legge e le politiche applicabili implicano che non tutti i dati di registrazione siano pubblici.
Le misure cinesi sui nomi di dominio richiedono ai registrar operanti secondo tali regole di richiedere e verificare informazioni veritiere, accurate e complete del titolare, proteggendo al contempo i dati personali. Un proxy per la privacy pubblico o contatti oscurati non costituiscono quindi prove di inganno.
L'età del dominio non coincide con l'età dell'azienda. Un'azienda costituita nel 2012 potrebbe lanciare un nuovo dominio per l'export nel 2025, mentre un dominio storico potrebbe essere acquisito da un nuovo operatore. Utilizzare la data per verificare le specifiche affermazioni sulla storia del sito web e richiedere supporto documentale o archiviato; non sottrarla dall'anzianità operativa dichiarata come se i due riferimenti temporali fossero identici.
Interpretare l'autenticazione delle email come prova di controllo
Dalle intestazioni complete, inserire in campi separati il mittente visibile From, Reply-To, Return-Path o mittente della busta, il dominio di firma DKIM (d=) e il risultato SPF. Un indirizzo Reply-To diverso merita una spiegazione, poiché le risposte potrebbero uscire dal dominio mostrato al lettore. Anche l'inoltro e le piattaforme email legittime possono generare discrepanze, quindi il risultato grezzo richiede un contesto.
DMARC valuta l'allineamento tra il dominio From visibile e un dominio convalidato tramite SPF o DKIM, come definito nell'RFC IETF 7489. Un esito positivo supporta la conclusione che il messaggio abbia rispettato la politica di autenticazione del dominio. Non dimostra tuttavia che il dominio appartenga all'azienda indicata nel preventivo, che il dipendente abbia autorità contrattuale o che una casella autorizzata non sia stata compromessa.
Salvare il risultato dell'autenticazione come singola riga nel file delle prove. Non etichettare le email gratuite come frode, né quelle aziendali autenticate come identità aziendale verificata. Quando un messaggio modifica le istruzioni bancarie, interrompere questo flusso di verifica dell'identità e utilizzare la procedura di modifica dei dati bancari.
Un caso fittizio: Harbor Motion
Un acquirente riceve un preventivo dall'indirizzo fittizio sales@harbor-motion.com. Il preventivo riporta soltanto “Harbor Motion” e la pagina del prodotto reindirizza da harbor-motion.com a hmotion.cn. L’investigatore conserva entrambi gli URL, l’e-mail grezza, il PDF e le foto del cartone campione.
- Il piè di pagina del sito indica Guangdong Harbor Motion Technology Co., Ltd. in cinese e mostra una registrazione ICP. La consultazione ufficiale restituisce lo stesso organizzatore e lo stesso dominio finale. Ciò conferma la candidatura come operatore del sito web.
- RDAP mostra che il dominio originale è stato registrato nel 2024, sebbene il sito dichiari di “servire gli acquirenti dal 2012”. La questione rimane aperta: potrebbe trattarsi di un nuovo dominio per un’attività più antica, non della prova che la storia dell’azienda sia falsa.
- L’e-mail supera il controllo SPF, ma il suo Reply-To appartiene a un secondo dominio aziendale. L’investigatore registra la discrepanza e chiede quale azienda controlli quel dominio, invece di considerare il semplice superamento del controllo come prova dell’identità legale.
- Il cartone campione identifica la fittizia Ningbo Harbor Drive Equipment Co., Ltd. come produttore. L’imballaggio aggiunge quindi un secondo candidato con denominazione sociale e un possibile ruolo di fabbrica; non sostituisce l’operatore del sito web.
- L’acquirente richiede la denominazione legale cinese e l’USCC del venditore contrattuale, nonché una mappa scritta che chiarisca i ruoli di operatore del sito web, produttore e venditore. Il fornitore risponde che l’azienda del Guangdong vende ed esporta, mentre quella di Ningbo produce.
Il risultato non è “sito web verificato”. Si tratta di una mappa dei ruoli con due entità denominate, file sorgente, date e un’affermazione di relazione ancora da verificare. Cercare ciascuna denominazione cinese, confrontare i candidati utilizzando il metodo di selezione dei candidati e richiedere la licenza del venditore attraverso la sequenza di richiesta documentale.
Chiudere l’indagine online con un passaggio di consegne sull’entità legale
Un passaggio di consegne completo registra ogni dominio, reindirizzamento, esito ICP, esito RDAP, campi del dominio e-mail, etichetta fisica, candidato con denominazione cinese, URL o file sorgente, data di acquisizione e grado di affidabilità. Indica anche ciò che rimane sconosciuto. Mantenere separati i campi dei ruoli per operatore del sito web, titolare del marchio, produttore, esportatore, venditore contrattuale, emittente della fattura e beneficiario bancario.
Procedere alla corrispondenza aziendale quando almeno una denominazione legale cinese o un identificativo dell’organizzazione è supportato da un elemento probatorio conservabile. Sospendere la conclusione sull’identità quando il sito, l’e-mail e l’imballaggio rimandano a entità diverse senza una relazione documentata. Smettere di fare affidamento sulla traccia digitale quando il fornitore si rifiuta di indicare una parte contrattuale responsabile ma continua a richiedere pagamenti.
Una volta identificato il venditore, cercarlo in Ricerca aziende ChinaValidate. Se il beneficiario finale è diverso, utilizzare il flusso di verifica del beneficiario. L’indagine online ha svolto il suo compito quando produce candidati di entità legali tracciabili e lacune esplicite, non quando ogni indizio viene forzatamente ricondotto a un unico nome di comodo.