Defaults.Exposed › Доклади
Състоянието на сигурността на домейните 2026
Публикувано 2026-06-27 · обновено 2026-06-29
Данни към 2026-06-28 · методология v7. Това е повтарящ се доклад; всяко издание измерва отново същото население, така че числата могат да се проследяват с времето. Всички цифри са агрегирани — никога не публикуваме оценката на отделен бизнес.
.comе напълно оценен (129M домейна) и е включен в общите суми по-долу.
Основното: повечето от интернет не успява на базовата сигурност на домейни
Измерихме 260,408,704 живи домейна по 34 проверки за сигурност — удостоверяване на имейл (SPF, DKIM, DMARC), TLS и сертификати, заглавки за уеб сигурност и DNS (включително DNSSEC). Резултатът е поразителен:
- 86.2% получават F — най-ниската оценка.
- По-малко от 0.02% получават A или A+ — приблизително 1 на 4,600 домейна.
- Само около 1 на 27 достига C или по-добро.
Това не е история за няколко пренебрегнати сайта. Това е стандартното състояние на интернет: защитите, спиращи фалшифицирането на имейла ви и въвеждането в заблуждение на посетителите ви, просто не са включени за огромното мнозинство от домейните.
Разпределение на оценките (260M домейна)
| Оценка | Домейни | Дял |
|---|---|---|
| A+ | 6,740 | 0.0% |
| A | 49,762 | 0.0% |
| B | 1,145,942 | 0.4% |
| C | 8,582,117 | 3.3% |
| D | 26,088,093 | 10.0% |
| F | 224,536,050 | 86.2% |
Значително варира по държава и TLD
Сигурността на домейни варира широко по държава и по разширение на домейна. Установени национални регистри — особено в Европа — са склонни да защитават най-добре своите бизнеси, докато евтините, с голям обем, родови разширения, популярни за масова регистрация, се представят най-зле. Но „най-добро” е относително: дори най-силните разширения все още оставят повечето от домейните си с оценка F.
Тези класирания се изместват с нарастването на преброяването, затова ги пазим актуални вместо да ги замразяваме тук:
- Най-много и най-малко сигурните TLD →
- Сигурност на домейните по държави →
- Сигурност на домейните по индустрии →
Какво действително е включено, сигнал по сигнал
Оценката е обобщение. Под нея, ето колко пъти всяка отделна защита е правилно на място при цялото население — първата базова линия от такъв вид при цялото преброяване. Цифри по проверки към 2026-06-29, при 261 милиона оценени домейна.
| Защита | Какво спира | Домейни, притежаващи я |
|---|---|---|
| SPF (имейл) | Неупълномощени сървъри, изпращащи като вас | 53.21% |
| DKIM (имейл) | Манипулирана / неподписана поща | 51.84% |
| DMARC — всеки запис | — | 24.89% |
| DMARC — действително принудително прилагащ | Имейл имперсонация (тази, която има значение) | 10.59% |
| HTTPS | Нешифровано сърфиране „Not Secure” | 78.02% |
| HSTS (от HTTPS сайтове) | Понижаване до HTTP | 22.91% |
| Content-Security-Policy | Скриптове на трети страни / инжекция | 8.87% |
| Защита срещу clickjacking | Страниците ви в iframe | 14.48% |
| Всички заглавки за сигурност („сигурни по подразбиране”) | Пълният набор от уеб заглавки | 4.03% |
| DNSSEC — валиден | DNS хайджакинг | 1.99% |
| CAA | Неупълномощено издаване на сертификати | 1.56% |
Пет находки, заслужаващи цитиране:
- Само 10.59% от домейните прилагат DMARC принудително — така приблизително 89.41% могат да бъдат имитирани в имейл, дори когато 53.21% са публикували SPF и смятат, че са защитени.
- 78.02% обслужват HTTPS, но само 4.03% задават всяка заглавка за сигурност — шифроването е масово; всичко над него не е.
- 8.21% от HTTPS сайтовете имат невалиден сертификат — изтекъл, самоподписан или за грешно име — така посетителите получават предупреждение така или иначе.
- Повече домейни имат счупен DNSSEC (3.02%), отколкото работещ DNSSEC (1.99%) — контролът, предназначен да защитава DNS, по-често изкарва домейните офлайн, отколкото ги осигурява.
- Само 1.56% задават CAA запис — DNS е най-пренебрегваният слой за сигурност в интернет.
Какво означава това за вашия бизнес
Неуспешната оценка не е абстрактна точка. В обикновени думи обикновено означава, че едно или повече от следните са верни за домейна ви:
- Имейлът ви може да се фалшифицира. Без принудително прилаган SPF и DMARC, престъпник може да изпраща имейл, изглеждащ точно като от вас — до клиентите, персонала и доставчиците ви — и той попада в входящата кутия. Така работят измамите с фалшиви фактури и CEO fraud.
- Реалният ви имейл е по-вероятно да бъде изхвърлен. Google и Yahoo все повече не вярват на неудостоверени домейни, така че истинските ви оферти и фактури тихо попадат в спам.
- Ще се провалите на проверките за сигурност на другите. По-големите клиенти правят бърз сканиране преди да подпишат. „Домейнът не е защитен — може да се подправя” е достатъчно, за да загубите сделката.
- Сайтът ви може да предупреждава посетителите. Липсващ или счупен сертификат показва на купувачите червена страница „Not secure”.
Насърчителната част: повечето от тях са безплатни и бързи за поправяне — обикновено няколко реда в настройките на домейна ви. Бариерата почти никога не е цената; тя е, че никой не е казал на собственика, че има значение.
Как сме го измерили
- 34 проверки, externally наблюдаеми — не се изисква достъп до системите на никого. (Пълна методология.)
- Успех / неуспех / N/A. Когато проверка наистина не може да се определи, се маркира N/A и се изключва — никога не се брои като неуспех.
- Реален неуспех е реален неуспех. Домейн без SPF/DMARC получава ниска оценка, защото наистина може да се подправя — не заради начина на броене.
- Само агрегирано. Това са модели на популацията; оценката на отделен домейн се показва само на потвърдения му собственик.
- Данните се съхраняват и обработват в рамките на ЕС.
Това издание добавя базовата линия сигнал по сигнал по-горе — делът на домейните, притежаващи всяка отделна защита правилно на място, измерен при цялото оценено население.
Вижте къде стои вашият собствен домейн
Това са средни стойности. Вашият домейн може да е един от 0.02%, получаващи A — или един от 86.2%, които не получават. Можете да го проверите поверително и безплатно и да видите точно кои от 34-те проверки преминавате и как да поправите тези, които не преминавате.