Defaults.Exposed › Aruanded

SPF-ist ei piisa: 119 miljonit domeeni, mis kunagi ei jõusta

Avaldatud 2026-07-03 · uuendatud 2026-07-03

Arvud seisuga 2026-06-29 · metoodika v7. Loenduse andmed ühendavad kontrollid domeeni kohta 261 miljoni hinnatud domeeni ulatuses. „Jõustav” = DMARC-i poliitika quarantine või reject; „täielikult kaitstud” = nii SPF kui ka DKIM paigas, pluss jõustav DMARC — täielik e-posti autentimise kolmik. Kõik arvud on koondnäitajad — me ei avalda kunagi üksiku ettevõtte hinnet.

Loendus: mitu domeeni tuginevad ainult SPF-ile

Ainult SPF-ist ei piisa e-posti võltsimise peatamiseks — ja loendus suudab nüüd kokku lugeda, mitu domeeni sellele siiski tuginevad: 119,212,005 (119 miljonit) avaldavad SPF-i, kuid ei jõusta kunagi DMARC-i. See on 85.8% igast domeenist, mis üldse vaevus SPF-i seadistama. Selle kaaslugu, SPF ilma DMARC-ita, selgitab mehhanismi — miks SPF ei suuda kaitsta „Kellelt” aadressi, mida inimene tegelikult näeb; see artikkel mõõdab populatsiooni — mitu domeeni see lünk haavatavaks jätab ja milline on haavatavuse kuju.

Lühiversioon: SPF-i seadistamine on interneti kõige levinum e-posti turvatoiming, ja valdava enamiku seda teinud domeenide jaoks on see ühtlasi ka viimane.

Kolm populatsiooni

139 miljonit domeeni — 138,911,937 neist — avaldavad SPF-kirje. Jaotus selle järgi, mis nende taga seisab:

Read ei liitu SPF-i koguarvuks: ülejäänud on SPF-i avaldajad, kelle DMARC küll jõustab, kuid kelle DKIM ei ole täielikult paigas — jõustav, kuid jäädes puudu täielikust kolmikust, mida alumine rida loeb.

Keskmine rida on peapealkiri: umbes 119 miljonit domeeni tegid ära töö oma legitiimsete saatjate deklareerimiseks ja seejärel ei öelnud kunagi maailma postkastidele, et nad selle järgi tegutseksid. Ja alumine rida on puänt: kõigi 261 miljoni hinnatud domeeni seas on vaid 3.87% — umbes 10 miljonit — e-posti osas täielikult kaitstud. Täielik kaitse ei ole tehniliselt kõrge lävi; see on lihtsalt lõpetus teekonnale, mille 119 miljonit domeeni alustas ja pooleli jättis.

Miks loendus on nii kaldu

SPF on koht, kust iga seadistusjuhend algab, kus enamiku e-postiteenuse pakkujate juurutamine lõpeb, ja mida enamik vastavuskontrollide loendeid tegelikult kontrollib. See tekitab nähtava artefakti — TXT-kirje — ja rohelise linnukese ükskõik millises tööriistas, mis seda kontrollis. Jõustav DMARC tekitab vastupidise kogemuse: see nõuab järkjärgulist progressiooni (avalda, jälgi, tuvasta saatjad, seejärel jõusta), ja selle tasu on nähtamatu — võltsitud kiri, mis vaikselt lakkab kohale jõudmast.

Nii optimeeris internet linnukese jaoks. Loendus näitab, milline see suures mastaabis välja näeb: 85 miljonil domeenil (84,638,430) on SPF ja mitte mingisugust DMARC-kirjet — isegi mitte p=none kohatäitjat. Need omanikud ei ole laisad; nad järgisid neile antud juhiseid, ja juhised lõppesid liiga vara.

Mida „kaetud” siin tegelikult tähendab

Tagajärg, mitte hirm: SPF-iga ja ilma jõustava DMARC-ita domeeni saab endiselt kehastada just selles ühes kohas, kuhu inimesed vaatavad — nähtaval „Kellelt” real. SPF laseb vastuvõtvatel serveritel kontrollida, millised masinad tohivad ümbriku domeeni nimel saata, kuid ilma DMARC-ita ei ole nõuet, et nähtav saatja vastaks millelegi, mida SPF kontrollis, ega juhist tagasi lükata kirja, mis ei läbi kontrolli. Võltsitud arve, võlts parooli lähtestamine, tarnija maksete ümbersuunamine — kõik jäävad kohaletoimetatavaks teie klientidele ja tarnijatele teie nimel, hoolimata SPF-kirjest.

DMARC-i küpsuse kuues etapis on need 119 miljonit domeeni kinni etappides 1–3 — põrand on ehitatud või osaliselt ehitatud, ja ust ei paigaldatud kunagi. Sealt kaitstuni jõudmise vahemaa on hästi mõistetav ja enamasti protseduuriline; see, mida käesolev loendus lisab, on teadmine, et seda ei kõnni peaaegu keegi läbi.

Kui teie domeen on üks neist 119 miljonist

1. Hoidke SPF alles — see on eeltingimus, mitte viga. (Paranda SPF →.)
2. Lisage DKIM, et teie kiri oleks nii allkirjastatud kui ka allikaga varustatud. (Paranda DKIM →.)
3. Avaldage DMARC koos aruandlusega, seejärel jõustage — kõigepealt p=none koos rua=-ga, tuvastage iga legitiimne saatja, seejärel liikuge quarantine ja reject peale. See on samm, mis muudab „seadistatu” „kaitstuks”. (Paranda DMARC →.)

Korduma kippuvad küsimused

Kas SPF-ist piisab, et kaitsta domeeni võltsimise eest? Ei. SPF valideerib saatvad serverid ümbriku domeeni suhtes; see ei kontrolli nähtavat „Kellelt” aadressi ega ütle vastuvõtjatele, et rikkumised tagasi lükata. Ainult jõustav DMARC-i poliitika teeb mõlemat — ja 119,212,005 domeeni avaldavad SPF-i ilma selleta.

Mitmel domeenil on SPF, kuid üldse mitte DMARC? 84,638,430 — 60.9% kõigist SPF-i avaldajatest ei oma mingisugust DMARC-kirjet, isegi mitte jälgimisrežiimis.

Mitu domeeni on täielikult kaitstud? 10,092,481 — 3.87% 261 miljonist hinnatud domeenist ühendavad SPF-i ja DKIM-i DMARC-i poliitikaga quarantine või reject.

Kas SPF-i olemasolu vähemalt aitab? Jah — see on alus, mille suhtes DMARC hindab, ja see parandab teie legitiimse kirja kohaletoimetatavust. See lihtsalt ei kaitse iseenesest midagi; see on kolmest sammust esimene, ja loendus näitab, et enamik internetist käsitles seda kui tervet trepikäiku.

Kontrollige, millises populatsioonis teie domeen on

„Me seadistasime SPF-i” kirjeldab 139 miljonit domeeni; „me oleme kaitstud” kirjeldab 10 miljonit. Selle väljaselgitamine, kumb te olete, võtab minuti, privaatselt ja tasuta — vaadake, millised 34 kontrollist te läbite ja kuidas parandada need, mida te ei läbi.

Kontrolli oma domeeni → · DMARC-i küpsuse 6 etappi → · DMARC-i sammas → · Ainult koondandmed. Andmeid säilitatakse ja töödeldakse ELis.