Defaults.Exposed › Aruanded
Kas keegi saab saata e-kirju, teeseldes teie ettevõtet? Enamiku domeenide puhul jah (2026)
Avaldatud 2026-06-29
Andmed seisuga 2026-06-29 · metoodika v7. Koondatud loendusandmed 261 miljoni hinnatud domeeni kohta. „Saab kehastada“ tähendab, et domeen ei jõusta DMARCi (pole karantiini- ega tagasilükkamispoliitikat) — kontrollimehhanismi, mis käsib vastuvõtvatel meiliserveritel võltsitud kirjad peatada. Vaata kuidas me hindame.
Enamiku ettevõtete puhul jah — keegi saab saata e-kirja, mis näeb välja täpselt nii, nagu see tuleks sinu domeenilt. Vaid 10.59% neist 261 miljonist domeenist, mida hindasime, jõustab DMARCi — ainsa kontrolli, mis tegelikult blokeerib kehastamise. Ülejäänud 89.41% jätavad ukse lahti: petis saab panna sinu täpse aadressi väljale „Saatja“ ja enamik postkaste kuvab selle ehtsana. See on mehhanism võltsarvete, „CEO-pettuse“ tüüpi maksetaotluste ja tarnijapettuste taga — ja proovimine ei maksa midagi.
Kas keegi saab tõesti saata e-kirju minu domeeni nimel?
Kui sinu domeen ei jõusta DMARCi, siis jah. E-post loodi ilma sisseehitatud viisita saatjat kontrollida, seega on aadressi „Saatja“ võltsida ülilihtne. Kolm seadet kihiliselt parandavad selle — SPF, DKIM ja DMARC — kuid ainult viimane, seatud jõustamisele, käsib vastuvõtval serveril võltsingu tegelikult tagasi lükata või karantiini panna. Seisuga 2026-06-29:
- 75.11% domeenidest ei oma üldse DMARC-kirjet.
- 14.29% omab DMARC-kirjet, mis on seatud ainult jälgimisele (
p=none) — auditil näeb see välja nagu kaitse, kuid käsib vastuvõtjatel mitte midagi teha, seega võltsitud kirjad ikkagi jõuavad kohale. - Vaid 10.59% jõustab
quarantinevõirejectpoliitika — konfiguratsiooni, mis peatab kehastamise.
Niisiis saab 89.41% domeenidest — rohkem kui kaheksa kümnest — täna e-postis kehastada.
„Aga meil on SPF“ — miks sellest ei piisa
See on kõige levinum ja kõige ohtlikum eksiarvamus. 53.21% domeenidest avaldab SPF-kirje, palju rohkem kui need 10.59%, mis jõustavad DMARCi. Omanikud näevad SPFi ja eeldavad, et on kaitstud. Nad pole: SPF (ja DKIM) kontrollivad tehnilist saatmisteed, kuid ei halda aadressi „Saatja“, mida inimene tegelikult näeb. Ilma jõustamisele seatud DMARCita saab ründaja ikkagi läbida SPFi oma taristus ja võltsida sinu nähtava aadressi. SPF on vajalik torustik; DMARCi jõustamine on lukk.
Kui haavatav on sinu veebinurk?
Jõustamine erineb suuresti domeenilõpu järgi. Kõrgem on parem — see on osakaal domeenidest, mis tegelikult blokeerivad kehastamise. Seisuga 2026-06-29:
| Domeenilõpp | Jõustab DMARCi | Saab kehastada |
|---|---|---|
| .nl (Holland) | 29.43% | 29.43% kaitstud, ülejäänud haavatavad |
| .de (Saksamaa) | 21.38% | — |
| .in (India) | 19.26% | — |
| .uk (Ühendkuningriik) | 13.42% | — |
| .com | 9.50% | enimkasutatud lõpp on allpool 10.59% globaalset keskmist |
| .net | 10.08% | — |
| .org | 10.01% | — |
| .xyz | 5.15% | — |
| .top | 3.17% | — |
| .cn (Hiina) | 1.45% | madalaim peamiste lõppude seas |
Isegi parimini toimiv suur lõpp kaitseb vähem kui kolmandikku oma domeenidest. .com-il — kus elab enamik ettevõtteid — jõustab DMARCi vaid 9.50%.
Mida see ettevõttele tegelikult maksab
Kehastamine e-postis on mehhanism mõnede kõige kulukamate veebikuritegude taga, millest teatatakse õiguskaitseorganitele kogu maailmas — ärimeili kompromiteerimine (BEC). Muster on alati sama:
- Klient saab sinu aadressilt „arve“ petturi pangaandmetega, maksab selle ära ja avastab pettuse nädalaid hiljem — pidades seda sageli sinu ebaõnnestumiseks.
- Töötaja saab kiireloomulise „ülemuselt“ tuleva palve raha üle kanda või kinkekaarte osta. Aadress on tõepoolest sinu oma, seega ta täidab selle.
- Tarnijale öeldakse „meie pangaandmed on muutunud“ e-kirjas, mis läbib iga visuaalse kontrolli.
Mitte midagi sellest ei nõua sinu süsteemide häkkimist. See nõuab vaid seda, et sinu domeen ei jõustaks DMARCi — mida 89.41% domeenidest ka ei tee.
Kuidas teada saada, kas oled kaitstud (ja see parandada)
Väljastpoolt ei saa teada, kas sina oled nende 10.59% hulgas — ainus viis teada saada on oma domeen üle kontrollida. Parandus on tasuta ja võtab tavaliselt ühe pärastlõuna, tehtuna järjekorras: avalda SPF ja DKIM, seejärel vii DMARC jõustamisele (p=none → quarantine → reject). Viimane samm on see, mis tegelikult ukse sulgeb.
Korduma kippuvad küsimused
Kas keegi saab saata e-kirja, teeseldes minu ettevõtet? Kui sinu domeen ei jõusta DMARCi (karantiini- või tagasilükkamispoliitikat), siis jah — sinu täpset aadressi „Saatja“ saab võltsida ja enamik postkaste kuvab selle ehtsana. Seisuga 2026-06-29 on 89.41% hinnatud domeenidest selles seisundis.
Meil on juba SPF — kas me pole turvaliselt kaitstud?
Ei. SPF kontrollib tehnilist saatmisteed, kuid mitte nähtavat aadressi „Saatja“. 53.21% domeenidest avaldab SPFi, kuid ilma jõustamisele seatud DMARCita saab sinu aadressi ikkagi võltsida. Sul on vaja DMARCi seadega quarantine või reject.
Kas DMARC-kirjest ei piisa?
Ainult juhul, kui see jõustab. Kirje, mis on seatud p=none (ainult jälgimine) — mida kasutab 14.29% domeenidest — ei tee võltsimise peatamiseks midagi. Seda teeb ainult quarantine või reject, ja sinna jõuab vaid 10.59% domeenidest.
Kuidas oma domeeni kontrollida? Käivita tasuta privaatne kontroll (allpool). Me näitame domeeni tulemust alati ainult selle kinnitatud omanikule.
Kas selle parandamine on kallis? Ei. SPF, DKIM ja DMARC on tasuta DNS-seaded. Maksumus on aeg nende õiges järjekorras seadistamiseks, mitte raha.
Kontrolli, kas sinu domeeni saab kehastada
Ära arva, kummal pool neid 10.59% sa oled. Kontrolli oma domeeni privaatselt ja tasuta — näed oma DMARCi, SPFi ja DKIMi olekut ning täpselt seda, mida parandada.
Kontrolli oma domeeni → · Paranda DMARC → · Paranda SPF → · Kuidas me hindame → · Ainult koondandmed. Andmeid säilitatakse ja töödeldakse ELis.