Kuidas me hindasime kogu internetti: A–F domeeniturvalisuse metoodika (2026)

Avaldatud 2026-06-28

Viiteleht · metoodika v7 · andmed seisuga 2026-06-28. See leht selgitab, kuidas iga sellel saidil olev arv toodetakse. Kogu avaldatud statistika on koondatud; üksiku domeeni hinne kuvatakse ainult selle kinnitatud omanikule.

Defaults.Exposed hindab domeene A+-st kuni F-ni 34 väljastpoolt jälgitava turvakontrolli alusel, mida hinnatakse täielikult avalikust internetist — kunagi kellegi süsteeme puudutamata. See leht on täielik ja arusaadav ülevaade sellest, kuidas see toimib: mida me mõõdame, kuidas hinne arvutatakse, mida andmed saavad ja ei saa teile öelda, ning eetilised reeglid, mida me järgime. See on tahtlikult läbipaistev, sest turvahinne on usaldusväärne vaid sel määral, kui usaldusväärne on selle taga olev meetod.

Mida me mõõdame

Iga domeeni hinnatakse 34 kontrolli alusel, mis on rühmitatud viide kategooriasse. Iga kontroll on midagi, mida igaüks saaks väljastpoolt jälgida — privaatsüsteeme ei skannita, sisselogimist ega sissetungimist ei toimu.

E-posti autentimine — kas seda domeeni saab e-kirjas võltsida? Hõlmab SPF-i, DKIM-i, DMARC-i (ja seda, kas DMARC on tegelikult jõustamise režiimis) ning posti (MX) seadistust.
TLS ja sertifikaadid — kas sait on korralikult krüpteeritud? Hõlmab sertifikaadi kehtivust ja hostinime vastavust, kaasaegseid TLS-i versioone ning HSTS-i.
Veebi turvapäised — kas sait kaitseb brauserit? Hõlmab Content-Security-Policy’t, klikiröövimise vastast kaitset (X-Frame-Options), MIME-sniffimise vastast kaitset, Referrer-Policy’t ja cross-origin päiseid.
DNS — kas nimekiht on karastatud? Hõlmab DNSSEC-i, CAA-d ja nimeserveri konfiguratsiooni.
Taristu — toetavad signaalid nagu pöörd-DNS ja IPv6 tugi.

34-st kontrollist osa hinnatakse (need mõjutavad hinnet) ja ülejäänud on informatiivsed (esitatakse konteksti jaoks, kuid neid ei karistata).

Kuidas kontrolli hinnatakse: läbitud, ebaõnnestunud või ei kohaldu

Iga kontroll lõpeb ühe kolmest tulemusest:

Läbitud — kaitse on olemas ja korrektne.
Ebaõnnestunud — kaitse puudub või on katki. Tegelik ebaõnnestumine on tegelik ebaõnnestumine: domeen, millel pole jõustatud SPF-i ja DMARC-i, saab madala hinde, sest seda saab tõeliselt võltsida, mitte selle pärast, kuidas me lugesime.
Ei kohaldu — kontrolli ei saa selle domeeni puhul tõeliselt määrata. „Ei kohaldu“ tulemused jäetakse hindest välja; need ei lähe kunagi domeeni kahjuks arvesse.

See viimane punkt on oluline: me ei karista domeeni millegi eest, mida me ei suutnud õiglaselt hinnata.

Kuidas tähthinne arvutatakse

Hinded ulatuvad A+, A, B, C, D, F. Hinne peegeldab, kui täielikult domeen sulgeb olulised lüngad — kaalutud kontrollide poole, millel on suurim tegelik mõju (e-posti võltsimine ja transpordi turvalisus kaaluvad rohkem kui kosmeetilised päised). Domeen, mis saab suure mõjuga põhitõed õigeks ja jätab vaid väikesed lüngad, jõuab kõrgele; domeen, mis ebaõnnestub põhitõdedes, mis lubavad teda võltsida, jõuab F-ni.

Kuna sama meetodit rakendatakse identselt igale domeenile, on hinded võrreldavad kogu populatsioonis — just see muudab edetabelid (TLD, riigi ja tööstusharu järgi) tähenduslikuks.

Kui suur on andmestik?

Jälgime 333 miljonist domeenist koosnevat inventari ja hindame elavat populatsiooni, mis koosneb umbes 260 miljonist praegu lahenduvast (resolve). Avaldatud statistika arvutatakse sellest populatsioonist ehitamise ajal ja kannab andmestiku seisukuupäeva, et te alati teaksite, kui värske mõni arv on.

Kui värsked on andmed?

Skannimislaevastik töötab pidevalt. Kogu populatsiooni värskendatakse korrapärase rütmiga, mõnda TLD-d mõõdetakse uuesti sagedamini, nii et selle saidi arvud on elav mõõtmine, mitte ühekordne hetkeülesvõte. Iga aruanne näitab oma seisukuupäeva ja lipulaevauuringud avaldatakse korduvate väljaannetena, et trende saaks aja jooksul jälgida.

Mida andmed saavad — ja ei saa — teile öelda

Usume, et piirangud on sama olulised kui leiud:

Geograafia ja tööstusharu tuletatakse domeeni lõpust, mitte ettevõtte registreeringust. Riigi arvud põhinevad selle riiklikul domeeni lõpul (ccTLD); tööstusharu arvud põhinevad tööstusharuspetsiifilistel lõppudel. Üldist lõppu nagu .com kasutavat ettevõtet ei saa selles mastaabis riigi või sektoriga seostada. Need segmendid on populatsioonide võrdlemiseks „piisavalt täpsed“, kusjuures see hoiatus on välja öeldud.
Me mõõdame domeene, mitte organisatsioone. Üks ettevõte võib omada palju domeene; me hindame iga domeeni tema enda konfiguratsiooni alusel.
Ainult väline vaade. Me hindame seda, mis on jälgitav avalikust internetist. Me ei näe ega püüa näha midagi, mis on sisselogimise taga.

Meie reeglid: ainult koondatult, omanikule privaatne, ELi resident

Kolm kohustust juhivad kõike, mida me avaldame:

Ainult koondatult. Avaldame populatsioonimustreid — TLD, riigi ja tööstusharu kaupa edetabeleid. Me ei avalda kunagi indekseeritud lehte, mis nimetab üksiku ettevõtte ja selle hinde.
Omanikule privaatne. Üksiku domeeni hinne ja kontrollipõhine jaotus kuvatakse ainult kinnitatud omanikule, kes seda kontrollib.
Andmete asukoht ELis. Kõik andmed salvestatakse ja töödeldakse ELi piires — nii vastavusseisukoht kui ka tahtlik usalduskohustus.

Korduma kippuvad küsimused

Kuidas Defaults.Exposed arvutab domeeni turvaskoori? Käivitades 34 väljastpoolt jälgitavat kontrolli (e-posti autentimine, TLS, veebipäised, DNS ja taristu), hinnates iga ühte kui läbitud / ebaõnnestunud / ei kohaldu ning kaaludes neid tegeliku mõju poole, et toota hinne A+-st kuni F-ni.

Kas te skannite või häkkite domeene, mida hindate? Ei. Iga kontroll on jälgitav avalikust internetist — sama teave, mida näeksid vastuvõttev postiserver või külastaja brauser. Sisselogimist, sissetungimist ega juurdepääsu privaatsüsteemidele ei toimu.

Miks võib domeen saada F? Kõige sagedamini seetõttu, et tal pole jõustatud SPF-i ja DMARC-i ning teda saab seetõttu e-kirjas võltsida — tõeline, väljastpoolt kontrollitav nõrkus.

Kas ma saan näha konkreetse ettevõtte domeeni hinnet? Ainult juhul, kui see on teie enda domeen ja te kinnitate omandiõiguse. Me ei avalda kunagi üksikute ettevõtete hindeid.

Kui sageli andmeid uuendatakse? Pidevalt. Kogu populatsiooni värskendatakse korrapärase rütmiga ja iga arv on dateeritud „seisukuupäevaga“, et te teaksite, kui värske see on.

Kontrollige domeeni ise

Kiireim viis meetodi mõistmiseks on seda käivitada. Kontrollige oma domeeni privaatselt ja tasuta ning vaadake kõiki 34 kontrolli, mis on hinnatud arusaadavate selgituste ja parandustega.

Kontrollige oma domeeni → · Interneti hindekõver → · Ainult koondandmed. Andmed salvestatakse ja töödeldakse ELis.