Näin arvostelimme koko internetin: A–F-verkkotunnusturvallisuuden menetelmä (2026)

Julkaistu 2026-06-28

Viitesivu · menetelmä v7 · tiedot ajankohdasta 2026-06-28. Tämä sivu selittää, miten jokainen tämän sivuston luku tuotetaan. Kaikki julkaistut tilastot ovat koottuja; yksittäisen verkkotunnuksen arvosana näytetään vain sen vahvistetulle omistajalle.

Defaults.Exposed arvostelee verkkotunnukset asteikolla A+ – F 34 ulkoisesti havaittavan turvallisuustarkistuksen perusteella, jotka pisteytetään kokonaan julkisesta internetistä — koskematta koskaan kenenkään järjestelmiin. Tämä sivu on täydellinen, selkokielinen selvitys siitä, miten se toimii: mitä mittaamme, miten arvosana lasketaan, mitä tiedot voivat ja eivät voi kertoa, sekä eettiset säännöt, joita noudatamme. Se on tarkoituksellisesti läpinäkyvä, koska turvallisuusarvosana on yhtä luotettava kuin sen takana oleva menetelmä.

Mitä mittaamme

Jokainen verkkotunnus arvioidaan 34 tarkistuksen perusteella, jotka on ryhmitelty viiteen luokkaan. Jokainen tarkistus on jotain, mitä kuka tahansa voisi havaita ulkopuolelta — yksityisiä järjestelmiä ei skannata, ei kirjautumista, ei tunkeutumista.

Sähköpostin todennus — voidaanko tätä verkkotunnusta väärentää sähköpostissa? Sisältää SPF:n, DKIM:n, DMARC:n (ja sen, onko DMARC todella pakottavassa tilassa) sekä postin (MX) asetukset.
TLS ja varmenteet — onko sivusto salattu oikein? Sisältää varmenteen voimassaolon ja isäntänimen vastaavuuden, nykyaikaiset TLS-versiot ja HSTS:n.
Verkon turvaotsakkeet — puolustaako sivusto selainta? Sisältää Content-Security-Policyn, klikkikaappauksen eston (X-Frame-Options), MIME-sniffauksen eston, Referrer-Policyn ja cross-origin-otsakkeet.
DNS — onko nimeämiskerros kovennettu? Sisältää DNSSEC:n, CAA:n ja nimipalvelimen asetukset.
Infrastruktuuri — tukevia signaaleja, kuten käänteinen DNS ja IPv6-tuki.

34 tarkistuksesta osa on pisteytettyjä (ne vaikuttavat arvosanaan) ja loput informatiivisia (raportoidaan asiayhteyden vuoksi, mutta niistä ei rangaista).

Miten tarkistus pisteytetään: läpäisty, hylätty vai ei sovellu

Jokainen tarkistus päätyy yhteen kolmesta tuloksesta:

Läpäisty — suojaus on olemassa ja oikea.
Hylätty — suojaus puuttuu tai on rikki. Todellinen epäonnistuminen on todellinen epäonnistuminen: verkkotunnus, jolla ei ole pakotettua SPF:ää ja DMARC:ia, saa huonot pisteet, koska sitä voidaan aidosti väärentää, ei sen vuoksi, miten laskimme.
Ei sovellu — tarkistusta ei aidosti voida määrittää tälle verkkotunnukselle. Ei sovellu -tulokset suljetaan pois arvosanasta; ne eivät koskaan vaikuta verkkotunnukseen kielteisesti.

Tämä viimeinen seikka on tärkeä: emme rankaise verkkotunnusta jostakin, mitä emme voineet reilusti arvioida.

Miten kirjainarvosana lasketaan

Arvosanat ovat A+, A, B, C, D, F. Arvosana kuvastaa, kuinka täydellisesti verkkotunnus sulkee merkittävät aukot — painotettuna kohti tarkistuksia, joilla on suurin todellinen vaikutus (sähköpostin väärentäminen ja siirtoturvallisuus painavat enemmän kuin kosmeettiset otsakkeet). Verkkotunnus, joka hoitaa suurivaikutteiset perusasiat oikein ja jättää vain pieniä aukkoja, päätyy korkealle; verkkotunnus, joka epäonnistuu perusasioissa, jotka mahdollistavat sen väärentämisen, päätyy F:ään.

Koska samaa menetelmää sovelletaan identtisesti jokaiseen verkkotunnukseen, arvosanat ovat vertailukelpoisia koko populaatiossa — mikä tekee sarjataulukoista (TLD:n, maan ja toimialan mukaan) merkityksellisiä.

Kuinka suuri tietojoukko on?

Seuraamme 333 miljoonan verkkotunnuksen varastoa ja arvostelemme elävän populaation, joka käsittää noin 260 miljoonaa parhaillaan selvittyvää (resolve) verkkotunnusta. Julkaistut tilastot lasketaan tästä populaatiosta käännösaikana ja kantavat tietojoukon ajankohtapäivämäärää, joten tiedät aina, kuinka tuore luku on.

Kuinka tuoreita tiedot ovat?

Skannauslaivasto toimii jatkuvasti. Koko populaatio päivitetään säännöllisin väliajoin, ja jotkin TLD:t mitataan uudelleen useammin, joten tämän sivuston luvut ovat elävä mittaus eikä kertaluonteinen tilannekuva. Jokainen raportti näyttää ajankohtapäivämääränsä, ja lippulaivatutkimukset julkaistaan toistuvina laitoksina, jotta trendejä voidaan seurata ajan myötä.

Mitä tiedot voivat — ja eivät voi — kertoa

Uskomme, että rajoitukset ovat yhtä tärkeitä kuin löydökset:

Maantiede ja toimiala johdetaan verkkotunnuksen päätteestä, ei yrityksen rekisteröinnistä. Maan luvut perustuvat sen kansalliseen verkkotunnuspäätteeseen (ccTLD); toimialan luvut perustuvat toimialakohtaisiin päätteisiin. Yritystä, joka käyttää yleistä päätettä kuten .com, ei voida tässä mittakaavassa kohdistaa maahan tai toimialaan. Nämä segmentit ovat “riittävän tarkkoja” populaatioiden vertailuun, tämä varauma todettuna.
Mittaamme verkkotunnuksia, emme organisaatioita. Yksi yritys voi omistaa monia verkkotunnuksia; arvostelemme jokaisen verkkotunnuksen oman määrityksensä perusteella.
Vain ulkoinen näkymä. Arvioimme sitä, mikä on havaittavissa julkisesta internetistä. Emme näe, emmekä yritä nähdä, mitään kirjautumisen takana.

Sääntömme: vain koottua, omistajalle yksityistä, EU:ssa sijaitsevaa

Kolme sitoumusta ohjaa kaikkea, mitä julkaisemme:

Vain koottua. Julkaisemme populaatiomalleja — TLD-, maa- ja toimialakohtaisia sarjataulukoita. Emme koskaan julkaise indeksoitua sivua, joka nimeää yksittäisen yrityksen ja sen arvosanan.
Omistajalle yksityistä. Yksittäisen verkkotunnuksen arvosana ja tarkistuskohtainen erittely näytetään vain vahvistetulle omistajalle, joka tarkistaa sen.
EU-tietojen sijainti. Kaikki tiedot tallennetaan ja käsitellään EU:n sisällä — sekä vaatimustenmukaisuusasenne että tarkoituksellinen luottamussitoumus.

Usein kysytyt kysymykset

Miten Defaults.Exposed laskee verkkotunnuksen turvallisuuspisteet? Suorittamalla 34 ulkoisesti havaittavaa tarkistusta (sähköpostin todennus, TLS, verkko-otsakkeet, DNS ja infrastruktuuri), pisteyttämällä jokaisen läpäistyksi / hylätyksi / ei sovellu, ja painottamalla niitä kohti todellista vaikutusta tuottaakseen arvosanan A+ – F.

Skannaatteko tai hakkeroitteko verkkotunnuksia, joita arvostelette? Emme. Jokainen tarkistus on havaittavissa julkisesta internetistä — sama tieto, jonka vastaanottava postipalvelin tai kävijän selain näkisi. Ei kirjautumista, tunkeutumista tai pääsyä yksityisiin järjestelmiin.

Miksi verkkotunnus saattaa saada F:n? Yleisimmin siksi, ettei sillä ole pakotettua SPF:ää ja DMARC:ia ja sitä voidaan siksi väärentää sähköpostissa — aito, ulkoisesti todennettavissa oleva heikkous.

Voinko nähdä tietyn yrityksen verkkotunnuksen arvosanan? Vain jos se on oma verkkotunnuksesi ja vahvistat omistajuuden. Emme koskaan julkaise yksittäisten yritysten arvosanoja.

Kuinka usein tiedot päivitetään? Jatkuvasti. Koko populaatio päivitetään säännöllisin väliajoin, ja jokainen luku on päivätty “ajankohtapäivämäärällä”, joten tiedät, kuinka tuore se on.

Tarkista verkkotunnus itse

Nopein tapa ymmärtää menetelmä on suorittaa se. Tarkista oma verkkotunnuksesi yksityisesti ja ilmaiseksi, ja näe kaikki 34 tarkistusta pisteytettyinä selkokielisin selityksin ja korjauksin.

Tarkista verkkotunnuksesi → · Internetin arvosanakäyrä → · Vain koottua tietoa. Tiedot tallennetaan ja käsitellään EU:ssa.