מצב אבטחת הדומיינים 2026
פורסם · עודכן
נתונים נכון ל-2026-07-29 · מתודולוגיה v8. זהו דוח חוזר; כל מהדורה מודדת מחדש את אותה אוכלוסייה כך שאפשר לעקוב אחר המספרים לאורך זמן. כל המספרים הם מצרפיים — אנו לעולם לא מפרסמים את הציון של עסק בודד.
.comמדורג במלואו (148M דומיינים) וכלול בסכומים שלהלן.
הכותרת: רוב האינטרנט נכשל באבטחת דומיינים בסיסית
מדדנו 296,674,837 דומיינים פעילים באמצעות 34 בדיקות אבטחה — אימות דוא”ל (SPF, DKIM, DMARC), TLS ואישורים, כותרות אבטחת אינטרנט, ו-DNS (כולל DNSSEC). התוצאה חמורה:
- 73.8% מקבלים ציון F — הציון הנמוך ביותר.
- פחות מ-0.17% זוכים ל-A או A+ — בערך 1 מתוך 600 דומיינים.
- רק כ-1 מתוך 11 מגיעים ל-C או טוב יותר.
זה אינו סיפור על כמה אתרים מוזנחים. זהו מצב ברירת המחדל של האינטרנט: ההגנות שמונעות זיוף של הדוא”ל שלך והטעיית המבקרים שלך פשוט אינן מופעלות עבור הרוב המכריע של הדומיינים.
התפלגות ציונים (297M דומיינים)
| ציון | דומיינים | נתח |
|---|---|---|
| A+ | 65,257 | 0.0% |
| A | 432,668 | 0.1% |
| B | 5,525,038 | 1.9% |
| C | 22,174,789 | 7.5% |
| D | 49,493,128 | 16.7% |
| F | 218,983,957 | 73.8% |
זה משתנה מאוד לפי מדינה ו-TLD
אבטחת דומיינים משתנה מאוד לפי מדינה ולפי סיומת הדומיין. רשמי דומיינים לאומיים מבוססים — במיוחד באירופה — נוטים להגן על העסקים שלהם בצורה הטובה ביותר, בעוד שסיומות גנריות זולות ובנפח גבוה הפופולריות לרישום המוני מתפקדות הכי גרוע. אבל “הכי טוב” הוא יחסי: אפילו הסיומות החזקות ביותר עדיין משאירות את רוב הדומיינים שלהן בציון F.
הדירוגים האלה משתנים ככל שהמפקד גדל, ולכן אנו שומרים אותם חיים במקום להקפיא אותם כאן:
מה באמת מופעל, אות אחר אות
הציון הוא סיכום. מתחתיו, הנה כמה פעמים כל הגנה בודדת מיושמת כראוי ברחבי האוכלוסייה — קו הבסיס הראשון מסוגו ברמת המפקד כולו. נתונים לכל בדיקה נכון ל-2026-08-16, על פני 276 מיליון דומיינים מדורגים.
| הגנה | מה היא עוצרת | דומיינים שיש להם אותה |
|---|---|---|
| SPF (דוא”ל) | שרתים לא מורשים השולחים בשמך | 51.24% |
| DKIM (דוא”ל) | דואר שעבר שיבוש / לא חתום | -117.33% |
| DMARC — רשומה כלשהי | — | 25.80% |
| DMARC — שאכן אוכף | התחזות בדוא”ל (זו שחשובה) | 11.83% |
| HTTPS | גלישה לא מוצפנת, “לא מאובטח” | 79.48% |
| HSTS (מתוך אתרי HTTPS) | שנמוך ל-HTTP | 22.33% |
| Content-Security-Policy | סקריפטינג בין-אתרי / הזרקה | 6.93% |
| הגנה מפני clickjacking | מסגור הדפים שלך | 8.81% |
| כל כותרות האבטחה (“מאובטח כברירת מחדל”) | מערך כותרות האינטרנט המלא | 3.58% |
| DNSSEC — תקף | חטיפת DNS | 6.28% |
| CAA | הנפקת אישורים לא מורשית | 1.55% |
חמישה ממצאים שראויים לציטוט:
- רק 11.83% מהדומיינים אוכפים DMARC — כך שבערך 88.17% ניתנים להתחזות בדוא”ל, אף ש-51.24% פרסמו SPF וחושבים שהם מכוסים.
- 79.48% מגישים HTTPS, אבל רק 3.58% מגדירים כל כותרת אבטחה — הצפנה היא מיינסטרים; כל מה שמעליה אינו.
- ל-8.44% מאתרי HTTPS יש אישור לא תקף — פג תוקף, חתום עצמית או לשם שגוי — כך שהמבקרים מקבלים אזהרה בכל מקרה.
- ליותר דומיינים יש DNSSEC שבור (0.09%) מאשר DNSSEC תקין (6.28%) — הבקרה שאמורה להגן על DNS מורידה דומיינים מהאוויר לעיתים קרובות יותר מאשר מאבטחת אותם.
- רק 1.55% מגדירים רשומת CAA — DNS הוא שכבת האבטחה המוזנחת ביותר של האינטרנט.
מה זה אומר עבור העסק שלך
ציון נכשל אינו ציון מופשט. במילים פשוטות זה בדרך כלל אומר שאחד או יותר מאלה נכון לגבי הדומיין שלך:
- ניתן לזייף את הדוא”ל שלך. ללא SPF ו-DMARC נאכפים, פושע יכול לשלוח דוא”ל שנראה בדיוק כאילו הגיע ממך — ללקוחות, לעובדים ולספקים שלך — והוא נוחת בתיבת הדואר הנכנס. כך פועלות הונאות חשבונית מזויפת והונאות מנכ”ל.
- סביר יותר שהדוא”ל האמיתי שלך ייזרק. Google ו-Yahoo חושדים יותר ויותר בדומיינים לא מאומתים, כך שההצעות והחשבוניות האמיתיות שלך נוחתות בשקט בדואר זבל.
- תיכשל בבדיקות האבטחה של אחרים. לקוחות גדולים יותר מריצים סריקה מהירה לפני שהם חותמים. “הדומיין אינו מוגן — ניתן לזיוף” מספיק כדי לאבד את העסקה.
- האתר שלך עלול להבריח מבקרים. אישור חסר או שבור מציג לקונים דף אדום “לא מאובטח”.
החלק המעודד: רוב אלה הם חינמיים ומהירים לתיקון — בדרך כלל כמה שורות בהגדרות הדומיין שלך. המכשול כמעט אף פעם אינו עלות; זה שאיש לא אמר לבעלים שזה חשוב.
כיצד מדדנו זאת
- 34 בדיקות, ניתנות לצפייה מבחוץ — אין צורך בגישה למערכות של אף אחד. (מתודולוגיה מלאה.)
- עבר / נכשל / N/A. היכן שבדיקה באמת אינה ניתנת לקביעה, היא מסומנת N/A ומוחרגת — היא לעולם אינה נחשבת ככישלון.
- כישלון אמיתי הוא כישלון אמיתי. דומיין ללא SPF/DMARC מקבל ציון נמוך כי באמת ניתן לזייף אותו — לא בגלל איך שספרנו.
- מצרפי בלבד. אלה דפוסים של אוכלוסייה; הציון של דומיין בודד מוצג רק לבעלים המאומת שלו.
- הנתונים מאוחסנים ומעובדים בתוך האיחוד האירופי.
מהדורה זו מוסיפה את קו הבסיס אות אחר אות לעיל — נתח הדומיינים שכל הגנה בודדת מיושמת אצלם כראוי, נמדד על פני כלל האוכלוסייה המדורגת.
ראה היכן עומד הדומיין שלך
אלה ממוצעים. הדומיין שלך עשוי להיות אחד מ-0.17% שזוכים ל-A — או אחד מ-73.8% שלא. אתה יכול לבדוק אותו בפרטיות ובחינם, ולראות בדיוק אילו מ-34 הבדיקות אתה עובר וכיצד לתקן את אלה שאינך עובר.