Klaidingų konfigūracijų šlovės muziejus: keisčiausi saityno saugumo rekordai (2026)

Q: Ar DMARC politika kita kalba ką nors daro?

Ne. DMARC atpažįsta tik tikslius raktažodžius none, quarantine ir reject. Įrašas su politikos žodžiu, parašytu su klaida arba kita kalba, yra negaliojantis ir ignoruojamas — domenas lieka pažeidžiamas klastojimui.

Paskelbta 2026-06-29

Skaičiai 2026-06-29 dienai · metodologija v7. Apibendrinti surašymo duomenys per 261 milijonus įvertintų domenų. Kiekvienas skaičius žemiau yra realus, pasikartojantis modelis — ne vienkartinis atvejis. Žiūrėkite kaip mes vertiname.

Dauguma saugumo nesėkmių yra nuobodžios: nustatymas paliktas išjungtas. Kelios yra tikrai juokingos — skaitmeninis atitikmuo pastato perdavimui su iškaba „ĮVESKITE NUOMININKO VARDĄ” vis dar lange. Įvertinome 261 milijonus domenų; štai rekordai, dėl kurių pažvelgėme du kartus.

1. Sertifikatas, kurio niekas nepervadino

Kai sugeneruojate TLS sertifikatą su numatytaisiais OpenSSL klausimais ir tiesiog paspaudžiate enter, organizacijos pavadinimas tampa vietos rezervu. Šie vietos rezervai turėtų būti pakeisti prieš paleidžiant. Jie nebuvo:

„Išdavė” pavadinimas aktyviame sertifikate	Svetainės
Internet Widgits Pty Ltd	244,468
MyCompany Inc.	226,830
TRAEFIK DEFAULT CERT	108,348
localhost	106,086

„Internet Widgits Pty Ltd” yra pažodinė numatytoji reikšmė OpenSSL pavyzdinėje konfigūracijoje — ir 244,468 viešų svetainių teikia ja antspauduotą sertifikatą. Per visus akivaizdžius vietos rezervo ir numatytuosius pavadinimus 685,732 svetainių niekada nepakeitė iškabos. Kiekviena iš jų taip pat yra pačios pasirašyta, todėl lankytojai gauna naršyklės įspėjimą — jos teikia ir vietos rezervą, ir klaidą.

2. DMARC, pasimetęs vertime

DMARC politika veikia tik tada, kai joje tiksliai parašyta p=none, p=quarantine arba p=reject. 48,648 domenų paskelbė ką kita — politikos žodį su rašybos klaida arba parašytą visai kita kalba (realūs duomenys apima ispaniškas, prancūziškas ir portugališkas žodžio „none” versijas). Ketinimas buvo teisingas; tiksli rašyba — ne, o DMARC priima tik anglišką raktažodį, todėl visi jie suteikia nulinę apsaugą. (Pilnas, naujausias sąrašas su skaičiais: dažniausios DMARC rašybos klaidos internete.)

3. SPF sveikinimo kilimėlis

Visa SPF užduotis — pasakyti, kurie serveriai gali siųsti laiškus jūsų vardu. 36,014 domenų savo įrašą baigia su +all — o tai reiškia visiškai priešingai: „bet kuriam serveriui internete leidžiama siųsti mano vardu.” Tai saugumo atitikmuo rakto priklijavimui prie durų. Dar 7,958 tyliai sugadina savo SPF viršydami 10 DNS užklausų limitą ir visiškai jį panaikina. (Daugiau: SPF netinkamos konfigūracijos ataskaita.)

4. Garbingas paminėjimas: pačių pasirašyti milijonai

Be juokingų pavadinimų, 3,378,080 svetainių teikia pačių pasirašytą sertifikatą — tokį, kurį jos išdavė pačios sau ir kurį naršyklės atmeta. Paprastai tai maršrutizatorius, bandymų įrenginys arba vidinis įrankis, kuris netyčia buvo nukreiptas į viešą internetą ir niekada negavo tikro sertifikato.

Kas bendra tarp juokingų atvejų

Kiekvienas įrašas čia turi tą pačią pagrindinę priežastį kaip ir nuobodžios nesėkmės: paliktą nepaliestą numatytąją reikšmę, praleistą žingsnį, nebaigtą kopijavimą-įklijavimą. Žiniatinklis nesugenda dramatiškai — jis sugenda dėl inercijos, po vieną nepervadintą vietos rezervą. Teigiama pusė: kiekvienas iš jų yra penkių minučių pataisymas.

Dažnai užduodami klausimai

Kodėl tiek daug sertifikatų rašoma „Internet Widgits Pty Ltd”? Tai numatytasis organizacijos pavadinimas OpenSSL pavyzdinėje konfigūracijoje. Kai kas nors sugeneruoja sertifikatą ir priima numatytąsias reikšmes, tas vietos rezervas atsiduria aktyviame sertifikate. 244,468 viešų svetainių jo niekada nepakeitė.

Ar DMARC politika kita kalba ką nors daro? Ne. DMARC atpažįsta tik tikslius raktažodžius none, quarantine ir reject. Įrašas su politikos žodžiu, parašytu su klaida arba kita kalba, yra negaliojantis ir ignoruojamas — domenas lieka pažeidžiamas klastojimui.

Ką daro SPF +all? Jis suteikia teisę kiekvienam serveriui internete siųsti el. laiškus jūsų domeno vardu — blogiau nei iš viso neturėti SPF. 36,014 domenų jį turi, beveik visada per klaidą.

Ar tai reti kraštutiniai atvejai? Ne — kiekvienas yra šimtai tūkstančių ar milijonai domenų, nuosekliai randami 261 milijonų domenų surašyme. Tai dažnos numatytosios reikšmės, o ne keisti atsitiktinumai.

Patikrinkite, kad jūsų domeno nebūtų kitame leidime

Dauguma šių yra vienos eilutės pataisymai. Patikrinkite savo domeną privačiai ir nemokamai — pamatykite savo sertifikatą, DMARC ir SPF lygiai taip, kaip juos mato internetas.

Patikrinkite savo domeną → · DMARC rašybos klaidos → · SPF netinkamos konfigūracijos ataskaita → · Sertifikato klaidų ataskaita → · Tik apibendrinti duomenys. Duomenys saugomi ir tvarkomi ES.