De beveiligingsverdeling van het internet: hoe scoort een gemiddeld domein in 2026?

Q: Welk percentage websites slaagt niet voor de basisbeveiliging?

Per 2026-06-28 scoort 86,2% van de beoordeelde domeinen een F — praktisch onbeschermd en spoofbaar — en nog eens 10,0% scoort een D.

Q: Hoeveel domeinen hebben een A-cijfer?

Slechts 6.740 domeinen verdienen een A+ en 49.762 verdienen een A — samen ongeveer 0,02% van alle beoordeelde domeinen, ofwel ruwweg 1 op de 4.600.

Gepubliceerd 2026-06-28

Cijfers per 2026-06-28 · methodiek v7. Dit is een terugkerend rapport: elke editie hermeert dezelfde populatie, zodat de verdeling in de tijd gevolgd kan worden. Alle cijfers zijn geaggregeerd — we publiceren nooit het cijfer van een individueel bedrijf. Zie hoe wij beoordelen voor de volledige methode.

Het gemiddelde domein op het internet is niet beveiligd. Van de 260 miljoen domeinen die we hebben beoordeeld, is het veruit meest voorkomende cijfer F, en het typische domein scoort een D of lager. Minder dan 1 op de 27 domeinen haalt een C of beter. Dit is de beoordelingscurve van het internet — en die buigt vrijwel volledig richting ‘blootgesteld’.

Wat is het gemiddelde beveiligingscijfer van een domein?

Als u elk beoordeeld domein op aarde op een rij zou zetten en naar het midden zou lopen, zou u uitkomen bij een domein met cijfer F — de laagst mogelijke beoordeling. Een F is geen afrondingsfout of straf voor inactiviteit: een domein scoort F wanneer het daadwerkelijk tekortschiet in de basismaatregelen die voorkomen dat zijn e-mail wordt vervalst en zijn bezoekers worden misleid. De meeste domeinen op het internet hebben die beschermingen simpelweg uitgeschakeld.

Hieronder de volledige verdeling.

Cijferverdeling van het internet (260M domeinen)

Cijfer	Domeinen	Aandeel	Wat het betekent
A+	6.740	0,0%	Praktisch kogelvrij — slaagt voor vrijwel elke controle
A	49.762	0,0%	Sterk: e-mail vergrendeld, moderne TLS, belangrijkste DNS-bescherming actief
B	1.145.942	0,4%	Goed, met kleine lacunes
C	8.582.117	3,3%	Gemengd — enige echte bescherming, maar ook echte gaten
D	26.088.093	10,0%	Zwak — de meeste bescherming ontbreekt
F	224.536.050	86,2%	Praktisch onbeschermd — kan worden nagebootst

Leest u die tabel van boven naar beneden, dan is het patroon onmiskenbaar: de curve is geen klok met een piek bij ‘B’. Het is een klif. 86,2% van het internet scoort een F, nog eens 10,0% scoort een D, en alles boven een C is daarmee in vergelijking verwaarloosbaar klein.

Hoe zeldzaam is een goed cijfer?

Zeer zeldzaam. Over de hele census:

Slechts 0,46% van de domeinen verdient een B of beter — ruwweg 1 op de 220.
Slechts 0,02% verdient een A of A+ — ruwweg 1 op de 4.600.
Een C of beter — de drempel voor ‘heeft überhaupt zinvolle bescherming’ — wordt gehaald door minder dan 1 op de 27 domeinen.

Met andere woorden: een domein dat echt goed geconfigureerd is, is niet de norm waaraan u tekortschiet. Het is een zeldzame uitzondering. Het goede nieuws dat in die statistiek verscholen zit: de lat halen plaatst u voor de overweldigende meerderheid van het internet, en de meeste stappen zijn gratis.

Waarom buigt de curve zo sterk richting F?

Drie redenen, en geen van alle is ‘het internet zit vol hackers’:

De standaardinstellingen staan uit. Wanneer u een domein registreert, worden e-mailauthenticatie (SPF, DKIM, DMARC), DNSSEC, CAA en beveiligingsheaders niet automatisch voor u ingeschakeld. Iemand moet ze aanzetten — en vrijwel niemand doet dat.
Niemand waarschuwt de eigenaar. Een kleine ondernemer die een domein koopt, krijgt nooit te horen dat criminelen standaard e-mail kunnen sturen die van zijn exacte adres lijkt te komen. Er is geen foutmelding voor ‘uw domein kan worden nagebootst’.
De bescherming is onzichtbaar totdat het misgaat. Een ontbrekend SPF-record veroorzaakt geen zichtbaar probleem — totdat een fraudeur uw domein gebruikt om valse facturen naar uw klanten te sturen, of uw echte e-mail in de spammap belandt.

Het resultaat is een beoordelingscurve die verwaarlozing weerspiegelt, geen kwaadwilligheid.

Wat een F in de praktijk betekent voor een bedrijf

Een onvoldoende is geen abstracte score. In gewone taal betekent een F doorgaans dat één of meer van de volgende dingen waar is voor dat domein:

De e-mail kan worden vervalst. Zonder afgedwongen SPF en DMARC kan iedereen e-mail sturen die er precies uitziet alsof die van dat domein afkomstig is — naar klanten, medewerkers en leveranciers — en die belandt gewoon in de inbox. Dit is het mechanisme achter valse-factuur- en CEO-fraudeoplichting.
Echte e-mail belandt vaker in de spammap. Gmail en Yahoo vertrouwen niet-geverifieerde domeinen steeds minder, waardoor echte offertes en facturen stilletjes als spam worden gemarkeerd.
Het domein zakt voor beveiligingscontroles van andere bedrijven. Grotere klanten controleren het domein van een leverancier voordat ze een contract tekenen. ‘Kan worden nagebootst’ is voldoende om de opdracht te verliezen.
De website schrikt bezoekers af. Een ontbrekend of defect certificaat toont shoppers een rood ‘Niet veilig’-scherm.

Hoe verandert de beoordelingscurve in de loop van de tijd?

Omdat de scanvloot de populatie continu hermeet, is deze verdeling live, geen eenmalige momentopname. We publiceren dit als een terugkerend rapport zodat de curve editie na editie gevolgd kan worden — als het internet veiliger wordt, zal deze pagina dat laten zien. Vergelijk de lopende ranglijsten hier:

Veelgestelde vragen

Wat is het gemiddelde beveiligingscijfer van een domein in 2026? Het meest voorkomende cijfer onder de 260 miljoen domeinen die we hebben gemeten is F, en het typische (mediaan) domein scoort een D of lager. Slechts 0,46% van de domeinen verdient een B of beter.

Welk percentage websites slaagt niet voor de basisbeveiliging? Per 2026-06-28 scoort 86,2% van de beoordeelde domeinen een F — praktisch onbeschermd en spoofbaar — en nog eens 10,0% scoort een D.

Hoeveel domeinen hebben een A-cijfer? Slechts 6.740 domeinen verdienen een A+ en 49.762 verdienen een A — samen ongeveer 0,02% van alle beoordeelde domeinen, ofwel ruwweg 1 op de 4.600.

Is een laag cijfer alleen het gevolg van een geparkeerd of inactief domein? Nee. Een domein scoort slecht omdat het daadwerkelijk tekortschiet in echte, extern waarneembare controles — bijvoorbeeld doordat het kan worden nagebootst vanwege het ontbreken van afgedwongen SPF en DMARC. Controles die werkelijk niet kunnen worden vastgesteld, worden als N/A gemarkeerd en uitgesloten; ze tellen nooit als een tekortkoming.

Bekijk waar uw eigen domein in de curve staat

Dit zijn populatiegemiddelden. Uw domein kan een van de 0,46% zijn die een B of beter verdienen — of een van de 86,2% die dat niet doen. U kunt het privé en gratis controleren, en precies zien welke van de 34 controles u doorstaat en hoe u de knelpunten oplost.

Controleer uw domein → · Hoe wij beoordelen → · Uitsluitend geaggregeerde data; het individuele cijfer van een domein is alleen zichtbaar voor de geverifieerde eigenaar. Data opgeslagen en verwerkt in de EU.