สถานะความปลอดภัยของโดเมนปี 2026

เผยแพร่ 2026-06-27 · อัปเดต 2026-06-29

ตัวเลข ณ วันที่ 2026-06-28 · วิธีการ v7 นี่เป็นรายงานที่เกิดซ้ำ แต่ละฉบับวัดประชากรเดิมซ้ำเพื่อให้สามารถติดตามตัวเลขเมื่อเวลาผ่านไป ตัวเลขทั้งหมดรวม — เราไม่เคยเผยแพร่เกรดของธุรกิจรายบุคคล .com ถูกให้เกรดอย่างสมบูรณ์ (129M โดเมน) และรวมอยู่ในยอดรวมด้านล่าง

พาดหัว: อินเทอร์เน็ตส่วนใหญ่ล้มเหลวในการรักษาความปลอดภัยโดเมนพื้นฐาน

เราวัด 260,408,704 โดเมนที่มีชีวิต ในการตรวจสอบความปลอดภัย 34 รายการ — การยืนยันตัวตนอีเมล (SPF, DKIM, DMARC), TLS และใบรับรอง, web-security headers และ DNS (รวมถึง DNSSEC) ผลลัพธ์ชัดเจน:

86.2% ได้เกรด F — เกรดต่ำสุด
น้อยกว่า 0.02% ได้รับ A หรือ A+ — ประมาณ 1 ใน 4,600 โดเมน
เพียงประมาณ 1 ใน 27 ถึงระดับ C หรือดีกว่า

นี่ไม่ใช่เรื่องราวของเว็บไซต์ที่ถูกละเลยไม่กี่แห่ง แต่เป็นสถานะเริ่มต้นของอินเทอร์เน็ต: การป้องกันที่หยุดอีเมลของคุณถูกปลอมแปลงและผู้เยี่ยมชมถูกหลอกลวงนั้นเพียงแค่ ไม่ได้เปิดใช้งาน สำหรับโดเมนส่วนใหญ่อย่างท่วมท้น

การกระจายเกรด (260M โดเมน)

เกรด	โดเมน	สัดส่วน
A+	6,740	0.0%
A	49,762	0.0%
B	1,145,942	0.4%
C	8,582,117	3.3%
D	26,088,093	10.0%
F	224,536,050	86.2%

มันแตกต่างกันมากตามประเทศและ TLD

ความปลอดภัยของโดเมนแตกต่างกันอย่างมากตามประเทศและนามสกุลโดเมน สำนักทะเบียนประจำชาติที่มั่นคง — โดยเฉพาะในยุโรป — มักป้องกันธุรกิจของตนได้ดีที่สุด ขณะที่นามสกุล generic ราคาถูกที่มีปริมาณมากซึ่งนิยมสำหรับการลงทะเบียนจำนวนมากทำได้แย่ที่สุด แต่ “ดีที่สุด” เป็นเรื่องสัมพัทธ์: แม้แต่นามสกุลที่แข็งแกร่งที่สุดก็ยังทิ้งโดเมนส่วนใหญ่ที่ F

การจัดอันดับเหล่านี้เปลี่ยนแปลงเมื่อสำมะโนเติบโต ดังนั้นเราจึงเก็บมันสดแทนที่จะแช่แข็งที่นี่:

สิ่งที่เปิดอยู่จริงๆ สัญญาณต่อสัญญาณ

เกรดคือการรวม ภายใต้นั้น นี่คือความถี่ที่การป้องกันแต่ละรายการถูกกำหนดค่าอย่างถูกต้องในประชากร — baseline ทั่วสำมะโนประเภทแรก ตัวเลขต่อการตรวจสอบ ณ วันที่ 2026-06-29 จากโดเมน 261 ล้านรายการที่ถูกให้เกรด

การป้องกัน	สิ่งที่หยุด	โดเมนที่มี
SPF (อีเมล)	เซิร์ฟเวอร์ที่ไม่ได้รับอนุญาตส่งในนามคุณ	53.21%
DKIM (อีเมล)	เมลที่ถูกแก้ไข/ไม่ได้ลงนาม	51.84%
DMARC — บันทึกใดๆ	—	24.89%
DMARC — บังคับใช้จริงๆ	การแอบอ้างอีเมล (สิ่งที่สำคัญ)	10.59%
HTTPS	การท่องเว็บที่ไม่เข้ารหัส “ไม่ปลอดภัย”	78.02%
HSTS (ของเว็บไซต์ HTTPS)	การดาวน์เกรดเป็น HTTP	22.91%
Content-Security-Policy	Cross-site scripting / injection	8.87%
การป้องกันการคลิกแบบหลอกลวง	หน้าของคุณถูก frame	14.48%
Security headers ทั้งหมด (“ปลอดภัยโดยค่าเริ่มต้น”)	ชุด web-header เต็มรูปแบบ	4.03%
DNSSEC — ถูกต้อง	การแฮก DNS	1.99%
CAA	การออกใบรับรองที่ไม่ได้รับอนุญาต	1.56%

ห้าสิ่งที่ควรอ้างถึง:

มีเพียง 10.59% ของโดเมนที่บังคับใช้ DMARC — ดังนั้นประมาณ 89.41% สามารถถูกแอบอ้าง ในอีเมล แม้ว่า 53.21% จะเผยแพร่ SPF และคิดว่าพวกเขาได้รับการป้องกัน
78.02% ให้บริการ HTTPS แต่มีเพียง 4.03% ที่ตั้ง security header ทุกรายการ — การเข้ารหัสเป็นกระแสหลัก ทุกอย่างที่สูงกว่านั้นไม่ใช่
8.21% ของเว็บไซต์ HTTPS มีใบรับรองที่ไม่ถูกต้อง — หมดอายุ ลงนามเอง หรือสำหรับชื่อผิด — ดังนั้นผู้เยี่ยมชมได้รับคำเตือนอยู่ดี
โดเมนที่มี DNSSEC ที่เสียหาย (3.02%) มากกว่า DNSSEC ที่ทำงาน (1.99%) — การควบคุมที่ตั้งใจป้องกัน DNS บ่อยกว่าที่ทำให้โดเมนออฟไลน์มากกว่าที่ปลอดภัย
เพียง 1.56% ตั้งบันทึก CAA — DNS คือเลเยอร์ความปลอดภัยที่ถูกละเลยมากที่สุดของอินเทอร์เน็ต

สิ่งที่สิ่งนี้หมายความสำหรับธุรกิจของคุณ

เกรดที่ล้มเหลวไม่ใช่คะแนนนามธรรม ในแง่ที่ชัดเจนมักหมายความว่าสิ่งเหล่านี้หนึ่งอย่างหรือมากกว่านั้นเป็นความจริงของโดเมนของคุณ:

อีเมลของคุณสามารถถูกปลอมแปลงได้ โดยไม่มี SPF และ DMARC ที่บังคับใช้ อาชญากรสามารถส่งอีเมลที่ดูเหมือนมาจากคุณโดยตรง — ไปยังลูกค้า พนักงาน และซัพพลายเออร์ของคุณ — และตกลงสู่กล่องจดหมาย นั่นคือวิธีที่การหลอกลวงใบแจ้งหนี้ปลอมและ CEO fraud ทำงาน
อีเมลจริงของคุณมีแนวโน้มที่จะถูกทิ้งลงในสแปมมากขึ้น Google และ Yahoo ไม่ไว้วางใจโดเมนที่ไม่ได้รับการยืนยันตัวตนมากขึ้นเรื่อยๆ ดังนั้นใบเสนอราคาและใบแจ้งหนี้จริงของคุณจะตกลงในสแปมอย่างเงียบๆ
คุณจะล้มเหลวในการตรวจสอบความปลอดภัยของคนอื่น ลูกค้ารายใหญ่ทำการสแกนอย่างรวดเร็วก่อนที่พวกเขาจะลงนาม “โดเมนไม่ได้รับการป้องกัน — สามารถถูกปลอมแปลง” นั้นเพียงพอที่จะเสียดีล
เว็บไซต์ของคุณสามารถเตือนผู้เยี่ยมชมออกไปได้ ใบรับรองที่หายไปหรือเสียหายแสดงหน้า “ไม่ปลอดภัย” สีแดงแก่ผู้ซื้อ

ส่วนที่น่ากระตุ้น: การแก้ไขส่วนใหญ่เหล่านี้ ฟรีและรวดเร็ว — โดยปกติเพียงไม่กี่บรรทัดในการตั้งค่าโดเมนของคุณ อุปสรรคแทบจะไม่ใช่ค่าใช้จ่าย มันคือที่ไม่มีใครบอกเจ้าของว่ามันสำคัญ

วิธีที่เราวัด

34 การตรวจสอบ สังเกตได้จากภายนอก — ไม่ต้องการการเข้าถึงระบบของใคร (วิธีการเต็มรูปแบบ)
ผ่าน / ล้มเหลว / N/A ที่ไหนก็ตามที่การตรวจสอบไม่สามารถระบุได้จริงๆ มันถูกทำเครื่องหมาย N/A และยกเว้น — มันไม่นับเป็นความล้มเหลวเลย
ความล้มเหลวจริงคือความล้มเหลวจริง โดเมนที่ไม่มี SPF/DMARC ได้คะแนนต่ำเพราะมันสามารถถูกปลอมแปลงได้จริงๆ — ไม่ใช่เพราะวิธีที่เรานับ
รวมเท่านั้น เหล่านี้คือรูปแบบประชากร เกรดของโดเมนรายบุคคลแสดงเฉพาะเจ้าของที่ยืนยันตัวตนแล้ว
ข้อมูลถูกจัดเก็บและประมวลผลภายในสหภาพยุโรป

ฉบับนี้เพิ่ม baseline สัญญาณต่อสัญญาณด้านบน — สัดส่วนของโดเมนที่มีการป้องกันแต่ละรายการกำหนดค่าอย่างถูกต้อง วัดจากประชากรที่ถูกให้เกรดเต็มรูปแบบ

ดูว่าโดเมนของคุณเองยืนอยู่ที่ไหน

เหล่านี้คือค่าเฉลี่ย โดเมนของคุณอาจเป็นหนึ่งใน 0.02% ที่ได้รับ A — หรือหนึ่งใน 86.2% ที่ไม่ได้ คุณสามารถตรวจสอบมันแบบส่วนตัวและฟรี และดูว่าคุณผ่านการตรวจสอบ 34 รายการใดและวิธีแก้ไขที่คุณไม่ผ่าน

ตรวจสอบโดเมนของคุณ →