Cách chúng tôi chấm điểm toàn bộ Internet: Phương pháp chấm bảo mật tên miền từ A đến F (2026)

Đã xuất bản 2026-06-28

Trang tham khảo · phương pháp luận v7 · dữ liệu tính đến 2026-06-28. Trang này giải thích cách mỗi con số trên trang web này được tạo ra. Tất cả số liệu thống kê được công bố đều ở dạng tổng hợp; điểm của một tên miền riêng lẻ chỉ được hiển thị cho chủ sở hữu đã xác minh của nó.

Defaults.Exposed chấm điểm các tên miền từ A+ đến F dựa trên 34 kiểm tra bảo mật có thể quan sát từ bên ngoài, được chấm điểm hoàn toàn từ internet công cộng — mà không bao giờ chạm vào hệ thống của bất kỳ ai. Trang này là bản trình bày đầy đủ, dễ hiểu về cách hoạt động của điều đó: chúng tôi đo lường những gì, điểm được tính như thế nào, dữ liệu có thể và không thể cho bạn biết điều gì, và các quy tắc đạo đức mà chúng tôi tự ràng buộc. Nó cố ý minh bạch, bởi vì một điểm bảo mật chỉ đáng tin cậy đến mức của phương pháp đứng sau nó.

Chúng tôi đo lường gì

Mỗi tên miền được đánh giá theo 34 kiểm tra được nhóm thành năm danh mục. Mỗi kiểm tra là điều mà bất kỳ ai cũng có thể quan sát từ bên ngoài — không có việc quét các hệ thống riêng tư, không đăng nhập, không xâm nhập.

Xác thực email — tên miền này có thể bị mạo danh trong email không? Bao gồm SPF, DKIM, DMARC (và liệu DMARC có thực sự ở chế độ thực thi hay không), và thiết lập thư (MX).
TLS và chứng chỉ — trang web có được mã hóa đúng cách không? Bao gồm tính hợp lệ của chứng chỉ và sự khớp tên máy chủ, các phiên bản TLS hiện đại, và HSTS.
Tiêu đề bảo mật web — trang web có bảo vệ trình duyệt không? Bao gồm Content-Security-Policy, chống clickjacking (X-Frame-Options), bảo vệ chống MIME-sniffing, Referrer-Policy và các tiêu đề cross-origin.
DNS — lớp đặt tên có được tăng cường không? Bao gồm DNSSEC, CAA và cấu hình máy chủ tên.
Hạ tầng — các tín hiệu hỗ trợ như DNS ngược và hỗ trợ IPv6.

Trong số 34 kiểm tra, một số được tính điểm (chúng ảnh hưởng đến điểm) và số còn lại mang tính thông tin (được báo cáo để cung cấp ngữ cảnh nhưng không bị phạt).

Một kiểm tra được chấm điểm như thế nào: đạt, không đạt, hoặc không áp dụng

Mỗi kiểm tra đi đến một trong ba kết quả:

Đạt — biện pháp bảo vệ hiện diện và chính xác.
Không đạt — biện pháp bảo vệ thiếu hoặc bị hỏng. Một thất bại thực sự là một thất bại thực sự: một tên miền không có SPF và DMARC được thực thi sẽ bị điểm kém vì nó thực sự có thể bị giả mạo, không phải vì cách chúng tôi tính toán.
Không áp dụng — kiểm tra thực sự không thể xác định được cho tên miền này. Các kết quả không áp dụng được loại trừ khỏi điểm; chúng không bao giờ tính bất lợi cho một tên miền.

Điểm cuối cùng này rất quan trọng: chúng tôi không trừng phạt một tên miền vì điều gì đó mà chúng tôi không thể đánh giá một cách công bằng.

Cách tính điểm chữ cái

Điểm chạy từ A+, A, B, C, D, F. Điểm phản ánh mức độ một tên miền lấp đầy hoàn toàn các lỗ hổng quan trọng — có trọng số hướng tới các kiểm tra có tác động thực tế lớn nhất (giả mạo email và bảo mật truyền tải có trọng số cao hơn các tiêu đề mang tính hình thức). Một tên miền làm đúng các yếu tố cơ bản có tác động cao và chỉ để lại những lỗ hổng nhỏ sẽ đứng ở vị trí cao; một tên miền thất bại ở những điều cơ bản cho phép nó bị mạo danh sẽ rơi xuống F.

Vì cùng một phương pháp được áp dụng giống hệt nhau cho mọi tên miền, các điểm là có thể so sánh trên toàn bộ quần thể — đây chính là điều làm cho các bảng xếp hạng (theo TLD, quốc gia và ngành) trở nên có ý nghĩa.

Tập dữ liệu lớn cỡ nào?

Chúng tôi theo dõi một kho gồm 333 triệu tên miền và chấm điểm quần thể đang hoạt động khoảng 260 triệu tên miền hiện đang phân giải (resolve). Số liệu thống kê được công bố được tính từ quần thể này tại thời điểm build và mang ngày tính đến của tập dữ liệu để bạn luôn biết một con số mới đến mức nào.

Dữ liệu mới đến mức nào?

Đội quét hoạt động liên tục. Toàn bộ quần thể được làm mới theo nhịp độ thường xuyên, với một số TLD được đo lại thường xuyên hơn, vì vậy các con số trên trang web này là một phép đo sống động chứ không phải một ảnh chụp nhanh một lần. Mỗi báo cáo hiển thị ngày tính đến của nó, và các nghiên cứu chủ lực được công bố dưới dạng các ấn bản định kỳ để có thể theo dõi xu hướng theo thời gian.

Dữ liệu có thể — và không thể — cho bạn biết điều gì

Chúng tôi tin rằng các giới hạn cũng quan trọng như các phát hiện:

Địa lý và ngành được suy ra từ phần đuôi của tên miền, không phải từ đăng ký công ty. Số liệu của một quốc gia dựa trên phần đuôi tên miền quốc gia của nó (ccTLD); số liệu của một ngành dựa trên các phần đuôi đặc thù của ngành. Một công ty sử dụng phần đuôi chung như .com không thể được quy cho một quốc gia hoặc lĩnh vực ở quy mô này. Các phân khúc này “đủ chính xác” để so sánh các quần thể, với cảnh báo này được nêu rõ.
Chúng tôi đo lường tên miền, không phải tổ chức. Một công ty có thể sở hữu nhiều tên miền; chúng tôi chấm điểm mỗi tên miền theo cấu hình riêng của nó.
Chỉ góc nhìn bên ngoài. Chúng tôi đánh giá những gì có thể quan sát được từ internet công cộng. Chúng tôi không nhìn thấy, và không cố gắng nhìn thấy, bất cứ điều gì đằng sau một lần đăng nhập.

Quy tắc của chúng tôi: chỉ tổng hợp, riêng tư cho chủ sở hữu, lưu trú tại EU

Ba cam kết chi phối mọi thứ chúng tôi công bố:

Chỉ tổng hợp. Chúng tôi công bố các mẫu hình của quần thể — bảng xếp hạng theo TLD, theo quốc gia, theo ngành. Chúng tôi không bao giờ công bố một trang được lập chỉ mục nêu tên một doanh nghiệp cá thể và điểm của nó.
Riêng tư cho chủ sở hữu. Điểm của một tên miền riêng lẻ và phân tích theo từng kiểm tra chỉ được hiển thị cho chủ sở hữu đã xác minh kiểm tra nó.
Lưu trú dữ liệu tại EU. Tất cả dữ liệu được lưu trữ và xử lý trong EU — vừa là một tư thế tuân thủ vừa là một cam kết tin cậy có chủ đích.

Câu hỏi thường gặp

Defaults.Exposed tính điểm bảo mật của một tên miền như thế nào? Bằng cách chạy 34 kiểm tra có thể quan sát từ bên ngoài (xác thực email, TLS, tiêu đề web, DNS và hạ tầng), chấm điểm mỗi kiểm tra là đạt / không đạt / không áp dụng, và đánh trọng số hướng tới tác động thực tế để tạo ra một điểm từ A+ đến F.

Các bạn có quét hoặc hack các tên miền mà các bạn chấm điểm không? Không. Mỗi kiểm tra đều có thể quan sát được từ internet công cộng — cùng thông tin mà một máy chủ thư nhận hoặc trình duyệt của một khách truy cập sẽ thấy. Không có đăng nhập, xâm nhập, hay truy cập vào các hệ thống riêng tư.

Tại sao một tên miền có thể bị điểm F? Phổ biến nhất là vì nó không có SPF và DMARC được thực thi và do đó có thể bị mạo danh trong email — một điểm yếu thực sự, có thể xác minh từ bên ngoài.

Tôi có thể xem điểm của tên miền của một công ty cụ thể không? Chỉ khi đó là tên miền của chính bạn và bạn xác minh quyền sở hữu. Chúng tôi không bao giờ công bố điểm của các doanh nghiệp cá thể.

Dữ liệu được cập nhật bao lâu một lần? Liên tục. Toàn bộ quần thể được làm mới theo nhịp độ thường xuyên và mỗi con số được ghi ngày bằng một “ngày tính đến” để bạn biết nó mới đến mức nào.

Tự kiểm tra một tên miền

Cách nhanh nhất để hiểu phương pháp là chạy nó. Kiểm tra tên miền của riêng bạn một cách riêng tư và miễn phí, và xem tất cả 34 kiểm tra được chấm điểm với các giải thích dễ hiểu và cách khắc phục.

Kiểm tra tên miền của bạn → · Đường cong điểm bảo mật của internet → · Chỉ dữ liệu tổng hợp. Dữ liệu được lưu trữ và xử lý tại EU.