Defaults.Exposed › Báo cáo

Chỉ số Khả năng Giả mạo Email: Có bao nhiêu tên miền mà bất kỳ ai cũng có thể giả mạo? (2026)

Đã xuất bản 2026-07-03

Số liệu tính đến 2026-06-29 · phương pháp v7. Tổng điều tra tổng hợp trên 261 triệu tên miền đã được chấm điểm — internet như chúng tôi đo lường — được ghép nối theo từng tên miền. Mọi con số đều là tổng hợp; không bao giờ là điểm số của một doanh nghiệp cá thể. Xem cách chúng tôi chấm điểm.

Có bao nhiêu tên miền có thể bị giả mạo?

9 trên 10. 89.4% internet — 233,445,245 tên miền — không công bố bất kỳ chính sách nào yêu cầu bên nhận từ chối hoặc đưa vào thư rác các email không vượt qua kiểm tra xác thực. Đó là những gì chúng tôi coi là có thể giả mạo, và đó là góc nhìn của kẻ tấn công về cuộc tổng điều tra: không phải “ai đã bắt đầu bảo mật email”, mà là “ai vẫn còn có thể bị mạo danh”. Hầu hết các tên miền đều đã bắt đầu — họ công bố SPF. Ít hơn nhiều đã hoàn tất, và khoảng cách giữa hai động từ đó chính là chỉ số này.

”Có thể giả mạo” ở đây nghĩa là gì?

Một định nghĩa chính xác, vì con số này hay được trích dẫn: một tên miền có thể bị giả mạo khi nó không công bố chính sách DMARC nào ở mức p=quarantine hoặc p=reject — chỉ dẫn tiêu chuẩn hóa duy nhất khiến mọi bên nhận lớn từ chối hoặc đưa vào thư rác một email không hợp lệ. Một số bên nhận có hành động với SPF -all nghiêm ngặt tự thân nó, nhưng hành vi đó là tùy ý và không nhất quán trên khắp các hộp thư của thế giới; việc thực thi DMARC là chỉ dẫn mà tất cả họ đều tôn trọng. Vì vậy một tên miền có thể giả mạo không nhất thiết là không được bảo vệ ở mọi nơi — nó không được bảo vệ về mặt chính sách, phụ thuộc vào thiện chí của mỗi bên nhận.

Đó cũng là lý do vì sao chỉ công bố SPF thôi không đưa một tên miền ra khỏi chỉ số này: SPF nhận diện email chính thống của bạn, nhưng nếu không có việc thực thi thì chẳng có gì chỉ dẫn bên nhận hành động đối với các email giả mạo.

Những đuôi tên miền nào dễ bị giả mạo nhất?

Tỷ lệ tên miền đã chấm điểm thiếu DMARC thực thi, theo đuôi tên miền:

Không có khu vực nào trên internet là an toàn — sự chênh lệch giữa các đuôi tên miền là mức độ phơi bày, chứ không phải các loại khác nhau của nó. Những thái cực ở cấp quốc gia là một câu chuyện riêng: xem những quốc gia dễ bị giả mạo nhất để biết bảng xếp hạng theo quốc gia mà chỉ số này tóm lược.

Lát cắt máy chủ thư: hộp thư đang hoạt động, không có bảo vệ

Lát cắt sắc bén nhất của chỉ số: 42.7% tất cả các tên miền đã chấm điểm vận hành một máy chủ thư đang hoạt động trong khi không công bố bất kỳ xác thực nào cả — 111,369,509 tên miền vừa nhận email thật vừa dâng cho kẻ giả mạo một cái tên không được canh giữ. Đây không phải những vỏ đậu đỗ; chúng là những tên miền thư đang vận hành mà chủ nhân chưa bao giờ lắp khóa.

Vì sao đây là con số đáng quan tâm

Thống kê mức độ áp dụng tô vẽ đẹp đẽ cho internet; khả năng giả mạo đo lường những gì kẻ tấn công vẫn còn có thể làm. Cách khắc phục miễn phí ở mọi bước — SPF, DKIM, rồi một chính sách DMARC ở mức p=reject — và mỗi tên miền hoàn tất sẽ chuyển từ nhóm 9-trên-10 sang nhóm số ít được bảo vệ. Hai bài viết này là cùng một tập dữ liệu được đọc từ hai đầu đối lập: bài này đếm những cánh cửa mở; bài kia đếm những cánh cửa đã khóa.

Các câu hỏi thường gặp

Điều gì khiến một tên miền có thể bị giả mạo? Sự vắng mặt của một chính sách DMARC thực thi (p=quarantine hoặc p=reject). Không có nó, không có chỉ dẫn tiêu chuẩn hóa nào yêu cầu bên nhận từ chối hoặc đưa vào thư rác các email không vượt qua kiểm tra SPF/DKIM. 89.4% tên miền — 9 trên 10 — đang ở trong tình trạng này tính đến 2026-06-29.

Tôi có công bố SPF — tên miền của tôi vẫn có thể bị giả mạo không? Nếu không có gì thực thi, thì có. SPF chứng minh email nào là chính thống; nó không chỉ dẫn bên nhận từ chối phần còn lại. Cơ chế và cách khắc phục được trình bày trong SPF mà không có DMARC.

DMARC p=quarantine có làm cho tên miền của tôi an toàn không? Nó đưa bạn ra khỏi chỉ số này: email không hợp lệ bị đưa vào thư rác thay vì được chuyển đến hộp thư đến. p=reject đi xa hơn và từ chối thẳng — thiết lập mạnh nhất, và là đích đến được khuyến nghị.

Làm thế nào để tên miền của tôi không thể bị giả mạo? Lắp cả ba ổ khóa — SPF, DKIM, và DMARC ở mức p=reject — mỗi cái là một thay đổi DNS miễn phí. Khắc phục chính sách DMARC của bạn là bước thực thi đưa bạn ra khỏi chỉ số này.

Kiểm tra xem tên miền của bạn có phải là một trong số 9 không

Tên miền của bạn hoặc nằm trên chỉ số này hoặc nằm ngoài nó, và câu trả lời thì miễn phí để có được và miễn phí để thay đổi.

Kiểm tra tên miền của bạn → · Khắc phục DMARC → · Khắc phục SPF → · Những quốc gia dễ bị giả mạo nhất → · Nhóm số ít được bảo vệ → · Chỉ dữ liệu tổng hợp. Dữ liệu được lưu trữ và xử lý tại EU.