Defaults.Exposed › 研究
研究
關於全球企業如何保護其網域的原創數據——來自我們對 260 百萬個以上已評級網域的持續普查。免費閱讀與引用。 數據截至 2026-06-28.
在下列每一個數據集中，86.2% 的網域都評級為 F 級——實際上毫無防護，無法抵禦郵件冒名。只有 0.5% 達到了安全的 A–B 級。
- 各國網域安全狀況
我們對 100 個國家的國家級網域後綴背後的商業網域進行了評級。下面是各國在郵件冒名與不安全網站方面的暴露程度，從暴露最少到最多排序。 - 各行業網域安全狀況
我們以行業專屬網域後綴作為各行業的代理指標，對 15 個行業的網域暴露程度進行了排名。這一規律在所有行業中都成立。 - 最安全與最不安全的網域後綴（TLD）
在我們評級的較大網域後綴中，哪些最能保護使用它的企業，哪些又讓它們最為暴露？以下是兩個極端，取自 112 個已評級網域數量足以公平比較的頂級網域。 - 為什麼我的SPF失敗了？英國和歐盟發件人的SaaS 10次查詢問題（2026年）
當您的include:鏈超過10次DNS查詢時，SPF會悄然失效——這是使用大量SaaS工具的歐洲企業經常觸及的閾值。已有至少797,263個域名越過了這條線。數據截至2026-06-29。 - What Is BIMI? How Email Brand Logos Work — And Who Qualifies (2026)
BIMI shows your brand logo in email clients like Gmail and Apple Mail. It requires DMARC enforcement first — and only 10.59% of domains we've graded have reached that bar. Data as of 2026-06-29. - 哪家郵件服務商給客戶提供了最強的 SPF 默認配置？（2026）
85.0% 的 Microsoft 365 域名以嚴格的 -all 結束 SPF；8.0% 的 Google Workspace 域名如此——而沒有一家主流郵箱服務商的客戶能超過 30% 達到強制執行。數據截至 2026-06-29。 - 一個域名可以有兩條 SPF 記錄嗎？不行——上百萬個域名剛剛把自己的 SPF 作廢了（2026）
兩條 SPF 記錄會讓兩條都失效：1,013,416 個域名發佈了多條 v=spf1 記錄，而標準將這種情況視為永久性錯誤。這個把 SPF 關閉掉的複製粘貼錯誤，是在 261 百萬個域名上測得的。數據截至 2026-06-29。 - 什麼是 SPF 的 ptr 機制——為什麼至今仍有 950,631 條記錄在用它？（2026）
SPF 的 ptr 機制早在 2014 年就已被棄用——它慢、不可靠，還會消耗寶貴的 10 次查詢額度。12 年過去了，仍有 950,631 個域名在發佈它。數據截至 2026-06-29。 - SPF PermError 報告：突破 10 次查詢上限的域名數量，是表面統計所顯示的 100 倍（2026）
SPF 一旦超過 10 次 DNS 查詢就會自我失效——而這種失效隱藏在 include: 鏈條內部。至少有 797,263 個域名超出了上限。數據截至 2026-06-29。 - SPF 採用成熟度模型（SPFAMM）：SPF 的六個階段（2026）
普通域名處於 SPF 六個階段中的第 2.4 階段。SPFAMM：六階段 SPF 成熟度模型——找出你所處的階段以及向上邁出的那一步。數據截至 2026-06-29。 - SPF +all：任由整個互聯網冒名發信的那些域名（2026）
36,014 個域名的 SPF 記錄以 +all 結尾——這等於明確授權地球上任何人以它們的名義發送電子郵件。這些「歡迎墊」聚集在哪裡、它們是怎麼來的，以及那個只需改一個字符的修復方法。數據截至 2026-06-29。 - 完成防護的少數派：那 3.87% 跑完全程的域名
只有 3.87% 的域名——共 10,092,481 個——部署了完整且強制執行的郵件防護棧：SPF、DKIM，以及處於 quarantine/reject 的 DMARC。只有 0.09% 同時具備全部五項防護。 - 電子郵件可偽造指數：有多少域名任何人都能偽造?(2026)
10 個域名中就有 9 個可被偽造：互聯網上 89.4% 的域名沒有發佈任何策略來告知接收方拒收或將驗證失敗的郵件丟入垃圾箱。可偽造指數,源自對 261 百萬個域名的普查。數據截至 2026-06-29。 - DMARC 成熟度的六個階段
24.89% 的域名發佈了 DMARC 記錄——但只有 10.59% 真正強制執行。一個從「未受保護」到「已加固」的六階段成熟度模型，解釋域名會在哪裡停滯，以及推進每個階段的那一步關鍵動作。 - 盲目發佈：大多數 DMARC 記錄不索取任何報告
在發佈 DMARC 的 65M 個域名中，只有 35.7% 索取報告（rua=）。其餘的都在盲目發佈——而一次 DNS 修改即可解決。 - SPF ~all 與 -all：軟失敗還是硬失敗——139 百萬條記錄的選擇（2026）
SPF 軟失敗與硬失敗對比：55.8% 的記錄以 ~all 結尾——而其中只有 11 分之一配置了讓軟失敗真正生效的設置。數據截至 2026-06-29。 - 僅有 SPF 還不夠：119 百萬個從不強制執行的域名
119 百萬個域名發佈了 SPF，卻從不強制執行 DMARC——佔所有配置了 SPF 的域名的 85.8%。SPF 夠用嗎？在整個互聯網範圍內測量的結果是：不夠。只有 3.87% 的域名獲得了完整的郵件保護。這份暴露風險，已被逐一清點。數據截至 2026-06-29。 - 「您的連接不是私密連接」——它意味著什麼以及如何修復（2026）
整頁「您的連接不是私密連接」警告幾乎總是意味著存在證書問題。在提供 HTTPS 服務的域名中，8.21% 呈現的是會觸發該警告的無效證書。本文解釋這些錯誤代碼的含義以及如何清除它們。數據截至 2026-06-29。 - 什麼是 SPF——以及我該如何修復我的 SPF 記錄？（2026）
SPF 告訴全世界哪些服務器可以代表你的域名發送郵件。在 261 百萬個已評級域名中，有 53.21% 發佈了 SPF 記錄——但僅有記錄並不等於有保護。常見的錯誤，以及如何修復你自己的記錄。數據截至 2026-06-29。 - 什麼是 DNSSEC——你真的需要它嗎？（2026）
DNSSEC 為你的 DNS 簽名，使應答無法在傳輸途中被偽造。在已評級的 261 百萬個域名中，僅有 1.99% 啟用了它——而一個配置錯誤的簽名可能會讓你的網站下線。本文講解它保護什麼、誰需要它，以及如何安全地開啟它。數據截至 2026-06-29。 - 什麼是 DMARC？p=none、quarantine 與 reject 詳解（2026）
DMARC 是決定以你名義發出的偽造郵件能否被投遞的記錄。在已評級的 261 萬個域名中，僅有 10.59% 將其設置為強制執行——其餘的要麼根本沒有，要麼只是一條什麼都不做的僅監控策略。本文解釋每種策略的含義以及如何設置。數據截至 2026-06-29。 - 弱加密與過時的 TLS：你的網站還在提供舊版加密嗎？（2026）
好消息：如今 90.51% 的 HTTPS 網站已協商使用 TLS 1.3。但「弱 TLS」並未消失——它藏在那些仍然接受舊版本、弱密碼套件和損壞證書的服務器中（在 261 百萬個已評級域名中，有 8.21% 的證書無效）。如何確認自己不是例外。數據截至 2026-06-29。 - 我的 SSL 證書過期了——原因及修復方法（2026）
過期或無效的證書會觸發整頁瀏覽器警告，讓訪問者望而卻步。在提供 HTTPS 服務的域名中，有 8.21% 呈現無效證書。本文講解證書失效的原因，以及如何修復並預防。數據截至 2026-06-29。 - 域名與 DNS 劫持：域名是如何被盜的，以及如何鎖定你的域名（2026）
劫持會在不觸碰你服務器的情況下重定向你的訪客和郵件。而阻止劫持的兩項 DNS 控制措施卻極少被採用：在 261 百萬個被評級的域名中，僅有 1.99% 擁有有效的 DNSSEC，1.56% 發佈了 CAA。域名是如何被盜的，以及如何鎖定你的域名。數據截至 2026-06-29。 - 網絡保險與供應商安全問卷：它們如何核查你的域名（2026）
保險公司和企業採購方如今會詢問你是否強制執行 DMARC、是否提供現代 TLS，以及是否鎖定 DNS。在 261 百萬個已評級域名中，僅有 3.87% 實現了完整的郵件保護——因此大多數域名無法誠實地勾選這些項。它們會問什麼，以及互聯網實際得分如何。數據截至 2026-06-29。 - 為什麼我的網站顯示「不安全」？這個警告對信任意味著什麼（2026）
當網站未使用有效的 HTTPS 時，會出現「不安全」標識。在 261 百萬個域名中，21.98% 完全不提供 HTTPS，而在提供 HTTPS 的域名中又有 8.21% 的證書無效——因此訪問者會看到瀏覽器警告。它的代價以及如何修復。數據截至 2026-06-29。 - 為什麼我的郵件進了垃圾箱？用數據看認證缺口（2026）
大多數企業郵件進入垃圾箱只有一個可修復的原因：缺少身份認證。在 261 百萬個域名中，只有 53.21% 發佈了 SPF，51.84% 使用 DKIM，24.89% 設有任何 DMARC——正是 Gmail 和 Yahoo 如今要求的信號。數據截至 2026-06-29。 - 你的服務器標頭向攻擊者透露了什麼：技術棧洩露報告（2026）
71.4% 的站點在響應標頭中公布了其 Web 服務器，8.1% 通過 X-Powered-By 洩露了應用技術棧及版本——其中包括已終止支持的軟件。以普查數據呈現 Web 免費告訴攻擊者的信息。截至 2026-06-29。 - DNSSEC 悖論：把它配壞的域名多於配對的域名（2026）
DNSSEC 旨在阻止 DNS 劫持——但在 261 百萬個域名中，配置錯誤並已損壞的（3.02%）多於正確運行的（1.99%）。其餘的（94.99%）則根本沒有嘗試。為什麼 DNS 是互聯網最被忽視的安全層。數據截至 2026-06-29。 - 2026 年 IPv6 現狀：仍只有 23.76% 的域名
“IPv6 啟動”十年之後，僅有 23.76% 的域名發佈了 AAAA 記錄——其餘 76.24% 仍為純 IPv4。來自一場 261 百萬域名普查的各國採用情況。截至 2026-06-29。 - 僅發佈 SPF 還不夠：電子郵件安全的虛假安全感（2026）
32.4% 的域名發佈了 SPF，卻完全沒有 DMARC；45.7% 有 SPF 但未強制實施——它們看似受保護，實則不然。只有 3.87% 獲得了完整的郵件保護。以普查數據揭示這一虛假安全差距。截至 2026-06-29。 - SPF 錯誤配置報告：多數 SPF 記錄設置得過於寬鬆（2026）
139 百萬個域名發佈了 SPF——但 55.8% 使用了較弱的“~all”軟失敗設置，只有 39.3% 使用嚴格的“-all”。此外，36,014 個域名使用了“+all”，等於授權整個互聯網以它們的名義發信。隱藏在已發佈 SPF 內部的錯誤配置。數據截至 2026-06-29。 - 誰在運營互聯網的 DNS？2026 年的域名服務器集中度
五家提供商運營著互聯網 42.1% 的 DNS。僅 Cloudflare 一家就託管了 15.4%，GoDaddy 託管了 14.2%。跨越 255 百萬個域名，審視 DNS 集中化的系統性風險。截至 2026-06-29。 - 錯誤配置名人堂：Web 上最離奇的安全記錄（2026）
244,468 個站點提供的 TLS 證書名稱竟直接寫著“Internet Widgits Pty Ltd”——那個沒人改過的佔位符。用錯語言書寫的 DMARC 策略、把整個互聯網都放進來的 SPF 記錄，以及來自一場 261 百萬域名普查的其他奇觀。截至 2026-06-29。 - HTTP 安全標頭成績單：2026 年的 Web 得分如何
安全標頭是抵禦點擊劫持、注入和窺探的免費單行防線——而幾乎沒人設置它們。在 261 百萬個域名中，只有 4.03% 把每個標頭都配置正確。CSP 為 8.87%，HSTS 為 22.91%，點擊劫持防護為 14.48%。數據截至 2026-06-29。 - 你準備好應對 Google 與 Yahoo 的郵件發件人規則了嗎？（2026）
Google、Yahoo 和 Microsoft 現要求配置 SPF、DKIM 和 DMARC 才能投遞批量郵件。然而只有 53.21% 的域名發佈了 SPF，51.84% 發佈了 DKIM，24.89% 具有任何 DMARC。以普查數據判斷你的域名是否達標。截至 2026-06-29。 - 一半的 PHP Web 運行著已終止支持的 PHP（2026）
在 12 百萬個暴露其 PHP 版本的站點中，50.8% 運行著不再獲得安全補丁的已終止支持版本——而最常見的單一版本是 7.4.33，自 2022 年起便已停止維護。以普查數據呈現未打補丁的 PHP Web。截至 2026-06-29。 - 誰在運營全球的電子郵件？2026 年電子郵件託管市場份額
在 161 百萬個具有可識別郵件主機的域名中，12.7% 通過 Google Workspace 收發郵件，8.6% 通過 Microsoft 365——但佔比最大的類別是自託管。電子郵件託管市場份額，截至 2026-06-29。 - 域名暴露評分：多數域名在 5 項基礎防護中只具備 1 項（2026）
按五項核心防護——SPF、強制 DMARC、DNSSEC、HTTPS 和 HSTS——評分，典型域名僅具備一到兩項。8.8% 一項都沒有；只有 0.09% 五項俱全。261 百萬個域名的暴露曲線，截至 2026-06-29。 - NIS2 要求 DMARC 嗎？電子郵件身份驗證與歐盟網絡衛生（2026）
NIS2 未點名 DMARC，但它要求採取網絡衛生措施——而電子郵件身份驗證是防冒充的基線控制。然而在整個歐盟，即便表現最好的成員國也只有 29.43% 的域名能夠阻止冒充，多數國家遠低於此。歐盟域名的真實現狀，截至 2026-06-29。 - 強制 DNSSEC 有效嗎？註冊局主導的採用揭示了什麼（2026）
在註冊局推動 DNSSEC 的地方，有效採用率約高出 7 倍——註冊局主導的後綴為 9.1%，其他地方為 1.3%（.se 為 18.38%，.com 為 1.62%）。但即便是領先者，把它配壞的次數也多於配對的次數。數據截至 2026-06-29。 - 「quarentine」「ninguno」「non」：互聯網上最常見的 DMARC 拼寫錯誤（2026）
48,648 個域名發佈的 DMARC 記錄策略拼寫錯誤或無效——「quarentine」「ninguno」「non」，或根本沒有策略——因此得不到任何保護。這些悄悄破壞郵件安全的拼寫錯誤，來自 65 百萬條 DMARC 記錄。數據截至 2026-06-29。 - 你把 DMARC 設成了 p=none——這就是你仍然暴露的原因（2026）
p=none 的 DMARC 策略只監控、不保護——你的域名仍可被冒充。14.29% 的域名停留在 p=none，高於真正實施強制的 10.59%。以普查數據揭示這一虛假安全陷阱。截至 2026-06-29。 - 已過期、自簽名、無效：證書錯誤報告（2026）
Web 上 8.57% 的 TLS 證書未通過驗證——16,920,535 個域名提供的證書瀏覽器並不信任。其中 3,378,080 個為自簽名。以普查數據呈現那些向訪客彈出警告的證書錯誤。截至 2026-06-29。 - 誰在簽發 Web 的 TLS 證書？兩家免費 CA 如今佔據 75%（2026）
在 197 百萬張證書中，Let's Encrypt 簽發了 57.2%，Google Trust Services 簽發了 17.6%——合計 74.7% 的加密 Web 運行在兩家免費證書頒發機構之上。以數據衡量的 CA 市場。截至 2026-06-29。 - 有人能冒充你的企業發送電子郵件嗎？對大多數域名而言，可以（2026）
在 261 百萬個受評域名中，只有 10.59% 強制實施 DMARC——這是真正能阻止郵件假冒的唯一防護。其餘 89.41% 都可能被仿冒。這對發票詐騙意味著什麼，以及如何判斷你是否受到保護。數據截至 2026-06-29。 - 深入 WHOIS：2026 年域名安全表現最佳的頂級域名
只有 0.022% 的受評域名獲得 A 或 A+，但少數頂級域名的這一比例約為其 5.8 倍。我們深入分析哪些頂級域名按比例擁有最多的 A 和 A+ 域名，數據截至 2026-06-28。 - 哪個國家的企業最容易被偽冒？（2026）
Philippines高居榜首：其99.7%的企業域名對電子郵件偽冒實際上毫無防護。我們按域名的可偽造程度對69個國家進行了排名。數據截至2026-06-28。 - A 級精英：互聯網上最安全的域名有何不同？（2026）
在 260 百萬個域名中，僅 0.46% 達到 B 或更高，只有 0.02% 獲得 A——約 4,600 分之一。以下是截至 2026-06-28 互聯網上最安全域名的共同之處。 - 互聯網的死亡域名：有多少域名已無法解析？（2026）
在我們追蹤的 333 百萬個域名中，21 百萬個（6.2%）已無法解析。這些死亡域名揭示了什麼——以及廢棄域名留下的潛在安全風險。數據截至 2026-06-28。 - 互聯網安全評分曲線：2026 年的平均域名什麼樣
我們對 260 百萬個域名進行了 A–F 評級。平均域名評分為 D 或 F——僅 3.3% 達到 C，只有 0.46% 獲得 B 或更高。以下是截至 2026-06-28 的互聯網完整評分分佈。 - 新通用頂級域名 vs 傳統域名：.com 真的比 .xyz 或 .ai 更安全嗎？（2026）
我們對比了傳統後綴（.com、.net、.org）與新通用頂級域名（.ai、.io、.xyz、.top）在數百萬個域名上的安全表現。結論出人意料：年齡不能預測安全性——價格和用途才是關鍵。數據截至 2026-06-28。 - 國家域名對比通用域名：.de、.uk 等 ccTLD 是否比 .com 更安全？（2026）
我們在260百萬個域名中，將100種國家域名後綴與372種通用域名後綴進行了對比。國家（ccTLD）域名的安全性明顯更高：其中80.2%被評為 F 級，而通用後綴域名則有88.3%。數據截至2026-06-28。 - 2026 年國家域名安全指數：各國域名安全排名
我們對100個國家的國家域名後綴背後的企業域名進行了評級。80.2%被評為 F 級——即便排名最高的國家，其大部分域名仍處於暴露狀態。完整的國家排名，實時更新，數據截至2026-06-28。 - 我們如何為整個互聯網評分：A–F 域名安全評級方法論（2026）
Defaults.Exposed 如何對 260 百萬個域名進行從 A+ 到 F 的評分——涵蓋 34 項可從外部觀測的安全檢查：我們的檢測內容、評分計算方式，以及數據的侷限性。最後更新於 2026-06-28。 - 歐洲對陣世界：GDPR 時代的域名安全（2026）
歐洲企業對域名的保護優於世界其他地區：76.4% 的歐洲國家域名企業獲評 F 級，而其他地區為 84.7%。但“更好”仍意味著大多數域名處於暴露狀態。數據截至 2026-06-28。 - 新興市場域名：快速增長的 ccTLD 中的安全差距（2026）
新興市場的國家域名有 85.6% 的比例被評為 F 級，而發達經濟體為 77.4%——相差 8.3 個百分點。但新興市場組內部的分化遠大於組間的差距。數據截至 2026-06-28。 - 按 TLD 劃分的域名衰亡：域名在哪裡走向消亡（2026）
約 6.2% 的已註冊域名不再解析——但這一比率因後綴而差異懸殊。像 .xyz 這樣廉價的批量後綴衰亡最快；成熟的國家註冊局則幾乎不受影響。互聯網的域名死亡率地圖，截至 2026-06-28。 - 2026 年域名安全現狀
我們通過 34 項安全檢查評估了 260 百萬個域名。86.2% 評為 F——只有 10.59% 強制實施 DMARC，78.02% 使用 HTTPS，4.03% 正確設置了每一個安全標頭。逐項信號呈現的互聯網現狀。 - 域名安全世界盃：如果最安全的域名捧杯，誰是冠軍？
我們拿來了真實的 2026 年世界盃抽籤結果——全部 12 個小組、48 支球隊——並用一條規則裁決每一場比賽：誰家企業域名的暴露程度最低，誰就贏。結果波黑捧起大力神杯，德國小組墊底，東道主在自己家門口出局。
每次更新都會從普查重新計算各項數字；每份報告都標明其數據的截至日期，並附有不斷增長的版本歷史以便觀察趨勢。 我們如何評級 →