Jak zabezpieczone są popularne strony w ZEA i Arabii Saudyjskiej? Pomiar 1000 domen .ae i .sa (wrzesień 2026)

Wziąłem pierwsze 500 domen kończących się na .ae i pierwsze 500 kończących się na .sa z rankingu Tranco, który powstał do badań naukowych, i 24 września 2026 r. rano sprawdziłem je z zewnątrz, tak jak widzi je każdy odwiedzający i każdy serwer pocztowy. Pomiar był pasywny: zapytania DNS, jedna wizyta na stronie głównej i kilka połączeń TLS na domenę, bez skanowania podatności i bez prób logowania. Wyniki liczyły te same testy, które działają w darmowych narzędziach ShieldWave. Nie wymieniam żadnej ze sprawdzonych domen.

Mierzyłem z Polski. Dla 344 z 1000 domen strona główna nie odpowiedziała na moje żądania, pokazała ścianę antybotową albo zwróciła błąd. Takich stron nie ma we wskaźnikach strony i nie uznaję ich za niebezpieczne. Dlaczego, wyjaśnia metodologia.

Najważniejsze liczby

• 24 września 2026 r. politykę DMARC, która każe serwerom pocztowym odrzucać albo odkładać do spamu podrobione maile, miało 499 z 987 najpopularniejszych domen .ae i .sa (50,6%): 234 z 498 w ZEA (47,0%) i 265 z 489 w Arabii Saudyjskiej (54,2%).
• Według pomiaru z 24 września 2026 r. nagłówek HSTS wysyłało 408 z 652 najpopularniejszych stron z ZEA i Arabii Saudyjskiej działających na HTTPS (62,6%), a wymuszaną politykę Content-Security-Policy miało 280 z 656 (42,7%).
• We wrześniu 2026 r. połączenie TLS 1.0 przyjmowało jeszcze 182 z 832 najpopularniejszych domen z ZEA i Arabii Saudyjskiej (21,9%). Z tych 182 domen 101 działa za Cloudflare, który przyjmuje TLS 1.0, dopóki właściciel nie podniesie minimalnej wersji.
• Saudyjskie domeny, które publikują DMARC, najczęściej wybierają jego najostrzejsze ustawienie: p=reject ma 232 z 363 saudyjskich rekordów (63,9%), a w ZEA 139 z 368 (37,8%).
• W 256 z 987 domen (25,9%) nie ma żadnego rekordu DMARC, a w kolejnych 198 (20,1%) rekord ma ustawienie p=none, które niczego nie blokuje.
• Plik security.txt, z którego badacz dowie się, gdzie zgłosić lukę, znalazłem na co najmniej 41 z 649 stron (6,3%).
• W porównaniu z tym samym pomiarem polskich domen strony z ZEA i Arabii Saudyjskiej częściej wysyłają HSTS i CSP, ale mniej tamtejszych domen obsługuje TLS 1.3. Porównanie ma ograniczenia, opisane niżej.

Podszywanie się pod domenę w mailach: DMARC i SPF

Podrobiony mail z adresem Twojej firmy w polu „Od” wystarczy, żeby wysłać klientowi fałszywą fakturę. Chronią przed nim trzy wpisy w DNS domeny: SPF, DKIM i DMARC. Opisałem je w artykule SPF, DKIM i DMARC po ludzku. Rozstrzyga DMARC: mówi serwerowi odbiorcy, co zrobić z wiadomością, która podaje się za Twoją, a nie przeszła testów.

SPF jest powszechny: ma go 843 z 987 domen (85,4%), w ZEA 426 z 497 (85,7%), a w Arabii Saudyjskiej 417 z 490 (85,1%). Sam SPF nie sprawdza jednak adresu, który odbiorca widzi w polu „Od”. To robi dopiero DMARC.

• ZEA (.ae)47,0%234 z 498
• Arabia Saudyjska (.sa)54,2%265 z 489
• Polska (.pl), dla porównania46,1%460 z 997

Własny rekord domeny z p=quarantine albo p=reject, stosowany do wszystkich maili (pct=100 albo bez pct). Domeny, dla których DNS dał jednoznaczną odpowiedź. Polska: ten sam pomiar tego samego dnia.

Wśród domen, które odbierają pocztę (mają rekordy MX), odsetek z polityką blokującą jest nieco wyższy: 216 z 430 w ZEA (50,2%) i 253 z 426 w Arabii Saudyjskiej (59,4%). W pozostałych domenach to, czy podrobiona wiadomość trafi do skrzynki, zależy wyłącznie od filtrów po stronie odbiorcy.

p=none nie jest błędem, tylko zalecanym pierwszym krokiem: domena zbiera raporty, a jej właściciel widzi, kto wysyła maile w jej imieniu. W 618 z 731 rekordów DMARC (84,5%) jest adres do raportów zbiorczych (rua). Ochrona zaczyna się jednak dopiero po przejściu na quarantine albo reject. Saudyjskie domeny, które mają DMARC, najczęściej idą do końca: p=reject ma 232 z 363 rekordów (63,9%). W ZEA trzy ustawienia występują niemal równie często: p=none ma 126 z 368 (34,2%), quarantine 103 (28,0%), a reject 139 (37,8%).

Jeden szczegół z listy saudyjskiej: 26 domen używa quarantine albo reject z wartością pct poniżej 100, co stosuje politykę tylko do tej części maili, które nie przechodzą testów.

Drobniejsze usterki SPF: 10 z 843 rekordów (1,2%) wymaga więcej niż 10 zapytań DNS, na które pozwala standard, 11 domen (1,3%) ma po dwa rekordy SPF zamiast jednego, a jedna kończy rekord na +all, czyli pozwala wysyłać pocztę w swoim imieniu każdemu serwerowi.

Wyników DKIM nie podaję. Selektorów, pod którymi leżą klucze DKIM, nie da się wylistować przez DNS, więc „nie znaleziono” znaczyłoby tylko „nie ma pod popularnymi nazwami”.

Szyfrowanie: HTTPS, HSTS i TLS

Sam HTTPS to już standard: 652 z 656 przeanalizowanych stron głównych (99,4%) ładuje się z adresu https://. Różnice widać w tym, co go uzupełnia.

Mianowniki się różnią, bo każdy wiersz liczy tylko domeny, dla których dany test dał odpowiedź. Szczegóły są w metodologii.

HSTS to nagłówek, który każe przeglądarce przez określony czas łączyć się z domeną wyłącznie przez HTTPS. Bez niego każde wejście na adres wpisany bez https:// zaczyna się od połączenia bez szyfrowania, zanim serwer przekieruje je na HTTPS, a w obcej sieci Wi-Fi ktoś może je przechwycić. HSTS wysyła 408 z 652 stron na HTTPS (62,6%), a z zalecanym czasem ważności co najmniej roku 246 (37,7%).

TLS 1.0 i 1.1 to stare wersje protokołu szyfrującego. Przeglądarki wyłączyły je w 2020 r., a IETF formalnie je wycofał w 2021 r. (RFC 8996). TLS 1.0 przyjmuje jeszcze 182 z 832 domen (21,9%). Odwiedzający z aktualną przeglądarką i tak połączy się przez TLS 1.2 albo 1.3, więc nie jest to droga do przejęcia strony. Serwer zgodzi się jednak na przestarzałe szyfrowanie, jeśli ktoś o nie poprosi, a o wyłączenie starych wersji pytają audytorzy i ankiety bezpieczeństwa dla dostawców.

Z tych 182 domen 101 (55,5%) działa za Cloudflare, który domyślnie przyjmuje TLS 1.0 i przestaje dopiero wtedy, gdy właściciel podniesie minimalną wersję w panelu: 60 z 92 w ZEA i 41 z 90 w Arabii Saudyjskiej. Reszta przyjmuje TLS 1.0 na własnych serwerach albo u innych dostawców.

TLS 1.3, czyli obecna wersja, działa na 620 z 834 domen (74,3%), częściej w ZEA (350 z 443, czyli 79,0%) niż w Arabii Saudyjskiej (270 z 391, czyli 69,1%).

CAA to wpis w DNS z listą urzędów certyfikacji, które mogą wystawić certyfikat dla domeny. Pozostałe urzędy muszą wtedy odmówić. Rekord CAA znalazłem przy 99 z 994 domen (10,0%).

Nagłówki bezpieczeństwa

Nagłówki bezpieczeństwa to kilka linijek instrukcji, które serwer wysyła przeglądarce razem ze stroną. Opisałem je w artykule Nagłówki bezpieczeństwa: co to jest i co zlecić programiście. Tak często pojawiają się na stronach głównych (HSTS jest w części o szyfrowaniu):

Kolejne 12 stron (1,8%) ma CSP tylko w trybie testowym Report-Only, w którym przeglądarka niczego nie blokuje.

Darmowy test nagłówków wystawia za nie ocenę od A do F. Każdy nagłówek dostaje literę, HSTS i CSP liczą się podwójnie, pozostałe pojedynczo, a średnia daje ocenę końcową. W pomiarze użyłem dokładnie tej skali.

• A2,6%17 z 656
• B39,0%256 z 656
• C19,4%127 z 656
• D18,6%122 z 656
• F20,4%134 z 656

Skala darmowego testu nagłówków ShieldWave. HSTS i CSP liczą się podwójnie, pozostałe nagłówki pojedynczo.

Ocena F nie znaczy, że strona ma lukę, a A nie gwarantuje, że jej nie ma. Nagłówki to druga linia obrony: ograniczają szkody, gdy zawiedzie coś innego. Ich brak zwykle oznacza domyślną konfigurację serwera, która ich nie dodaje. Często dokłada je dopiero CDN albo wtyczka.

Platformy i nieaktualne oprogramowanie

Platformę rozpoznałem na 267 z 656 stron głównych. Pozostałe 389 (59,3%) to strony pisane na zamówienie albo takie, które nie zdradzają, na czym działają, więc udziały poniżej to dolne granice.

WordPressa rozpoznałem na 88 z 656 stron (13,4%): 55 z 346 w ZEA i 33 z 310 w Arabii Saudyjskiej. Dalej są Drupal (31 stron), Microsoft SharePoint (28), Shopify (27), Sitecore (23) i Magento (15).

Wersję WordPressa widać na 58 z 88 stron. To małe liczby, więc podaję je bez procentów:

• 30 z 58 nie ma najnowszego wydania 7.1.2,
• 25 działa na starszej gałęzi niż 7.1,
• 18 nie ma ostatniego wydania własnej gałęzi, a więc poprawek bezpieczeństwa, które dla tej gałęzi już wyszły.

Wersję PHP podaje w nagłówkach tylko 34 z 656 stron, więc to obraz tych 34, a nie całej sieci. Z nich 16 działa na gałęziach, które nie dostają już żadnych poprawek (8.1 i starsze), 13 dostaje tylko poprawki bezpieczeństwa (8.2 i 8.3), a 5 jest w pełni wspieranych (8.4 i 8.5).

Nazwę serwera z numerem wersji widać w nagłówkach 60 z 656 stron (9,1%), a w 34 z tych 60 jest to Microsoft IIS. Samo ujawnienie wersji nie jest luką, ale podpowiada, których znanych błędów szukać.

Wtyczek w tym pomiarze nie sprawdzałem. Jeśli Twoja strona działa na WordPressie, zacznij od artykułu Nieaktualne wtyczki w WordPressie: co aktualizować, a co usunąć.

security.txt: gdzie zgłosić lukę

Plik /.well-known/security.txt (standard RFC 9116) podaje adres, pod który badacz bezpieczeństwa może zgłosić znalezioną podatność. Bez niego zgłoszenie trafia na ogólny adres kontaktowy albo nie trafia nigdzie.

Plik z polem Contact: znalazłem na 41 z 649 stron (6,3%): 16 z 345 w ZEA (4,6%) i 25 z 304 w Arabii Saudyjskiej (8,2%). To dolna granica: kolejne 21 stron odpowiedziało przekierowaniem na plik security.txt pod innym adresem, a przekierowań nie śledziłem. Wymagane przez standard pole Expires ma 32 z 41 znalezionych plików.

Skrypty śledzące i platformy zgód

Ta część jest opisowa. Nie uruchamiałem JavaScriptu, więc widzę tylko narzędzia wymienione w kodzie HTML strony głównej. Nie wiem, czy i kiedy się uruchamiają: skrypt może czekać na zgodę odwiedzającego, a Google Tag Manager może ładować narzędzia, których w kodzie strony nie widać.

• Google Tag Manager38,6%253 z 656
• Google Analytics36,4%239 z 656
• Meta Pixel9,8%64 z 656
• Microsoft Clarity5,9%39 z 656
• TikTok Pixel3,8%25 z 656
• Snap Pixel3,5%23 z 656
• Hotjar3,0%20 z 656
• X (Twitter) Pixel2,4%16 z 656

W dowolnej formie: skrypt, fragment instalacyjny albo samo wywołanie. Obecność w kodzie nie mówi, czy narzędzie działa przed zgodą.

Google Analytics albo Google Tag Manager pojawia się w kodzie 395 z 656 stron (60,2%). Tryb zgody Google (Consent Mode) z domyślną odmową, w którym narzędzia Google do czasu zgody działają bez cookies, widać na 12 z 656 stron (1,8%).

Znaną platformę do zbierania zgód, na przykład OneTrust, CookieYes albo TrustArc, rozpoznałem na 41 z 656 stron (6,3%). To nie znaczy, że pozostałe strony nie mają banera. Własne banery, banery wbudowane w platformy i narzędzia ładowane przez Google Tag Manager są dla tej metody niewidoczne. Dlatego nie wyciągam z tych liczb wniosków o zgodności z przepisami.

Porównanie z Polską

Tego samego dnia tymi samymi testami sprawdziłem 1000 najpopularniejszych domen .pl (wyniki). Wskaźniki DNS dobrze się porównują, bo na obu listach obejmują prawie każdą domenę. Gorzej jest ze wskaźnikami stron głównych: listy z ZEA i Arabii Saudyjskiej sięgają głębiej w ranking (do miejsca 835 367, wobec 136 495 w Polsce), a 344 z 1000 tamtejszych stron głównych nie dało się przeanalizować z Polski, wobec 113 z 1000 polskich. Wskaźniki stron głównych traktuj więc jako porównanie przybliżone.

• HSTS, ZEA i Arabia Saudyjska62,6%408 z 652
• HSTS, Polska46,0%406 z 882
• CSP, ZEA i Arabia Saudyjska42,7%280 z 656
• CSP, Polska24,5%217 z 887

HSTS liczony na stronach działających na HTTPS, CSP na wszystkich przeanalizowanych stronach głównych. Oba pomiary z 24 września 2026 r., tymi samymi testami.

Ocenę F w teście nagłówków dostaje też mniej stron z ZEA i Arabii Saudyjskiej: 134 z 656 (20,4%), wobec 290 z 887 (32,7%) w Polsce. Polska wyprzedza je w TLS 1.3 (833 z 953 domen, czyli 87,4%, wobec 620 z 834, czyli 74,3%) i w rekordach CAA (192 z 999, czyli 19,2%, wobec 99 z 994, czyli 10,0%). W DMARC różnica jest mniejsza: maile z podrobionym nadawcą blokuje 50,6% domen z ZEA i Arabii Saudyjskiej i 46,1% polskich.

Co to znaczy dla Twojej firmy

Jeśli te ustawienia bywają pominięte na najpopularniejszych stronach w regionie, łatwo je przeoczyć także na mniejszej. Każdy z poniższych testów trwa minutę i nie wymaga dostępu do serwera.

1. Poczta. Sprawdź domenę testem SPF, DKIM i DMARC. Jeśli nie masz DMARC albo masz p=none, przejdź na quarantine krok po kroku, jak w artykule SPF, DKIM i DMARC po ludzku. To ochrona przed fałszywymi fakturami wysyłanymi z Twojej domeny.
2. Szyfrowanie. Test certyfikatu SSL pokaże ważność certyfikatu, przekierowanie na HTTPS i wersje TLS. Jeśli strona stoi za Cloudflare, minimalną wersję TLS zmienisz w panelu: SSL/TLS, Edge Certificates, Minimum TLS Version. Ustaw TLS 1.2.
3. Nagłówki. Test nagłówków pokaże, czego brakuje. Gotowe zlecenie dla programisty jest w artykule o nagłówkach bezpieczeństwa: zacznij od HSTS z krótkim czasem ważności i CSP w trybie Report-Only.
4. security.txt. Opublikuj plik /.well-known/security.txt z polami Contact i Expires. To kilka linijek tekstu.
5. Oprogramowanie. Zaktualizuj CMS i wtyczki, a numery wersji usuń z nagłówków serwera. Przy WordPressie pomoże artykuł o nieaktualnych wtyczkach.
6. Skrypty i zgody. Test cookies przed zgodą pokaże, czy strona główna zapisuje cookies śledzące albo ładuje narzędzia analityczne i reklamowe, zanim odwiedzający wyrazi zgodę.

Przepisy o ochronie danych w obu krajach wymagają odpowiednich środków technicznych chroniących dane osobowe: w ZEA art. 20 dekretu federalnego z mocą ustawy nr 45 z 2021 r., w Arabii Saudyjskiej art. 19 ustawy o ochronie danych osobowych (Personal Data Protection Law). Żaden z nich nie wymienia DMARC ani HSTS, ale to ustawienia, które każdy może sprawdzić z zewnątrz. Czego każda z ustaw wymaga od strony firmowej, wyjaśniam w artykułach o ZEA i o Arabii Saudyjskiej. Jeśli dostarczasz usługi firmom w UE, o te same ustawienia zapytają w ankietach dla dostawców, które wynikają z NIS2: zobacz NIS2 a strona Twojej firmy.

Metodologia

Lista domen. Ranking Tranco, lista L5PV4, wygenerowana 23 września 2026 r. o 22:00 UTC z danych z 30 dni (od 25 sierpnia do 23 września 2026 r.) pięciu dostawców: Chrome UX Report, Farsight, Majestic, Cloudflare Radar i Cisco Umbrella. Tranco to ranking stworzony do badań naukowych i odporny na manipulacje. Wziąłem pierwsze 500 domen kończących się na .ae i pierwsze 500 kończących się na .sa w kolejności rankingu, razem z domenami w gov.ae, com.sa i innych domenach drugiego poziomu. W pierwszym milionie Tranco jest 744 domen .ae, a wybrane 500 zajmuje w nim miejsca od 3319 do 705 110. Domen .sa jest tam 548, a wybrane 500 zajmuje miejsca od 1245 do 835 367. Domen z krajowymi rozszerzeniami zapisanymi pismem arabskim nie uwzględniłem. Tranco szereguje domeny, nie strony, więc na listach są też domeny techniczne (CDN, reklamy, pomiary) bez strony głównej.

Czas i miejsce. 24 września 2026 r.: lista .sa od 07:32 do 07:39 UTC (od 10:32 do 10:39 w Rijadzie), lista .ae od 07:43 do 07:47 UTC (od 11:43 do 11:47 w ZEA), z jednego łącza w Polsce. Zapytania DNS szły do publicznych serwerów 1.1.1.1 i 8.8.8.8. Każde żądanie HTTP przedstawiało się jako ShieldWaveResearch/1.0 z adresem shieldwave.io; nie udawałem przeglądarki.

Co dokładnie wysłałem. Dla każdej domeny tylko:

1. zapytania DNS: adresy, MX, TXT (SPF i DMARC), CAA,
2. jedną wizytę na stronie głównej (https://, a gdy nie odpowiadało, http://; najwyżej 5 przekierowań),
3. jedno żądanie http://, żeby sprawdzić przekierowanie na HTTPS,
4. uzgodnienia TLS na porcie 443: jedno pełne i cztery próby wersji (1.0, 1.1, 1.2 i 1.3),
5. jedno żądanie /.well-known/security.txt.

Nic więcej: żadnego szukania plików, paneli administracyjnych czy kopii zapasowych, żadnych formularzy, logowań ani ładunków testowych.

Te same testy co w darmowych narzędziach. Wyniki policzył ten sam kod, który działa w darmowych narzędziach ShieldWave (test certyfikatu, poczty, nagłówków i cookies), w wersji z commita 8db196d. Każdy może więc sprawdzić swoją domenę dokładnie tą samą miarą.

Mianowniki i wyłączenia. Każda liczba ma własny mianownik, bo nie każdy test daje odpowiedź dla każdej domeny. Z Polski udało się przeanalizować 656 z 1000 stron głównych: 346 z 500 w ZEA i 310 z 500 w Arabii Saudyjskiej. Z pozostałych domen 178 w ogóle nie odpowiedziało po HTTP (61 .ae, 117 .sa), 144 odpowiedziały ścianą antybotową albo blokadą, na przykład kodem 403 (84 .ae, 60 .sa), a 22 zwróciły inny błąd (9 .ae, 13 .sa). Większość domen .sa, które nie odpowiedziały, ma adres w DNS, ale połączenia po https i po http kończą się przekroczeniem czasu. Tak wygląda blokowanie ruchu z zagranicy, choć przyczyny nie umiem udowodnić. Te liczby opisują miejsce, z którego mierzyłem, a nie bezpieczeństwo tych stron. Wyłączone domeny nie wchodzą do wskaźników strony (nagłówki, HTML, security.txt, przekierowanie) i nie są uznawane za niebezpieczne, ale zostają we wskaźnikach DNS, poczty i TLS, które od strony nie zależą. Wskaźniki DNS liczą tylko domeny, dla których odpowiedź była jednoznaczna (dla DMARC to 987 z 1000: test poczty 10 domen .sa przekroczył czas na wolnych serwerach nazw).

Definicje. DMARC odkładający do spamu albo odrzucający to własny rekord domeny z p=quarantine albo p=reject oraz pct=100 albo bez pct. Rekord odziedziczony po domenie nadrzędnej się nie liczy. HSTS liczę tylko na stronach, które kończą się na HTTPS, a CSP tylko w trybie wymuszanym. security.txt liczę, gdy odpowiedź ma kod 200 i pole Contact:; strona HTML nigdy się nie liczy.

Ograniczenia.

• Tylko strona główna, jedna wizyta, stan z jednego dnia. Podstrony mogą wysyłać inne nagłówki.
• Bez JavaScriptu: skrypty i platformy zgód odczytuję z kodu HTML. Nie widzę, co ładuje Google Tag Manager ani co skrypty zapisują później.
• Wiele wyników to ustawienia domyślne sieci CDN albo hostingu (TLS 1.0 w Cloudflare, nagłówki dodawane albo nie na brzegu sieci).
• Strony, które zablokowały wizytę, wypadły ze wskaźników strony. Mogą się różnić od tych, które zostały.
• security.txt to dolna granica, bo przekierowań nie śledziłem.
• Rozpoznawanie platform to dolna granica (59,3% stron bez rozpoznanej platformy).
• DKIM nie jest raportowany.
• Pomiar z Polski: strony, które pokazują co innego w zależności od kraju odwiedzającego, mogą pokazywać coś innego odwiedzającym z Zatoki Perskiej.

Powtarzalność i kontrola. Listę .ae zebrałem też w pierwszym pełnym przebiegu około kwadransa wcześniej. Nie publikuję go, bo po nim poprawiłem kod zbierający dane. Mediana różnic między przebiegami we wszystkich wskaźnikach wyniosła 0,0 punktu procentowego, a 90. percentyl 0,4. Żaden wskaźnik z mianownikiem co najmniej 100 nie przesunął się o więcej niż 1,1 punktu. Większe przesunięcia, do 6,3 punktu, dotyczyły mianowników poniżej 60, dlatego w tym artykule małe grupy mają same liczby bez procentów. Listę .sa zebrałem raz, poprawionym kodem. Osobno sprawdziłem innymi narzędziami 36 losowo wybranych domen (8 .ae, 8 .sa i 20 .pl): DMARC i SPF przez inny serwer DNS (9.9.9.9), HSTS i nagłówek Server przez curl, TLS 1.0 przez openssl, security.txt przez curl. We wszystkich 216 porównaniach wynik był ten sam.

Dane. Surowych danych nie publikuję, bo zawierają nazwy domen. Do pobrania są wskaźniki zbiorcze, każdy z licznikiem, mianownikiem, odsetkiem i opisem populacji, na licencji CC BY 4.0: gulf-2026-09.csv i gulf-2026-09.json. Obejmują oba kraje razem. Liczby dla poszczególnych krajów w tym artykule pochodzą z tego samego przebiegu, policzone osobno tym samym kodem. Pomiar da się powtórzyć: lista Tranco jest publiczna, a każdy test działa w darmowych narzędziach ShieldWave.

Jak cytować

Krótko: Źródło: ShieldWave, pomiar 500 najpopularniejszych domen .ae i 500 najpopularniejszych domen .sa z 24 września 2026 r., https://shieldwave.io/blog/uae-saudi-websites-security-2026/

Pełny opis: Radosław Fedorczuk (ShieldWave, ENSOMEDIA), „Jak zabezpieczone są popularne strony w ZEA i Arabii Saudyjskiej? Pomiar 1000 domen .ae i .sa (wrzesień 2026)”, 24 września 2026 r., https://shieldwave.io/blog/uae-saudi-websites-security-2026/. Dane zbiorcze na licencji CC BY 4.0.

Pytania o metodę albo dane: support@shieldwave.io.