波兰最热门的网站防护得怎么样？实测 1000 个 .pl 域名（2026 年 9 月）
2026 年 9 月 24 日，我检查了最热门的 1000 个 .pl 域名。不到一半的域名能防止邮件伪造，四个首页里只有一个启用了 CSP。
我取了 Tranco 排名中的前 1000 个 .pl 域名（这是一份为研究而编制的列表），并在 2026 年 9 月 24 日上午从外部对它们做了检查，视角就是普通访问者或邮件服务器看到的样子。测量是被动的：DNS 查询、对每个首页的一次访问，以及每个域名的几次 TLS 连接，没有漏洞扫描，也没有登录尝试。结果由 ShieldWave 免费工具里运行的同一批检查统计得出。我不会点出任何一个域名。
主要发现
- 2026 年 9 月 24 日，在最热门的 997 个 .pl 域名中，有 460 个（46.1%）设置了 DMARC 策略，要求接收邮件的服务器拒绝或隔离伪造该域名的邮件。在接收邮件的域名（有 MX 记录）中，这一比例是 927 个中的 445 个（48.0%）。
- 在 2026 年 9 月 24 日的测量中，通过 HTTPS 提供服务的 882 个波兰热门首页里，有 406 个（46.0%）发送了 HSTS 头，887 个中有 217 个（24.5%）强制执行内容安全策略（Content-Security-Policy）。
- 2026 年 9 月，952 个热门 .pl 域名中仍有 230 个（24.2%）接受 TLS 1.0 连接。这 230 个里，有 149 个通过 Cloudflare 提供服务，在所有者提高最低版本之前，Cloudflare 会接受 TLS 1.0。
- 997 个域名中，有 274 个（27.5%）完全没有 DMARC 记录，另有 248 个（24.9%）设为
p=none，什么也不拦截。 - 在安全头检查中，887 个首页里有 20 个（2.3%）拿到最高等级 A，290 个（32.7%）拿到最低等级 F。
- 在 881 个网站中，至少有 78 个（8.9%）放有 security.txt 文件，用来告诉研究人员向哪里报告漏洞。
- 在 46 个在响应头里写明 PHP 版本的网站中，有 26 个运行的版本已不再获得任何修复，其中 11 个是 PHP 5。
邮件：谁能以你的域名发信
要给客户发一张假发票，只需要一封“发件人”栏里写着你公司地址的伪造邮件。有三条 DNS 记录可以防范：SPF、DKIM 和 DMARC，我在 SPF、DKIM 和 DMARC 详解里讲过。起决定作用的是 DMARC：它告诉接收邮件的服务器，对一封自称来自你、却通不过检查的邮件，该怎么处理。
SPF 几乎到处都有：999 个域名中有 915 个（91.6%）设置了。不过，SPF 本身并不检查收件人看到的“发件人”栏里的地址。只有 DMARC 检查，而这里的数字就低了。
DNS 回答明确的域名。只计算域名自己的记录。
所以，997 个域名中有 460 个（46.1%）能拦截伪造。在有 MX 记录、即接收邮件的域名中，这一比例是 927 个中的 445 个（48.0%）。其余的要么没有 DMARC，要么记录只做监控。伪造邮件之后能不能进入收件箱，就完全取决于接收方自己的过滤器。
p=none 不是错误，而是推荐的第一步：域名收集报告，所有者能看到谁在以它的名义发信。在 723 条 DMARC 记录中，有 622 条（86.0%）写了接收汇总报告的地址（rua）。不过，保护只有从 quarantine 或 reject 才开始。在有 DMARC 的域名中，三种设置的占比几乎相当：723 个中，p=none 有 248 个（34.3%），quarantine 有 263 个（36.4%），reject 有 212 个（29.3%）。
SPF 的一些较小问题：915 条记录中有 12 条（1.3%）需要的 DNS 查询超过标准允许的 10 次，有两个域名发布了两条 SPF 记录而不是一条，还有一个域名的记录以 +all 结尾，这等于允许任何服务器以它的名义发信。
我没有报告 DKIM。发布 DKIM 密钥所用的选择器，无法通过 DNS 列出，所以“未找到”只意味着“不在常见名称之下”。
加密：HTTPS、HSTS 和 TLS
HTTPS 本身已经是标配。差别在于与它配套的东西：HSTS 头、旧的 TLS 版本和 CAA 记录。
| 检查项 | 结果 | 占比 |
|---|---|---|
| 首页能从 https:// 地址加载 | 887 个中的 882 个 | 99.4% |
| 证书有效、受信任且与域名匹配 | 953 个中的 919 个 | 96.4% |
| http:// 跳转到 https:// | 891 个中的 827 个 | 92.8% |
| 其中使用永久跳转（301 或 308） | 891 个中的 728 个 | 81.7% |
| HSTS 头 | 882 个中的 406 个 | 46.0% |
| HSTS 有效期至少一年 | 882 个中的 268 个 | 30.4% |
| 支持 TLS 1.3 | 953 个中的 833 个 | 87.4% |
| 接受 TLS 1.0 连接 | 952 个中的 230 个 | 24.2% |
| CAA 记录 | 999 个中的 192 个 | 19.2% |
各行的分母不同，因为每一行只统计该项检查得到了回答的域名。细节见“方法”一节。
HSTS 是一个响应头，告诉浏览器在设定的时间内，对该域名只使用 HTTPS。没有它，每一次输入不带 https:// 的地址的访问，都会先建立一个未加密的连接，再由服务器跳转，而在别人的 Wi-Fi 上，这个连接可能被截获。在通过 HTTPS 提供服务的首页中，882 个里有 406 个（46.0%）发送 HSTS，其中 268 个（30.4%）的有效期达到推荐的至少一年。
TLS 1.0 和 1.1 是加密协议的旧版本。浏览器在 2020 年关闭了它们，IETF 在 2021 年正式弃用了它们（RFC 8996）。952 个域名中仍有 230 个（24.2%）接受 TLS 1.0。使用当前浏览器的访问者无论如何都会通过 TLS 1.2 或 1.3 连接，所以这不是接管网站的途径。但它确实意味着，只要被要求，服务器就同意使用过时的加密，而审计人员和供应商安全问卷都要求关闭旧版本。
在这 230 个域名中，有 149 个（64.8%）通过 Cloudflare 提供服务。Cloudflare 默认接受 TLS 1.0，只有在所有者于控制台里提高最低版本之后才会停止。另外 81 个，是在自己的服务器或其他服务商那里接受 TLS 1.0。
CAA 是一条 DNS 记录，列出允许为该域名签发证书的证书颁发机构，其他机构则必须拒绝。999 个域名中，有 192 个（19.2%）设置了它。
安全头
安全头，是服务器随页面一起发给浏览器的几行指令。我在网站安全头：它们是什么，该向开发者要求什么里作了介绍。下面是它们在首页上出现的频率（HSTS 在加密一节中）：
| 响应头 | 首页数 | 占比 |
|---|---|---|
| Content-Security-Policy（强制执行） | 887 个中的 217 个 | 24.5% |
限制嵌入框架（X-Frame-Options 或 frame-ancestors） |
887 个中的 422 个 | 47.6% |
| X-Content-Type-Options: nosniff | 887 个中的 381 个 | 43.0% |
| Referrer-Policy | 887 个中的 243 个 | 27.4% |
| Permissions-Policy | 887 个中的 98 个 | 11.0% |
另有 26 个首页（2.9%）的 CSP 只处于 Report-Only 模式，浏览器不会拦截任何东西。
免费的安全头检查工具（英文）会按 A 到 F 给它们评级。每个响应头得一个字母，HSTS 和 CSP 算两次，其他的算一次，取平均值得出最终等级。本研究用的就是这套标准。
ShieldWave 免费响应头检查工具的评分标准。HSTS 和 CSP 算两次，其他响应头算一次。
得 F，不等于网站有漏洞，得 A，也不保证没有漏洞。响应头是第二道防线：别处出问题时，它们限制损失。缺少响应头，通常意味着服务器用的是不会添加它们的默认配置。往往是 CDN 或插件后来才加上。
同一天，我用同样的方法测量了最热门的 500 个 .ae 域名和 500 个 .sa 域名（阿联酋和沙特阿拉伯）。它们的首页更常见到 CSP（656 个中的 280 个，42.7%）和 HSTS（652 个中的 408 个，62.6%）。这个比较只是粗略的：那些列表延伸到排名更靠后的位置，而且那边的 1000 个首页中，有 344 个无法从波兰进行分析。细节见那次测量的报告。
平台与过时的软件
在四个首页中，我能识别出其中一个的平台。884 个首页中，有 663 个（75.0%）我没有发现任何已知平台的痕迹：它们要么是定制开发的网站，要么不透露自己运行在什么之上。因此，下面的占比只是下限。
WordPress 运行着 884 个首页中的 101 个（11.4%）。其后是 Drupal（25 个）、Magento（21 个）和 TYPO3（13 个）。波兰本土的网店平台（IdoSell、Shoper、AtomStore 和 RedCart）合计运行着 12 个。
在这 101 个中，有 54 个能看到 WordPress 版本。数字很小，所以我只给出个数：
- 54 个中有 28 个不是最新版本 7.1.2，
- 22 个使用的分支比 7.1 更旧，
- 18 个不是自己所在分支的最新版本，因此缺少该分支已经发布的安全修复，
- 能看到的最旧版本是 WordPress 3.5.1，来自 2013 年。
887 个首页中，只有 46 个在响应头里写明了 PHP 版本，所以这描述的是这 46 个，而不是整个网络。其中 26 个运行的分支已不再获得任何修复（8.1 及更早），其中 11 个是 PHP 5，它的最后一个分支在 2018 年底失去了支持。另有 12 个只获得安全修复（8.2 和 8.3），8 个仍获得完整支持（8.4 和 8.5）。
887 个首页中，有 74 个（8.3%）的响应头里带着含版本号的服务器名称，例如 Apache/2.4.41。透露版本本身不是漏洞，但它缩小了适用的已知缺陷的范围。
这项研究里我没有检查插件。如果你的网站运行在 WordPress 上，请从过时的 WordPress 插件：先更新什么，删除什么开始。
security.txt：向哪里报告漏洞
文件 /.well-known/security.txt（RFC 9116）给出一个地址，安全研究人员发现漏洞后可以向这里报告。没有它，报告会发到一个通用的联系邮箱，或者无处可去。
我在 881 个网站中的 78 个（8.9%）找到了带有 Contact: 字段的这个文件。这是下限：另有 41 个网站的回答是跳转到另一个地址上的 security.txt 文件，而我没有跟随跳转。即使它们全都指向有效的文件，也只有 881 个中的 119 个（13.5%）。在这 78 个文件中，有 55 个带有标准要求的 Expires 字段。
跟踪器与同意管理平台
这一部分只做描述。没有运行 JavaScript，所以我只能看到首页 HTML 里点了名的工具。它们是否运行、何时运行，我无从得知：脚本可能在等访问者同意，而且 Google Tag Manager 可以加载页面代码里没有的工具。
任何形式：脚本、安装代码片段或单独的调用。出现在代码里，并不能说明该工具是否在同意之前就已运行。
884 个首页中，有 572 个（64.7%）的代码里出现 Google Analytics 或 Google Tag Manager。波兰的受众测量系统 Gemius 出现在 884 个中的 109 个（12.3%）。默认拒绝的 Google 同意模式（Consent Mode，在这种模式下，Google 的工具在获得同意之前不使用 Cookie 工作）出现在 884 个首页中的 103 个（11.7%）。
已知的同意管理平台，例如 Cookiebot、OneTrust、Didomi 或使用 IAB TCF 框架的平台，出现在 884 个首页中的 293 个（33.1%）。这并不意味着其余的首页没有同意横幅。自定义的横幅、内置于网店平台的横幅，以及通过 Google Tag Manager 加载的工具，这种方法都看不到，所以我不会根据这些数字，对法律合规作出任何结论。
这对你的公司意味着什么
如果这些设置在全国一些最热门的网站上都缺失，那么在较小的网站上也容易被忽略。下面每项检查只需要一分钟，不需要访问你的服务器。
- **邮件。**运行 SPF、DKIM 和 DMARC 检查（英文）。如果没有 DMARC，或者是
p=none，按照 SPF、DKIM 和 DMARC 详解里的方法，逐步切换到quarantine。它能防范以你的域名发出的假发票。 - 加密。SSL 证书检查（英文）会显示证书、HTTPS 跳转和 TLS 版本。如果你的网站在 Cloudflare 后面，在控制台的 SSL/TLS、Edge Certificates、Minimum TLS Version 里修改最低版本。设为 TLS 1.2。
- 响应头。安全头检查（英文）会显示缺了什么。网站安全头里有一份可以直接交给开发者的说明：先从 max-age 较短的 HSTS 和
Report-Only模式的 CSP 做起。 - **security.txt。**发布带有
Contact和Expires字段的/.well-known/security.txt。只有几行文字。 - **软件。**更新 CMS 和插件，并把服务器响应头里的版本号去掉。WordPress 请见过时的 WordPress 插件。
- 跟踪器与同意。同意之前的 Cookie 检查（英文）会显示你的首页是否在访问者同意之前就设置了跟踪 Cookie，或加载了分析和广告工具。如果你是数据保护官，也请见数据保护官不靠 IT 部门，能查客户网站的哪些地方。
如果你的客户受 NIS2 约束，他们的供应商问卷问的就是同样这些设置。NIS2 与你的网站讲了如何准备。
方法
**域名。**Tranco 列表 L5PV4，生成于 2026 年 9 月 23 日 22:00 UTC，基于 5 家数据提供方 30 天的数据（2026 年 8 月 25 日至 9 月 23 日）：Chrome UX Report、Farsight、Majestic、Cloudflare Radar 和 Cisco Umbrella。Tranco 是为研究而构建的排名，能抵御人为操纵。我按排名顺序取了前 1000 个以 .pl 结尾的域名，包括 com.pl、gov.pl 和 edu.pl 这类二级域名。前一百万名中共有 9214 个 .pl 域名；选中的这 1000 个，排名从 667 到 136495。Tranco 排的是域名，不是网站，所以这份列表里也有没有首页的技术性域名（CDN、广告和测量主机）。
**时间与地点。**2026 年 9 月 24 日 07:39 至 07:43 UTC（波兰时间 09:39 至 09:43），在波兰的一个网络连接上进行。DNS 查询发往公共解析器 1.1.1.1 和 8.8.8.8。每个 HTTP 请求都自报为 ShieldWaveResearch/1.0，并附有指向 shieldwave.io 的链接，没有假装是浏览器。
**发送了什么。**每个域名只发送：
- DNS 查询：地址、MX、TXT（SPF 和 DMARC）、CAA，
- 一次首页访问（https://，若 https 无响应则用 http://；最多 5 次跳转），
- 一次普通的 http:// 请求，看它是否跳转到 https，
- 443 端口上的 TLS 握手：一次完整握手和四次版本探测（1.0、1.1、1.2 和 1.3），
- 一次对
/.well-known/security.txt的请求。
此外没有别的：不探测文件、管理面板或备份，也不涉及表单、登录或测试载荷。
**与免费工具相同的检查。**结果由运行 ShieldWave 免费工具（证书、邮件、响应头和 Cookie）的同一份代码计算得出，版本为提交 8db196d。任何人都可以用同样的标准检查自己的域名。
**分母与排除项。**每个数字都有自己的分母，因为并非每个域名对每项检查都有回答。1000 个域名中，有 887 个首页可以分析。其余的里，38 个域名没有 HTTP 响应（其中 13 个在 DNS 里根本没有地址），52 个以防机器人的拦截页或 403 之类的阻止来回应，23 个返回了其他错误。这 113 个不计入首页相关的数字（响应头、HTML、security.txt、跳转），但仍计入不依赖页面的 DNS、邮件和 TLS 数字。DNS 数字只统计明确的回答（DMARC 是 1000 个中的 997 个）。
**定义。**能拦截伪造的 DMARC 策略，指域名自己的记录为 p=quarantine 或 p=reject，且 pct=100 或没有 pct。从上级域名继承的记录不算。HSTS 只在最终落到 HTTPS 的首页上统计，CSP 只在强制执行时统计。security.txt 只有在回答为 200 且带有 Contact: 字段时才算数；HTML 页面不算。
局限。
- 只看首页，一次访问，一天。其他页面可能发送不同的响应头。
- 没有 JavaScript：跟踪器和同意工具是从 HTML 里读到的。我看不到 Google Tag Manager 加载了什么，也看不到脚本之后存储了什么。
- 许多结果反映的是 CDN 或主机的默认设置（Cloudflare 上的 TLS 1.0，在边缘节点添加或不添加响应头）。
- 拦截了自动化访问的网站，缺席首页的数字，它们可能与留下来的网站不同。
- security.txt 是下限，因为没有跟随跳转。
- 平台识别是下限（75.0% 的首页未能识别）。
- 没有报告 DKIM。
- 从波兰测量：随访问者位置而变化的网站，在别处看起来可能不同。
**可重复性与核对。**大约一刻钟之前，我对同一份列表做过第一轮完整的测量。我不公布它，因为在那之后我修正了对 Gemius 的识别。除 Gemius 的数字外，250 项指标在两次运行之间的差异都没有超过 0.9 个百分点，差异的中位数是 0.0。另外，我用其他工具重新测量了随机选出的 36 个域名，其中 20 个来自波兰的列表：DMARC 和 SPF 通过另一个解析器（9.9.9.9），HSTS 和 Server 响应头用 curl，TLS 1.0 用 openssl，security.txt 用 curl。全部 216 次对比结果一致。
**数据。**我不公布原始数据，因为它点出了具体的网站。所有汇总数字，每个都带分子、分母、百分比和总体，可按 CC BY 4.0 免费下载：pl-2026-09.csv 和 pl-2026-09.json。这次测量可以重复：Tranco 列表是公开的，每一项检查都在 ShieldWave 的免费工具里运行。
如何引用
简短：来源：ShieldWave，对最热门的 1000 个 .pl 域名的测量，2026 年 9 月 24 日，https://shieldwave.io/blog/polish-websites-security-2026-zh/
完整：Radosław Fedorczuk（ShieldWave，ENSOMEDIA），“波兰最热门的网站防护得怎么样？实测 1000 个 .pl 域名（2026 年 9 月）”，2026 年 9 月 24 日，https://shieldwave.io/blog/polish-websites-security-2026-zh/。汇总数据采用 CC BY 4.0 协议。
对方法或数据有疑问：support@shieldwave.io。