阿联酋和沙特的热门网站防护得如何？实测 1000 个 .ae 和 .sa 域名（2026 年 9 月）
2026 年 9 月 24 日，我检查了最热门的 500 个 .ae 域名和 500 个 .sa 域名。约一半的域名防范了邮件伪造，21.9% 仍接受 TLS 1.0。
我取了 Tranco 排名（一份为研究而建的列表）中前 500 个以 .ae 结尾的域名和前 500 个以 .sa 结尾的域名，在 2026 年 9 月 24 日上午从外部对它们做了检查，视角和任何访客或邮件服务器看到的一样。测量是被动的：DNS 查询、对每个首页的一次访问，以及每个域名的几次 TLS 连接，没有漏洞扫描，也没有尝试登录。结果由 ShieldWave 免费工具中运行的同一套检查统计得出。我不点名任何一个域名。
我是从波兰进行测量的。在这 1000 个域名中，有 344 个的首页对我的请求没有响应、显示了机器人验证或返回了错误。这些首页不计入页面相关的数据，也不算作不安全，原因见方法部分。
主要发现
- 2026 年 9 月 24 日，987 个热门 .ae 和 .sa 域名中有 499 个（50.6%）的 DMARC 策略要求收件邮件服务器拒收或隔离伪造邮件：阿联酋 498 个中的 234 个（47.0%），沙特阿拉伯 489 个中的 265 个（54.2%）。
- 在 2026 年 9 月 24 日的测量中，通过 HTTPS 提供的 652 个阿联酋和沙特热门首页中，有 408 个（62.6%）发送了 HSTS 标头，656 个中有 280 个（42.7%）强制执行了内容安全策略（Content-Security-Policy）。
- 2026 年 9 月，832 个阿联酋和沙特热门域名中有 182 个（21.9%）仍接受 TLS 1.0 连接。这 182 个中，101 个通过 Cloudflare 提供服务，而 Cloudflare 在所有者提高最低版本之前会一直接受 TLS 1.0。
- 发布了 DMARC 的沙特域名大多选择最严格的设置：沙特 363 条记录中有 232 条（63.9%）为
p=reject，阿联酋为 368 条中的 139 条（37.8%）。 - 987 个域名中有 256 个（25.9%）完全没有 DMARC 记录，另有 198 个（20.1%）设为
p=none，不拦截任何邮件。 - 我在至少 649 个网站中的 41 个（6.3%）上找到了 security.txt 文件，它告诉研究人员向哪里报告漏洞。
- 与对波兰域名所做的同样测量相比，阿联酋和沙特首页发送 HSTS 和 CSP 更频繁，而支持 TLS 1.3 的域名更少。这个比较有局限，见下文。
邮件伪造：DMARC 和 SPF
只要在“发件人”栏里伪造你公司的地址，就足以给客户发一张假发票。三条 DNS 记录可以防范：SPF、DKIM 和 DMARC，我在 SPF、DKIM 和 DMARC 详解中做了说明。起决定作用的是 DMARC：它告诉收件服务器，对声称来自你、却未通过检查的邮件该怎么处理。
SPF 很常见：987 个域名中有 843 个有 SPF（85.4%），阿联酋 497 个中的 426 个（85.7%），沙特阿拉伯 490 个中的 417 个（85.1%）。不过 SPF 本身不会检查收件人在“发件人”栏里看到的地址。只有 DMARC 会。
域名自己的记录为 p=quarantine 或 p=reject，并适用于所有邮件（pct=100 或未设 pct）。统计有明确 DNS 答复的域名。波兰：同一天进行的同样测量。
| DMARC 记录的内容 | 阿联酋 | 沙特阿拉伯 |
|---|---|---|
| 没有 DMARC 记录 | 498 个中的 130 个（26.1%） | 489 个中的 126 个（25.8%） |
p=none：只监控，不拦截 |
498 个中的 126 个（25.3%） | 489 个中的 72 个（14.7%） |
仅对部分邮件 quarantine 或 reject（pct 低于 100） |
498 个中的 8 个（1.6%） | 489 个中的 26 个（5.3%） |
对所有邮件 quarantine 或 reject |
498 个中的 234 个（47.0%） | 489 个中的 265 个（54.2%） |
在接收邮件的域名（有 MX 记录）中，采用拦截策略的比例略高：阿联酋 430 个中的 216 个（50.2%），沙特阿拉伯 426 个中的 253 个（59.4%）。对其余的域名，伪造邮件能否进入收件箱，完全取决于接收方自己的过滤器。
p=none 不是错误，而是推荐的第一步：域名收集报告，所有者能看到谁在以它的名义发邮件。在 731 条 DMARC 记录中，618 条（84.5%）包含接收汇总报告的地址（rua）。不过保护要从 quarantine 或 reject 才开始。发布了 DMARC 的沙特域名大多一步到位：363 条记录中有 232 条（63.9%）为 p=reject。在阿联酋，三种设置比较接近：368 条中 p=none 126 条（34.2%），quarantine 103 条（28.0%），reject 139 条（37.8%）。
沙特名单里有一个细节：26 个域名使用 quarantine 或 reject，但 pct 低于 100，这样策略只适用于未通过检查邮件中的那个比例。
较小的 SPF 缺陷：843 条记录中有 10 条（1.2%）需要的 DNS 查询超过标准允许的 10 次，11 个域名（1.3%）发布了两条 SPF 记录而不是一条，还有一个以 +all 结尾，这会让任何服务器都能以它的名义发邮件。
我不报告 DKIM。发布 DKIM 密钥所用的选择器无法通过 DNS 列出，所以“未找到”只能说明“不在常见名称下”。
加密：HTTPS、HSTS 和 TLS
HTTPS 本身已是标配：656 个已分析的首页中有 652 个（99.4%）从 https:// 地址加载。差别在于随之而来的其他配置。
| 我检查的内容 | 阿联酋 | 沙特阿拉伯 | 合计 |
|---|---|---|---|
| 证书有效、受信任且与名称匹配 | 443 个中的 432 个（97.5%） | 391 个中的 373 个（95.4%） | 834 个中的 805 个（96.5%） |
| http:// 跳转到 https:// | 325 个中的 302 个（92.9%） | 278 个中的 243 个（87.4%） | 603 个中的 545 个（90.4%） |
| HSTS 标头 | 343 个中的 211 个（61.5%） | 309 个中的 197 个（63.8%） | 652 个中的 408 个（62.6%） |
| HSTS 有效期至少一年 | 343 个中的 130 个（37.9%） | 309 个中的 116 个（37.5%） | 652 个中的 246 个（37.7%） |
| 支持 TLS 1.3 | 443 个中的 350 个（79.0%） | 391 个中的 270 个（69.1%） | 834 个中的 620 个（74.3%） |
| 接受 TLS 1.0 连接 | 442 个中的 92 个（20.8%） | 390 个中的 90 个（23.1%） | 832 个中的 182 个（21.9%） |
| CAA 记录 | 498 个中的 46 个（9.2%） | 496 个中的 53 个（10.7%） | 994 个中的 99 个（10.0%） |
各行的分母不同，因为每一行只统计该项检查得到了答复的域名。详情见方法部分。
HSTS 是一个标头，告诉浏览器在设定的时间内只对该域名使用 HTTPS。没有它，每次访问不带 https:// 输入的地址，都会先建立一条未加密的连接，然后服务器才把它跳转过去，在别人的 Wi-Fi 上，这条连接可能被截获。408 个使用 HTTPS 的首页（62.6%）发送了 HSTS，其中 246 个（37.7%）的有效期达到推荐的至少一年。
TLS 1.0 和 1.1 是加密协议的旧版本。浏览器在 2020 年关闭了对它们的支持，IETF 在 2021 年正式弃用了它们（RFC 8996）。832 个域名中仍有 182 个（21.9%）接受 TLS 1.0。使用当前浏览器的访客无论如何都会通过 TLS 1.2 或 1.3 连接，所以这不是接管网站的途径。但这确实意味着，服务器在被要求时同意使用过时的加密，而审计人员和供应商安全问卷会要求关闭旧版本。
这 182 个域名中，101 个（55.5%）通过 Cloudflare 提供服务，Cloudflare 默认接受 TLS 1.0，只有在所有者于控制台中提高最低版本之后才会停止：阿联酋 92 个中的 60 个，沙特阿拉伯 90 个中的 41 个。其余的在自己的服务器上或其他服务商处接受 TLS 1.0。
TLS 1.3 是当前版本，在 834 个域名中的 620 个（74.3%）上可用，阿联酋（443 个中的 350 个，79.0%）比沙特阿拉伯（391 个中的 270 个，69.1%）更常见。
CAA 是一条 DNS 记录，列出获准为该域名签发证书的证书颁发机构，其他机构则必须拒绝。994 个域名中有 99 个（10.0%）有这条记录。
安全标头
安全标头是服务器随页面一起发给浏览器的几行指令。我在网站安全标头：它们是什么，该要求配置什么中做了介绍。下面是它们在首页上出现的频率（HSTS 在加密部分）：
| 标头 | 阿联酋 | 沙特阿拉伯 | 合计 |
|---|---|---|---|
| Content-Security-Policy（强制执行） | 346 个中的 150 个（43.4%） | 310 个中的 130 个（41.9%） | 656 个中的 280 个（42.7%） |
限制嵌入框架（X-Frame-Options 或 frame-ancestors） |
346 个中的 215 个（62.1%） | 310 个中的 195 个（62.9%） | 656 个中的 410 个（62.5%） |
| X-Content-Type-Options: nosniff | 346 个中的 199 个（57.5%） | 310 个中的 186 个（60.0%） | 656 个中的 385 个（58.7%） |
| Referrer-Policy | 346 个中的 103 个（29.8%） | 310 个中的 98 个（31.6%） | 656 个中的 201 个（30.6%） |
| Permissions-Policy | 346 个中的 61 个（17.6%） | 310 个中的 45 个（14.5%） | 656 个中的 106 个（16.2%） |
另有 12 个首页（1.8%）的 CSP 只处于 Report-Only 模式，该模式下浏览器不拦截任何东西。
免费的安全标头检查（英文）按 A 到 F 评级。每个标头得一个字母，HSTS 和 CSP 计两次，其他计一次，取平均得出最终等级。本研究使用的正是这个标准。
ShieldWave 免费标头检查的评分标准。HSTS 和 CSP 计两次，其他标头计一次。
得 F 并不意味着网站有漏洞，得 A 也不保证没有漏洞。标头是第二道防线：在其他环节失守时限制损害。缺少标头通常说明服务器采用的是不添加它们的默认配置。往往是 CDN 或某个插件之后才把它们加上。
平台与过期软件
在 656 个首页中，我识别出了 267 个的平台。其余 389 个（59.3%）要么是定制开发，要么不透露自己运行在什么上，所以下面的占比是下限。
WordPress 运行着 656 个首页中的 88 个（13.4%）：阿联酋 346 个中的 55 个，沙特阿拉伯 310 个中的 33 个。其后是 Drupal（31）、Microsoft SharePoint（28）、Shopify（27）、Sitecore（23）和 Magento（15）。
88 个中有 58 个能看到 WordPress 版本。数字很小，所以我只给出数量：
- 58 个中有 30 个不是最新版本 7.1.2，
- 25 个使用的分支早于 7.1，
- 18 个不是其所在分支的最新版本，因此缺少该分支已发布的安全修复。
656 个首页中只有 34 个在标头里写明了 PHP 版本，所以这描述的是这 34 个，而不是整个网络。其中 16 个运行已不再获得任何修复的分支（8.1 及更早），13 个只获得安全修复（8.2 和 8.3），5 个获得完整支持（8.4 和 8.5）。
656 个首页中有 60 个（9.1%）的标头里显示带版本号的服务器名称；这 60 个中有 34 个是 Microsoft IIS。披露版本本身不是漏洞，但它缩小了适用的已知缺陷的范围。
我在这项研究中没有检查插件。如果你的网站运行在 WordPress 上，先看过期的 WordPress 插件：先更新什么，删除什么。
security.txt：向哪里报告漏洞
文件 /.well-known/security.txt（RFC 9116）给出一个地址，安全研究人员可以向那里报告他们发现的漏洞。没有它，报告会发到一个通用联系地址，或者哪里都到不了。
我在 649 个网站中的 41 个（6.3%）上找到了带 Contact: 字段的文件：阿联酋 345 个中的 16 个（4.6%），沙特阿拉伯 304 个中的 25 个（8.2%）。这是下限：另有 21 个网站用跳转指向了另一个地址上的 security.txt 文件，而我没有跟随跳转。41 个文件中，有 32 个带有标准要求的 Expires 字段。
跟踪器与同意管理平台
这一部分只是描述性的。没有运行任何 JavaScript，所以我只能看到首页 HTML 里点名的工具。它们是否运行、何时运行，我无法判断：脚本可能在等待访客同意，而 Google Tag Manager 可以加载页面代码里没有的工具。
以任何形式出现：脚本、安装代码片段或单独的调用。代码中有它，并不能说明该工具是否在同意之前运行。
656 个首页中，有 395 个（60.2%）的代码里出现了 Google Analytics 或 Google Tag Manager。默认拒绝的 Google 同意模式（Consent Mode，在同意之前 Google 的工具不使用 Cookie 运行）出现在 656 个首页中的 12 个（1.8%）上。
656 个首页中有 41 个（6.3%）出现了已知的同意管理平台，例如 OneTrust、CookieYes 或 TrustArc。这并不意味着其余的没有同意横幅。自定义横幅、内置于某个平台的横幅，以及通过 Google Tag Manager 加载的工具，这种方法都看不到，所以我不根据这些数字对法律合规性下任何结论。
与波兰对比
同一天，我用同样的检查测量了最热门的 1000 个 .pl 域名（结果）。DNS 方面的数据比较起来比较可靠，因为在两份名单中，它们几乎覆盖每一个域名。首页数据则差一些：海湾名单的排名延伸得更靠后（到第 835,367 名，波兰为第 136,495 名），而且 1000 个海湾首页中有 344 个无法从波兰分析，波兰名单则是 1000 个中的 113 个。首页数据只能当作粗略的比较。
HSTS 统计通过 HTTPS 提供服务的首页，CSP 统计所有已分析的首页。两者均于 2026 年 9 月 24 日用同样的检查测量。
在标头检查中得 F 的阿联酋和沙特首页也更少：656 个中的 134 个（20.4%），波兰为 887 个中的 290 个（32.7%）。波兰在 TLS 1.3（953 个域名中的 833 个，87.4%，对比 834 个中的 620 个，74.3%）和 CAA 记录（999 个中的 192 个，19.2%，对比 994 个中的 99 个，10.0%）上领先。在 DMARC 上差距较小：阿联酋和沙特域名中有 50.6%、波兰域名中有 46.1% 会拦截伪造邮件。
这对你的公司意味着什么
如果这些设置在该地区一些最热门的网站上都缺失，那么在较小的网站上同样容易被忽略。下面每项检查只需一分钟，不需要访问你的服务器。
- 邮件。 运行 SPF、DKIM 和 DMARC 检查（英文）。如果没有 DMARC 或为
p=none，按照 SPF、DKIM 和 DMARC 详解中的说明，逐步过渡到quarantine。它能防范以你的域名发出的假发票。 - 加密。 SSL 证书检查（英文）会显示证书、HTTPS 跳转和 TLS 版本。如果你的网站在 Cloudflare 后面，在控制台的 SSL/TLS、Edge Certificates、Minimum TLS Version 下修改最低版本，设为 TLS 1.2。
- 标头。 安全标头检查（英文）会显示缺少什么。网站安全标头里有一份可直接发给开发者的需求说明：从较短 max-age 的 HSTS 和
Report-Only模式的 CSP 开始。 - security.txt。 发布
/.well-known/security.txt，带上Contact和Expires字段。只有几行文本。 - 软件。 更新 CMS 和插件，并从服务器标头中去掉版本号。WordPress 请见过期的 WordPress 插件。
- 跟踪器与同意。 同意前 Cookie 检查（英文）会显示你的首页是否在访客同意之前设置了跟踪 Cookie，或加载了分析和广告工具。
两国的数据保护法都要求采取适当的技术措施来保护个人数据：在阿联酋是 2021 年第 45 号联邦法令第 20 条，在沙特阿拉伯是《个人数据保护法》第 19 条。两者都没有点名 DMARC 或 HSTS，但这些都是任何人从外部就能检查的设置。每部法律对公司网站有什么要求，分别见阿联酋和沙特阿拉伯的文章。如果你向欧盟的公司供货，它们的 NIS2 供应商问卷会问到同样的设置：见 NIS2 与你的网站。
方法
域名。 Tranco 列表 L5PV4，于 2026 年 9 月 23 日 22:00 UTC 生成，基于五个来源 30 天的数据（2026 年 8 月 25 日至 9 月 23 日）：Chrome UX Report、Farsight、Majestic、Cloudflare Radar 和 Cisco Umbrella。Tranco 是为研究而建、能抵御操纵的排名。我按排名顺序取了前 500 个以 .ae 结尾的域名和前 500 个以 .sa 结尾的域名，包括 gov.ae 和 com.sa 这样的二级域名。前一百万名中有 744 个 .ae 域名，所选 500 个的排名从 3,319 到 705,110；有 548 个 .sa 域名，所选 500 个的排名从 1,245 到 835,367。使用阿拉伯文国家代码的域名未包括在内。Tranco 排名的是域名而不是网站，所以名单中也有没有首页的技术性域名（CDN、广告和测量主机）。
时间与地点。 2026 年 9 月 24 日：.sa 名单于 07:32 至 07:39 UTC（利雅得时间 10:32 至 10:39），.ae 名单于 07:43 至 07:47 UTC（阿联酋时间 11:43 至 11:47），均来自波兰的同一个网络连接。DNS 查询发往公共解析器 1.1.1.1 和 8.8.8.8。每个 HTTP 请求都自报为 ShieldWaveResearch/1.0，并附带 shieldwave.io 的链接，没有假装成浏览器。
发送了什么。 每个域名只发送：
- DNS 查询：地址、MX、TXT（SPF 和 DMARC）、CAA，
- 一次首页访问（https://，或在 https 无响应时使用 http://，最多 5 次跳转），
- 一次普通的 http:// 请求，查看是否跳转到 https，
- 443 端口上的 TLS 握手：一次完整握手和四次版本探测（1.0、1.1、1.2 和 1.3），
- 一次对
/.well-known/security.txt的请求。
没有别的：不探测文件、管理后台或备份，也没有表单、登录或测试载荷。
与免费工具相同的检查。 结果由运行 ShieldWave 免费工具（证书、邮件、标头和 Cookie）的同一份代码计算得出，截至提交 8db196d。任何人都可以用同样的标准检查自己的域名。
分母与排除。 每个数字都有自己的分母，因为并非每个域名对每项检查都有答复。从波兰出发，1000 个首页中有 656 个可以分析：阿联酋 500 个中的 346 个，沙特阿拉伯 500 个中的 310 个。其余的，178 个域名完全没有 HTTP 响应（61 个 .ae，117 个 .sa），144 个以机器人验证或 403 之类的拦截作答（84 个 .ae，60 个 .sa），22 个返回其他错误（9 个 .ae，13 个 .sa）。无响应的 .sa 域名大多能在 DNS 中解析，但 https 和 http 连接都超时，这正是拦截境外流量的表现，尽管我无法证明原因。这些数字描述的是我的观测位置，而不是网站的安全性。被排除的域名不计入首页相关数据（标头、HTML、security.txt、跳转），也不算作不安全，但它们仍保留在 DNS、邮件和 TLS 的数据中，因为这些不依赖页面。DNS 数据只统计有明确答复的（DMARC 为 1000 个中的 987 个；10 个 .sa 域名的邮件检查因域名服务器响应慢而超时）。
定义。 隔离或拒收的 DMARC 策略，指域名自己的记录为 p=quarantine 或 p=reject，并且 pct=100 或未设 pct。从上级域名继承的记录不算。HSTS 只统计最终落在 HTTPS 的首页，CSP 只统计强制执行的。security.txt 只在返回 200 并带有 Contact: 字段时才算；HTML 页面一律不算。
局限。
- 只看首页，一次访问，一天。其他页面可能发送不同的标头。
- 没有 JavaScript：跟踪器和同意工具是从 HTML 里读出的。我看不到 Google Tag Manager 加载了什么，也看不到脚本之后保存了什么。
- 许多结果反映的是 CDN 或主机的默认设置（Cloudflare 上的 TLS 1.0，在边缘是否添加标头）。
- 拦截了访问的网站不在首页数据之内，它们可能与留下的网站不同。
- security.txt 是下限，因为没有跟随跳转。
- 平台识别是下限（59.3% 的首页未识别）。
- 不报告 DKIM。
- 从波兰测量：随访客所在位置而变化的网站，对海湾地区的访客可能显示不同的内容。
可重复性与核对。 .ae 名单在大约 15 分钟前还做过一次完整的初次采集，我不公布它，因为在那之后我修正了采集代码。两次运行之间，各项指标差异的中位数为 0.0 个百分点，第 90 百分位为 0.4；分母达到或超过 100 的指标，变动都没有超过 1.1 个百分点。更大的变动，最高 6.3 个百分点，出现在分母低于 60 的指标上，所以本文对小群体只给出数量。.sa 名单用修正后的代码采集了一次。另外，我用其他工具对随机选取的 36 个域名（8 个 .ae、8 个 .sa 和 20 个 .pl）重新做了测量：DMARC 和 SPF 通过另一个解析器（9.9.9.9），HSTS 和 Server 标头用 curl，TLS 1.0 用 openssl，security.txt 用 curl。全部 216 项比对结果一致。
数据。 我不公布原始数据，因为其中有个别网站的名称。汇总数据（每项都有分子、分母、百分比和总体）可按 CC BY 4.0 免费下载：gulf-2026-09.csv 和 gulf-2026-09.json（英文页面）。它们涵盖两国合计；本文中分国家的数据来自同一次运行，用同样的代码分别统计。测量可以重复：Tranco 列表是公开的，每项检查都在 ShieldWave 的免费工具中运行。
如何引用
简短形式：来源：ShieldWave，对最热门的 500 个 .ae 域名和 500 个 .sa 域名的测量，2026 年 9 月 24 日，https://shieldwave.io/blog/uae-saudi-websites-security-2026/
完整形式：Radosław Fedorczuk（ShieldWave，ENSOMEDIA），《阿联酋和沙特的热门网站防护得如何？实测 1000 个 .ae 和 .sa 域名（2026 年 9 月）》，2026 年 9 月 24 日，https://shieldwave.io/blog/uae-saudi-websites-security-2026/。汇总数据采用 CC BY 4.0 许可。
关于方法或数据的问题：support@shieldwave.io。