Sicherheitsexposition von JP-Domains nach Hosting-Anbieter, 2026 – wo 1,090,213 .jp- und japanischsprachige gTLD-Websites gehostet werden und wie sie konfiguriert sind
- Jeder Name in einem Verzeichnis delegierter .jp-Domains (1,197,208 Namen, Stand 2026-10-29) sowie 131,622 japanischsprachige Websites auf gTLDs (.com / .net / .org) wurden einmal nicht-invasiv beobachtet. Die 1,090,213 Namen, deren Website antwortete, werden hier nach dem Hosting-Anbieter der IP-Adresse gruppiert, die die Antwort ausgeliefert hat. Es handelt sich um einen anderen Schnitt derselben Daten wie in Artikel H (Zwischenbericht).
- Der Hosting-Anbieter wird bestimmt, indem die IP-Adresse in einer öffentlichen Routing-Tabelle (CAIDA RouteViews) nachgeschlagen und das Ursprungs-AS auf einen Firmennamen normalisiert wird. Websites hinter einem CDN (Cloudflare, AWS CloudFront und andere) machten 12.3% aus (11.0% der .jp-Domains, 45.8% der japanischsprachigen gTLD-Websites); der Ursprungsserver wurde nicht erschlossen, und diese Websites wurden aus den Nennern je Anbieter herausgenommen.
- Von den verbleibenden 952,161 Namen hostet Xserver 21.7%, Sakura Internet 20.7% und GMO Internet 18.9%: zusammen 61.3% bei diesen drei. Die 38 Anbieter mit 1,000 oder mehr erreichbaren Namen werden namentlich genannt.
- Die HTTPS-Erzwingung liegt bei den meisten Anbietern über 90%, doch HSTS (insgesamt 10.6%), CSP (6.0%) und TLS 1.3 (73.8%) reichen je nach Anbieter von wenigen Prozent bis über 90%. Bei Xserver, dem größten Anbieter, liegt HSTS bei 2.3%, während das Verbergen der Version 99.1% und TLS 1.3 97.9% erreicht: Einstellungen, die die Serverplattform vorgibt, und Einstellungen, die üblicherweise der Kunde ergänzt, gehen stark auseinander.
- 11.1% der Websites (105,237) geben eine PHP-Version preis, und 53.5% davon haben ihr Support-Ende erreicht. Die Zahl der Preisgaben unterscheidet sich stark nach Anbieter: Auf Websites bei GMO Internet entfallen 64,164 (61.0% aller Preisgaben). Unter den Anbietern mit 100 oder mehr PHP-Preisgaben reicht der Anteil ohne Support von 5.4% bis 99.2%.
- 8.7% der Websites geben eine Version innerhalb des Bereichs eines veröffentlichten CVE an (Obergrenze). 85.4% der ausliefernden IP-Adressen sind in Japan registriert; IP-Adressen ausländischer Anbieter wie AWS und Google sind oft im Heimatland des Unternehmens registriert, auch wenn sie in japanischen Rechenzentren genutzt werden.
- Die Werte beschreiben die bei dem jeweiligen Anbieter gehosteten Websites, nicht den Anbieter selbst. Selbst beim Shared Hosting werden die PHP-Version und die meisten Header oft vom Kunden gewählt oder ergänzt.
Dieser Artikel erscheint auch auf Englisch unter sitescouter.net und nkzw.jp sowie auf Japanisch unter sitescouter.net. Dies ist die deutsche Ausgabe auf Site Scouter, übersetzt aus der englischen Fassung.
Einordnung dieses Artikels
Artikel H (Das Gesamtbild der Exposition gegenüber PHP- und anderen Schwachstellen bei JP-Domains – Zwischenbericht) zeigte die Verbreitung nach NS-Anbieter, also dem Unternehmen, bei dem das DNS einer Domain gehostet wird – das ist nicht unbedingt der Ort, an dem die Website liegt. Dieser Artikel gruppiert dieselben Beobachtungen neu nach dem Inhaber der IP-Adresse, die die Website tatsächlich ausgeliefert hat (dem Hosting-Anbieter).
Artikel H zeigte keine CVE-Exposition je NS-Anbieter, weil sich Versionspreisgabe und CVEs mit der Konfiguration auf Seiten der Website ändern. Hier wird der Hosting-Anbieter ausdrücklich definiert, und auch der Anteil von PHP ohne Support sowie die CVE-Exposition (Obergrenze) werden je Anbieter ausgewiesen. Die Werte beschreiben „die Websites, die von den IP-Adressen dieses Anbieters aus geantwortet haben“, und sind keine Bewertung der Sicherheit des Anbieters selbst (§10).
Wie der Hosting-Anbieter bestimmt wird
Die Beobachtung ist dieselbe wie in Artikel H: eine DNS-Abfrage, eine TLS-Verbindung und ein HTTP-GET pro Domain, wobei Antwort-Header und Zertifikat erfasst werden. Der Worker hat außerdem die IPv4-Adresse festgehalten, die er zum Beobachtungszeitpunkt aufgelöst hat (99.6% der Namen, deren DNS aufgelöst wurde).
- Einheit: Wie in Artikel H wird die Zeile von
example.jpverwendet, wenn diese Domain geantwortet hat; andernfalls, sofernwww.example.jpgeantwortet hat, die www-Zeile. Der Hosting-Anbieter wird aus der IP-Adresse dieser Zeile bestimmt - AS-Nummer: Die IP-Adresse wurde per Longest-Prefix-Match in CAIDA RouteViews prefix2as (2026-10-28, Ursprungs-AS in der Routing-Tabelle) nachgeschlagen. Die Routing-Tabelle sind öffentliche Daten; auf die beobachteten Websites wurde nicht zusätzlich zugegriffen
- Firmenname: AS-Nummern wurden mit CAIDA AS Organizations (2026-10-01) Organisationsnamen zugeordnet, und mehrere AS eines Unternehmens (etwa die drei von Sakura Internet) wurden zusammengeführt. Die Zuordnung beruht ausschließlich auf öffentlichen Daten (1,818 AS traten auf)
- Hinter einem CDN: Websites, bei denen in den Antwort-Headern ein CDN oder eine WAF erkannt wurde oder deren IP im AS eines CDN-Betreibers liegt (Cloudflare, Fastly, das CDN von Akamai, Imperva und andere), wurden gesondert als „hinter einem CDN“ gezählt und aus den Nennern je Anbieter herausgenommen. Der Ursprungsserver hinter dem CDN wurde nicht erschlossen
- Schwelle für die Nennung: Anbieter mit 1,000 oder mehr erreichbaren Namen (ohne CDN-Websites und Namen mit unbekannter IP) werden namentlich genannt; die übrigen sind als „alle übrigen Anbieter“ zusammengefasst. Support-Status von PHP und CVE-Exposition werden nur für Anbieter mit 100 oder mehr Namen ausgewiesen, die eine PHP-Version preisgeben
- Registrierungsland der IP: Zuteilungsdaten der fünf Regional Internet Registries (wie in Abbildung 16 von Artikel H)
Ein Unternehmen kann mehrere Marken (Shared Hosting, VPS, Cloud) im selben AS betreiben, die sich auf AS-Ebene nicht unterscheiden lassen. Die Namen in diesem Artikel sind daher die Unternehmen, die das AS halten, nicht Servicemarken. Umgekehrt wird ein Anbieter, der die Infrastruktur eines anderen Unternehmens weiterverkauft, unter dem Eigentümer der Infrastruktur gezählt.
Hinter einem CDN – fast die Hälfte der japanischsprachigen gTLD-Websites liegt hinter Cloudflare
Unter den antwortenden Websites war bei 11.0% der .jp-Domains ein CDN vorgeschaltet (Cloudflare 7.2%, AWS CloudFront 2.9%, Fastly 0.6%) und bei 45.8% der japanischsprachigen gTLD-Websites (Cloudflare 44.9%) (Abbildung 1). Nur 53.8% der antwortenden japanischsprachigen gTLD-Websites lassen sich einem Hosting-Anbieter zuordnen.
Weil das CDN einige Header umschreibt, zeigen Websites hinter einem CDN höhere Werte bei HSTS (41.1%) und TLS 1.3 (93.2%) als alle übrigen Websites (HSTS 10.6%, TLS 1.3 73.8%). Die folgenden Zahlen je Anbieter enthalten zur Referenz eine CDN-Zeile, der Ursprungsanbieter ist dort jedoch unbekannt.
Wo Websites gehostet werden – drei Unternehmen halten rund 60%
Ohne CDN-Websites und Namen mit unbekannter IP bleiben 952,161 Namen: 931,651 .jp-Domains und 20,510 japanischsprachige gTLD-Websites (Abbildung 2). Xserver hat 206,817 (21.7%), Sakura Internet 197,363 (20.7%), GMO Internet 179,804 (18.9%) und AWS 71,025 (7.5%). Die 38 genannten Anbieter halten 95.6%; alle übrigen Anbieter zusammen kommen auf 41,445 Namen (4.4%, 1635 AS).
Betrachtet man nur die japanischsprachigen gTLD-Websites, so hostet von den 20,510 Namen ohne CDN AWS 19.3%, Namecheap 7.3% und Xserver 5.5%, während alle übrigen Anbieter 42.6% halten.
Verbreitung von Sicherheitsmaßnahmen
Verbreitung als Anteil der erreichbaren Namen, nach Anbieter (Abbildung 3, Tabelle 1). Die gestrichelte Linie ist der Gesamtwert ohne CDN-Websites.
Tabelle 1 Sicherheitsmaßnahmen nach Hosting-Anbieter (% der erreichbaren Namen, ohne CDN-Websites)
| Hosting-Anbieter | Erreichbar | Anteil | IPs | HTTPS erzwungen | HSTS | CSP | TLS 1.3 | Version verborgen |
|---|---|---|---|---|---|---|---|---|
| Alle (ohne CDN-Websites) | 952,161 | 100.0% | 171,198 | 94.3% | 10.6% | 6.0% | 73.8% | 83.1% |
| Xserver | 206,817 | 21.7% | 11,802 | 99.4% | 2.3% | 1.5% | 97.9% | 99.1% |
| Sakura Internet | 197,363 | 20.7% | 23,664 | 98.6% | 6.0% | 1.4% | 90.7% | 87.2% |
| GMO Internet | 179,804 | 18.9% | 4,602 | 92.3% | 5.3% | 3.6% | 83.3% | 63.5% |
| AWS (Amazon) | 71,025 | 7.5% | 16,190 | 95.4% | 42.3% | 8.6% | 46.8% | 69.8% |
| NTT DOCOMO BUSINESS (OCN) | 38,392 | 4.0% | 27,651 | 98.1% | 2.3% | 4.5% | 3.8% | 75.5% |
| IDC Frontier | 29,903 | 3.1% | 10,565 | 98.4% | 5.6% | 0.8% | 64.4% | 90.4% |
| GMO GlobalSign Holdings | 29,280 | 3.1% | 2,494 | 98.8% | 11.1% | 0.7% | 32.1% | 96.3% |
| NTTPC | 22,805 | 2.4% | 18,352 | 49.5% | 2.1% | 0.7% | 14.4% | 88.5% |
| 19,126 | 2.0% | 1,773 | 99.4% | 8.1% | 76.3% | 93.5% | 93.9% | |
| DigiRock | 16,042 | 1.7% | 414 | 99.6% | 82.7% | 1.3% | 98.8% | 94.5% |
| CPI (KDDI) | 15,155 | 1.6% | 10,418 | 99.2% | 24.0% | 1.9% | 43.3% | 91.0% |
| Future Spirits | 11,213 | 1.2% | 367 | 96.9% | 8.6% | 67.9% | 43.8% | 87.1% |
| KAGOYA JAPAN | 10,692 | 1.1% | 3,820 | 98.4% | 4.9% | 2.1% | 30.1% | 91.4% |
| Pacific Software Publishing | 9,542 | 1.0% | 58 | 99.7% | 0.1% | 0.1% | 97.8% | 100.0% |
| Otsuka Corporation | 7,734 | 0.8% | 7,711 | 48.7% | 4.9% | 99.5% | 0.1% | 99.8% |
| Canon IT Solutions | 3,817 | 0.4% | 16 | 17.0% | 98.7% | 0.1% | 17.1% | 99.9% |
| IIJ | 3,601 | 0.4% | 1,453 | 93.7% | 19.2% | 5.2% | 42.5% | 79.3% |
| KDDI | 3,452 | 0.4% | 936 | 92.6% | 11.8% | 1.3% | 69.7% | 75.8% |
| IBM Cloud | 3,229 | 0.3% | 72 | 98.8% | 15.7% | 0.0% | 0.6% | 99.0% |
| UCOM | 3,154 | 0.3% | 689 | 94.7% | 11.6% | 1.3% | 28.6% | 44.5% |
| Microsoft (Azure) | 2,957 | 0.3% | 1,332 | 94.9% | 38.1% | 9.6% | 70.1% | 38.1% |
| ASJ | 2,314 | 0.2% | 1,249 | 66.3% | 1.2% | 0.1% | 0.0% | 85.0% |
| Automattic (WordPress.com) | 1,854 | 0.2% | 154 | 87.0% | 78.4% | 1.7% | 99.5% | 99.9% |
| CLARA Online | 1,745 | 0.2% | 253 | 99.4% | 2.2% | 0.4% | 85.7% | 94.4% |
| Wix | 1,676 | 0.2% | 7 | 95.2% | 6.0% | 0.2% | 97.2% | 95.3% |
| ARTERIA Networks | 1,675 | 0.2% | 385 | 89.6% | 37.9% | 1.1% | 47.7% | 75.2% |
| NTT America | 1,588 | 0.2% | 16 | 3.9% | 1.2% | 0.2% | 1.8% | 2.3% |
| Namecheap | 1,565 | 0.2% | 931 | 55.9% | 1.2% | 0.2% | 44.9% | 90.4% |
| Akamai (Linode) | 1,474 | 0.2% | 361 | 92.3% | 16.6% | 2.7% | 38.6% | 74.6% |
| OPTAGE | 1,450 | 0.2% | 437 | 91.4% | 5.4% | 1.0% | 46.7% | 71.3% |
| Trellian (Parking) | 1,449 | 0.2% | 51 | 98.8% | 0.0% | 0.0% | 97.0% | 100.0% |
| Mirai Communication Network | 1,418 | 0.1% | 201 | 96.9% | 11.7% | 2.5% | 70.5% | 71.9% |
| SoftBank | 1,392 | 0.1% | 837 | 93.0% | 14.0% | 3.8% | 34.1% | 57.3% |
| Oracle Cloud | 1,316 | 0.1% | 634 | 95.6% | 20.3% | 11.2% | 76.3% | 65.8% |
| Squarespace | 1,241 | 0.1% | 8 | 98.7% | 83.2% | 9.1% | 99.1% | 99.6% |
| Bear Cloud Solutions | 1,176 | 0.1% | 3 | 99.8% | 0.1% | 93.5% | 99.4% | 6.2% |
| Hostinger | 1,167 | 0.1% | 726 | 99.3% | 10.0% | 71.9% | 98.5% | 46.2% |
| Sedo (Parking) | 1,113 | 0.1% | 8 | 99.4% | 8.4% | 0.0% | 99.0% | 1.2% |
| Alle übrigen Anbieter | 41,445 | 4.4% | 20,558 | 83.2% | 15.3% | 6.0% | 54.5% | 71.2% |
| (Referenz) GMO-Unternehmen zusammen | 209,084 | 22.0% | 7,096 | 93.2% | 6.1% | 3.2% | 76.2% | 68.1% |
| (Referenz) Hinter einem CDN | 133,633 | 12.3% | 45,393 | 98.4% | 41.1% | 17.0% | 93.2% | 88.3% |
- HTTPS-Erzwingung liegt insgesamt bei 94.3% und bei den meisten Anbietern über 90%. Niedrigere Werte: NTTPC 49.5%, Otsuka Corporation 48.7%, Canon IT Solutions 17.0%, NTT America 3.9%.
- HSTS liegt insgesamt bei 10.6%. Hoch ist der Wert bei Canon IT Solutions (98.7%), Squarespace (83.2%), DigiRock (82.7%) und Automattic (WordPress.com) (78.4%), niedrig bei Xserver (2.3%), NTT DOCOMO BUSINESS (OCN) (2.3%) und Sakura Internet (6.0%). Den Unterschied macht offenbar, ob der Dienst den Header standardmäßig setzt oder dies dem Kunden überlässt.
- CSP liegt insgesamt bei 6.0%. Abgesehen von Otsuka Corporation (99.5%), Google (76.3%) und Future Spirits (67.9%) liegt fast jeder Anbieter im einstelligen Bereich.
- TLS 1.3 wurde insgesamt von 73.8% ausgehandelt: hoch bei Xserver (97.9%), DigiRock (98.8%) und Sakura Internet (90.7%), niedrig bei NTT DOCOMO BUSINESS (OCN) (3.8%), NTTPC (14.4%) und ASJ (0.0%). Die TLS-Version wird von der Serversoftware festgelegt, die Kunden beim Shared Hosting in der Regel nicht ändern können.
- Verbergen der Version liegt insgesamt bei 83.1%: 99.1% bei Xserver gegenüber 63.5% bei GMO Internet, 44.5% bei UCOM und 38.1% bei Microsoft (Azure).
„IPs“ ist die Zahl der unterschiedlichen IP-Adressen, die von den bei diesem Anbieter antwortenden Namen genutzt werden. Wo sich Tausende Namen eine Handvoll IPs teilen (Parking- oder Weiterleitungsdienste, Website-Baukästen), spiegelt der Wert die Konfiguration eines einzelnen Dienstes wider und nicht die einzelner Websites.
PHP-Versionen und Support-Status
Der Anteil der Websites, die eine PHP-Version preisgeben (über X-Powered-By und Ähnliches), und darunter der Anteil ohne Support (8.1 und älter, zum Beobachtungsdatum) (Abbildung 4, Tabelle 2).
Tabelle 2 Preisgabe der PHP-Version und Support-Status nach Hosting-Anbieter (Anbieter mit 100+ PHP-Preisgaben)
| Hosting-Anbieter | Erreichbar | PHP-Version preisgegeben | Preisgabequote | davon ohne Support | davon nur Sicherheitsupdates (8.2) | davon ohne Patch für kritische CVEs von 2026 |
|---|---|---|---|---|---|---|
| Alle (ohne CDN-Websites) | 952,161 | 105,237 | 11.1% | 53.5% | 4.8% | 49.7% |
| Xserver | 206,817 | 284 | 0.1% | 28.5% | 11.3% | 30.3% |
| Sakura Internet | 197,363 | 17,804 | 9.0% | 86.3% | 1.9% | 81.2% |
| GMO Internet | 179,804 | 64,164 | 35.7% | 47.9% | 4.9% | 45.7% |
| AWS (Amazon) | 71,025 | 3,028 | 4.3% | 61.6% | 16.6% | 58.9% |
| NTT DOCOMO BUSINESS (OCN) | 38,392 | 8,072 | 21.0% | 5.4% | 0.5% | 5.1% |
| IDC Frontier | 29,903 | 2,020 | 6.8% | 83.4% | 8.1% | 31.5% |
| GMO GlobalSign Holdings | 29,280 | 537 | 1.8% | 62.4% | 4.7% | 56.4% |
| NTTPC | 22,805 | 680 | 3.0% | 49.3% | 3.7% | 42.9% |
| 19,126 | 167 | 0.9% | 44.3% | 13.2% | 46.7% | |
| DigiRock | 16,042 | 329 | 2.1% | 92.4% | 0.9% | 88.8% |
| CPI (KDDI) | 15,155 | 1,337 | 8.8% | 95.5% | 0.7% | 74.9% |
| KAGOYA JAPAN | 10,692 | 311 | 2.9% | 61.4% | 5.8% | 55.9% |
| IIJ | 3,601 | 255 | 7.1% | 70.6% | 5.1% | 70.6% |
| KDDI | 3,452 | 281 | 8.1% | 46.6% | 15.7% | 34.9% |
| UCOM | 3,154 | 298 | 9.4% | 63.8% | 17.1% | 51.0% |
| Microsoft (Azure) | 2,957 | 203 | 6.9% | 26.6% | 12.8% | 27.6% |
| ASJ | 2,314 | 253 | 10.9% | 99.2% | 0.4% | 98.0% |
| ARTERIA Networks | 1,675 | 111 | 6.6% | 75.7% | 13.5% | 72.1% |
| Akamai (Linode) | 1,474 | 127 | 8.6% | 66.1% | 10.2% | 57.5% |
| Mirai Communication Network | 1,418 | 325 | 22.9% | 37.5% | 4.3% | 37.2% |
| SoftBank | 1,392 | 214 | 15.4% | 58.9% | 21.0% | 48.6% |
| Oracle Cloud | 1,316 | 154 | 11.7% | 42.9% | 3.9% | 42.9% |
| Hostinger | 1,167 | 600 | 51.4% | 15.5% | 26.8% | 42.8% |
| Alle übrigen Anbieter | 41,445 | 3,402 | 8.2% | 61.1% | 9.2% | 57.5% |
| (Referenz) GMO-Unternehmen zusammen | 209,084 | 64,701 | 30.9% | 48.0% | 4.9% | 45.7% |
- Von den 105,237 Websites, die eine PHP-Version preisgeben, liegen 64,164 bei GMO Internet (Preisgabequote 35.7%). Die Unterschiede in der Preisgabequote spiegeln offenbar wider, ob die Serverkonfiguration die Version in
X-Powered-Byschreibt. Die Preisgabequote von Xserver beträgt 0.1%; dort gibt fast keine Website eine Version preis. - Der Anteil ohne Support reicht von 5.4% bei NTT DOCOMO BUSINESS (OCN) bis 99.2% bei ASJ, mit CPI (KDDI) bei 95.5%, DigiRock bei 92.4% und Sakura Internet bei 86.3%. Beim Shared Hosting wählt oft der Kunde die PHP-Version in einem Control Panel; behalten viele Websites eine alte Auswahl bei, ist der Anteil hoch, selbst wenn der Anbieter aktuelle Versionen anbietet.
- 49.7% der Websites, die eine PHP-Version preisgeben, nennen eine Version im betroffenen Bereich der kritischen PHP-Schwachstellen von 2026 (CVE-2026-109618 / 109619).
CVE-Exposition (Obergrenze)
Der Anteil der Websites, deren Server-Header, X-Powered-By oder CMS-Versionsangabe in den betroffenen Bereich eines veröffentlichten CVE für PHP, Apache, nginx, WordPress und andere fällt (NVD, abgerufen am 2026-10-29) (Abbildung 5, Tabelle 3). Die Abgleichsregeln sind dieselben wie in Artikel H. Da Backports der Distributionen nicht sichtbar sind, handelt es sich um eine Obergrenze. Eine Ausnutzung wurde nicht getestet.
Tabelle 3 CVE-Exposition nach Hosting-Anbieter (Obergrenze, % der erreichbaren Namen; Anbieter mit 100+ PHP-Preisgaben)
| Hosting-Anbieter | Im Bereich eines bekannten CVE | RCE-Klasse (ohne reine Windows-CVEs) | Schweregrad CRITICAL |
|---|---|---|---|
| Alle (ohne CDN-Websites) | 8.7% | 1.7% | 7.8% |
| Xserver | 0.5% | 0.3% | 0.3% |
| Sakura Internet | 11.4% | 2.3% | 10.7% |
| GMO Internet | 18.0% | 3.2% | 17.8% |
| AWS (Amazon) | 11.2% | 1.0% | 7.3% |
| NTT DOCOMO BUSINESS (OCN) | 2.9% | 0.6% | 2.6% |
| IDC Frontier | 7.4% | 5.0% | 7.1% |
| GMO GlobalSign Holdings | 2.4% | 0.9% | 2.3% |
| NTTPC | 9.5% | 1.1% | 5.5% |
| 2.5% | 0.2% | 1.4% | |
| DigiRock | 2.1% | 0.2% | 2.0% |
| CPI (KDDI) | 8.6% | 6.5% | 8.6% |
| KAGOYA JAPAN | 6.0% | 1.3% | 5.1% |
| IIJ | 10.2% | 1.6% | 9.3% |
| KDDI | 14.4% | 2.1% | 12.4% |
| UCOM | 47.0% | 3.7% | 16.0% |
| Microsoft (Azure) | 7.5% | 0.6% | 5.5% |
| ASJ | 15.0% | 0.3% | 15.0% |
| ARTERIA Networks | 20.5% | 3.8% | 18.6% |
| Akamai (Linode) | 11.5% | 1.5% | 10.2% |
| Mirai Communication Network | 9.5% | 2.0% | 9.5% |
| SoftBank | 24.7% | 5.7% | 23.1% |
| Oracle Cloud | 10.8% | 0.9% | 8.4% |
| Hostinger | 24.0% | 0.3% | 22.7% |
| Alle übrigen Anbieter | 14.1% | 2.8% | 11.4% |
| (Referenz) GMO-Unternehmen zusammen | 15.8% | 2.8% | 15.6% |
Insgesamt: 8.7%. UCOM (47.0%), SoftBank (24.7%), Hostinger (24.0%), ARTERIA Networks (20.5%) und GMO Internet (18.0%) liegen über dem Gesamtwert; Xserver (0.5%), DigiRock (2.1%) und GMO GlobalSign Holdings (2.4%) liegen niedrig. Websites, die keine Version preisgeben, lassen sich nicht abgleichen, sodass Anbieter mit hohem Anteil verborgener Versionen niedriger ausfallen. Der Wert zeigt, dass eine alte Version angegeben wird; er bedeutet nicht, dass ein Angriff erfolgreich wäre.
Registrierungsland der IP-Adressen
Ohne CDN-Websites sind 85.4% der ausliefernden IP-Adressen in Japan registriert (86.9% nur bei .jp). Inländische Anbieter sind fast zu 100% in Japan registriert, während AWS (98.5% in den USA registriert), Google, Microsoft (Azure) und Oracle Cloud in den Vereinigten Staaten und anderswo registriert sind (Abbildung 6).
Das Registrierungsland stammt aus den Zuteilungsdaten der RIRs und kann vom tatsächlichen Serverstandort abweichen. Ausländische Cloud-Anbieter registrieren Adressen, die in ihren japanischen Rechenzentren (Regionen Tokio und Osaka) genutzt werden, oft in ihrem Heimatland; „in den USA registriert“ bedeutet also nicht „in den USA gelegen“.
NS-Anbieter versus Hosting-Anbieter
Für jeden NS-Anbieter aus Artikel H (Top 10) der Hosting-Anbieter, dessen IP die Website ausgeliefert hat (Abbildung 7, nur .jp).
- 92.3% der Namen mit Xserver-NS, 93.3% mit Sakura-Internet-NS und 93.4% mit CPI-(KDDI)-NS wurden auch von IPs desselben Unternehmens ausgeliefert: DNS und Web liegen bei einem Anbieter.
- 78.1% der Namen mit GMO-Pepabo-NS wurden von IPs im AS von GMO Internet ausgeliefert. Auf AS-Ebene lässt sich das Unternehmen, das das AS hält, nicht von einem Unternehmen unterscheiden, das Dienste auf dessen Infrastruktur anbietet (§2).
- Namen mit GMO-(VALUE-DOMAIN)-NS verteilen sich auf DigiRock (40.9%), GMO Internet (29.2%) und Sakura Internet (10.6%). Namen mit GMO-(DNSv)-NS sind über Sakura Internet (22.9%), AWS (12.3%), CDN-Websites (14.5%) und andere verstreut: Das DNS wird an einem Ort gehostet, die Website an einem anderen.
- Namen mit AWS-Route-53-NS: AWS 37.4%, hinter einem CDN 33.1%, IDC Frontier 10.9%. Namen mit Cloudflare-NS: 85.6% hinter einem CDN.
- Namen mit dem NS customer.ne.jp: NTT DOCOMO BUSINESS (OCN) 79.3%, NTTPC 13.5%.
Damit wird die Aussage aus Artikel H, dass der NS-Anbieter nicht der Hosting-Anbieter ist, quantifiziert: Bei Shared-Hosting-Unternehmen liegen die Werte je NS und je Host nahe beieinander; bei reinen DNS- und CDN-Anbietern gehen sie weit auseinander.
Wie die Zahlen zu lesen sind – dies ist keine Bewertung der Anbieter
- Wer die Einstellungen festlegt: Beim Shared Hosting kann die PHP-Version eine Vorgabe des Anbieters sein oder vom Kunden in einem Control Panel gewählt werden. HSTS und CSP werden meist vom Kunden in
.htaccessoder in der Anwendung ergänzt. Bei VPS und Cloud verwaltet der Kunde alles vom Betriebssystem bis zur Anwendung. Jeder Wert beschreibt „die bei diesem Anbieter gehosteten Websites“ und misst nicht direkt die Qualität der Sicherheit des Anbieters selbst. - Unterschiedliche Geschäftsmodelle: Shared Hosting, VPS und Cloud, Website-Baukästen sowie Parking- oder Weiterleitungsdienste stehen in derselben Tabelle. Anbieter mit unterschiedlichen Servicemodellen lassen sich nicht einfach gegeneinander in eine Rangfolge bringen.
- AS sind auf Unternehmensebene: Marken eines Unternehmens lassen sich nicht trennen, und Dienste, die auf gemieteter Infrastruktur aufbauen, werden unter dem Eigentümer der Infrastruktur gezählt.
- Was hinter einem CDN liegt, ist unbekannt: CDN-Websites wurden aus den Nennern herausgenommen; bei Anbietern, deren Kunden stark auf CDNs setzen, decken die Werte daher nur die Websites ab, die das nicht tun.
Offenlegung von Interessenkonflikten: Der Autor betreibt über die SkyClear Co., Ltd. ein Domaingeschäft (einen bei JPRS akkreditierten Registrar) und war früher die Nummer zwei bei einer Tochtergesellschaft der GMO-Gruppe. Zu den Anbietern in diesem Artikel gehören Unternehmen der GMO-Gruppe (GMO Internet, GMO GlobalSign Holdings und andere). Alle Werte wurden für jeden Anbieter mit derselben Methode und denselben Kriterien berechnet, und die Firmennamen beruhen auf öffentlichen Daten (Routing-Tabellen und Namen der AS-Organisationen).
Grenzen und Vorbehalte
- Die Grenzen von Grundgesamtheit und Beobachtung sind dieselben wie in Artikel H (Abdeckung des Verzeichnisses 63.0% der Registrierungszahl von JPRS, Erreichbarkeit vom Beobachtungspunkt aus, 403-Antworten als erreichbar gezählt, versionsbasierte Obergrenzen).
- Der Hosting-Anbieter ist das Ursprungs-AS in der Routing-Tabelle; vermieteter Adressraum und der Abstand zwischen dem Datum der Routing-Tabelle (2026-10-28) und dem Beobachtungsdatum (2026-10-29) sind nicht berücksichtigt. IPs, die nicht in der Routing-Tabelle enthalten sind, sowie Namen, deren IP nicht erfasst werden konnte, wurden als „IP unbekannt“ ausgeschlossen (0.4%).
- Die IP-Adresse ist das Ergebnis einer einzigen Auflösung zum Beobachtungszeitpunkt; Namen mit mehreren Adressen werden einmal gezählt.
- Die CDN-Erkennung beruht auf Antwort-Headern und AS. CDNs, die sich nicht zu erkennen geben, und Anbieter, die über ihr eigenes Netz ausliefern, lassen sich nicht erkennen.
- Die Anbieter wurden nicht vorab benachrichtigt. Die Werte beschreiben beobachtete Tatsachen.
- Einzelne Websites oder Domainnamen werden in diesem Artikel nicht genannt.
Prüfen Sie mit derselben nicht-invasiven Methode wie in dieser Erhebung, was Ihr Server nach außen preisgibt: TLS, HSTS, Header und Versionen. Keine Registrierung erforderlich.
Jetzt nutzen: Server-CheckFAQ
Ist das eine Rangliste der Anbieter?
Nein. Anbieter mit unterschiedlichen Modellen (Shared Hosting, VPS und Cloud, Website-Baukästen) stehen nebeneinander, und PHP-Version sowie Header werden überwiegend von den Kunden bestimmt. Die Werte beschreiben „die Websites, die von den IP-Adressen dieses Anbieters aus geantwortet haben“.
Wie wurde der Hosting-Anbieter bestimmt?
Die IP-Adresse, die die Website ausgeliefert hat, wurde in einer öffentlichen Routing-Tabelle (CAIDA RouteViews) nachgeschlagen, um ihr AS zu ermitteln, und der Name der AS-Organisation (CAIDA AS Organizations) wurde auf einen Firmennamen normalisiert. Der Name ist der des Unternehmens, das das AS hält, nicht eine Servicemarke.
Wie wurden Websites mit CDN behandelt?
Ist ein CDN wie Cloudflare vorgeschaltet, gehört die IP dem CDN, und der eigentliche Server (Origin) ist unbekannt. Der Origin wurde nicht erschlossen; solche Websites wurden gesondert als „hinter einem CDN“ gezählt und aus den Nennern je Anbieter herausgenommen.
Worin unterscheidet sich dies von den Werten je NS-Anbieter in Artikel H?
Der NS-Anbieter ist der Ort, an dem das DNS gehostet wird; der Hosting-Anbieter besitzt die IP, die die Website ausgeliefert hat. Oft sind das verschiedene Unternehmen. Die Zuordnung ist in §9 dargestellt.
Kann ich meine eigene Website auf dieselbe Weise prüfen?
Ja. Geben Sie eine URL in die Serverinformationsprüfung von Site Scouter ein, um TLS, HSTS, Header und Versionspreisgabe mit derselben nicht-invasiven Methode wie in dieser Erhebung zu sehen.
Kann meine Website von der Beobachtung ausgenommen werden?
Bitte wenden Sie sich über das Kontaktformular von Site Scouter an uns. Sie wird dann von den folgenden Beobachtungen ausgenommen.
Quellen
Zuletzt geprüft: 2026-10-30. Spezifikationen und Richtlinien können sich ändern; prüfen Sie vor dem Handeln die Primärquellen.
- CAIDA: RouteViews Prefix-to-AS mappings
- CAIDA: AS Organizations
- APNIC: Delegated statistics (RIR allocation records)
- PHP: Supported Versions (php.net)
- NVD - National Vulnerability Database (NIST)
- Interim report: Security Exposure Across the .jp Domain Space (Site Scouter)
Yuki Nakazawa (persönlicher Blog nkzw.jp)
Kontakt: Offizielle Website ／ YouTube ／ Instagram ／ LinkedIn ／ X ／ Telegram