Exposición de seguridad de los dominios JP por proveedor de hosting, 2026: dónde se alojan y cómo están configurados 1,090,213 sitios .jp y sitios en japonés en gTLD
- Se aplicó una única observación no intrusiva a cada nombre de un registro de dominios .jp delegados (1,197,208 nombres a fecha de 2026-10-29) y a 131,622 sitios en japonés en gTLD (.com / .net / .org). Los 1,090,213 nombres cuyo sitio web respondió se agrupan aquí según el proveedor de hosting de la dirección IP que sirvió la respuesta. Se trata de un corte distinto de los mismos datos del artículo H (informe provisional).
- El proveedor de hosting se determina buscando la dirección IP en una tabla de enrutamiento pública (CAIDA RouteViews) y normalizando el AS de origen a un nombre de empresa. Los sitios detrás de una CDN (Cloudflare, AWS CloudFront y otras) representaron el 12.3% (el 11.0% de los .jp y el 45.8% de los sitios en japonés en gTLD); no se dedujo su origen y estos sitios se excluyeron de los denominadores por proveedor.
- De los 952,161 nombres restantes, Xserver aloja el 21.7%, Sakura Internet el 20.7% y GMO Internet el 18.9%: el 61.3% entre los tres. Se nombran los 38 proveedores con 1,000 o más nombres accesibles.
- La aplicación de HTTPS supera el 90% en la mayoría de los proveedores, pero HSTS (10.6% en total), CSP (6.0%) y TLS 1.3 (73.8%) van desde un pequeño porcentaje hasta más del 90% según el proveedor. En Xserver, el mayor, HSTS es del 2.3%, mientras que la ocultación de versión llega al 99.1% y TLS 1.3 al 97.9%: los elementos que fija la plataforma del servidor y los que suele añadir el cliente divergen claramente.
- El 11.1% de los sitios (105,237) anuncia una versión de PHP, y el 53.5% de ellas está fuera de soporte. El número de divulgaciones varía mucho según el proveedor: los sitios en GMO Internet suman 64,164 (el 61.0% de todas las divulgaciones). Entre los proveedores con 100 o más divulgaciones de PHP, la proporción fuera de soporte va del 5.4% al 99.2%.
- El 8.7% de los sitios anuncia una versión dentro del rango de una CVE publicada (cota superior). El 85.4% de las direcciones IP que sirven los sitios está registrado en Japón; las direcciones IP de proveedores extranjeros como AWS y Google suelen estar registradas en el país de origen de la empresa aunque se usen en centros de datos japoneses.
- Los valores describen los sitios alojados en cada proveedor, no al proveedor. Incluso en el hosting compartido, la versión de PHP y la mayoría de las cabeceras suelen ser elegidas o añadidas por el cliente.
Este artículo también se publica en inglés en sitescouter.net y nkzw.jp, y en japonés en sitescouter.net. Esta es la edición en español de Site Scouter, traducida de la versión inglesa.
Lugar de este artículo
El artículo H (Panorama general de la exposición a vulnerabilidades de PHP y otros componentes en los dominios JP — Informe provisional) mostró la adopción por proveedor de NS, la empresa donde se aloja el DNS de un dominio, que no es necesariamente donde reside el sitio web. Este artículo reagrupa las mismas observaciones según el titular de la dirección IP que realmente sirvió el sitio web (el proveedor de hosting).
El artículo H no mostró la exposición a CVE por proveedor de NS, porque la divulgación de versiones y las CVE cambian con la configuración del propio sitio. Aquí el proveedor de hosting se define de forma explícita, y la proporción de PHP fuera de soporte y la exposición a CVE (cota superior) también se muestran por proveedor. Los valores describen «los sitios que respondieron desde las direcciones IP de ese proveedor» y no son una evaluación de la seguridad del propio proveedor (§10).
Cómo se define el proveedor de hosting
La observación es la misma que en el artículo H: una consulta DNS, una conexión TLS y una petición HTTP GET por dominio, registrando las cabeceras de respuesta y el certificado. El proceso de observación también registró la dirección IPv4 que resolvió en el momento de la observación (el 99.6% de los nombres cuyo DNS se resolvió).
- Unidad: como en el artículo H, si
example.jprespondió se usa su fila; si no, ywww.example.jprespondió, se usa la fila www. El proveedor de hosting se determina a partir de la dirección IP de esa fila - Número de AS: la dirección IP se buscó por coincidencia de prefijo más largo en CAIDA RouteViews prefix2as (2026-10-28, AS de origen en la tabla de enrutamiento). La tabla de enrutamiento es un dato público; no se realizó ningún acceso adicional a los sitios observados
- Nombre de empresa: los números de AS se asignaron a nombres de organización con CAIDA AS Organizations (2026-10-01), y se fusionaron los distintos AS de una misma empresa (como los tres de Sakura Internet). La correspondencia usa solo datos públicos (aparecieron 1,818 AS)
- Detrás de una CDN: los sitios en los que se detectó una CDN o un WAF en las cabeceras de respuesta, o cuya IP pertenece al AS de un operador de CDN (Cloudflare, Fastly, la CDN de Akamai, Imperva y otros), se contaron aparte como «detrás de una CDN» y se excluyeron de los denominadores por proveedor. No se dedujo el origen detrás de la CDN
- Umbral para nombrar: se nombran los proveedores con 1,000 o más nombres accesibles (excluidos los que están detrás de una CDN y los de IP desconocida); el resto se agrupa como «todos los demás proveedores». El estado de soporte de PHP y la exposición a CVE solo se muestran para los proveedores con 100 o más nombres que anuncian una versión de PHP
- País de registro de la IP: registros de asignación de los cinco registros regionales de Internet (igual que en la figura 16 del artículo H)
Una empresa puede operar varias marcas (hosting compartido, VPS, nube) en el mismo AS, que no pueden distinguirse a nivel de AS, por lo que los nombres de este artículo son las empresas titulares del AS, no marcas de servicio. A la inversa, un proveedor que revende la infraestructura de otra empresa se cuenta bajo el propietario de la infraestructura.
Detrás de una CDN: casi la mitad de los sitios en japonés en gTLD están detrás de Cloudflare
Entre los sitios que respondieron, había una CDN delante en el 11.0% de los .jp (Cloudflare 7.2%, AWS CloudFront 2.9%, Fastly 0.6%) y en el 45.8% de los sitios en japonés en gTLD (Cloudflare 44.9%) (figura 1). Solo el 53.8% de los sitios en japonés en gTLD que respondieron puede atribuirse a un proveedor de hosting.
Como la CDN reescribe algunas cabeceras, los sitios detrás de una CDN muestran valores más altos de HSTS (41.1%) y TLS 1.3 (93.2%) que el resto de los sitios (HSTS 10.6%, TLS 1.3 73.8%). Las cifras por proveedor que siguen incluyen una fila de CDN como referencia, pero el proveedor de origen es desconocido.
Dónde se alojan los sitios: tres empresas concentran cerca del 60%
Al excluir los nombres detrás de una CDN y los de IP desconocida quedan 952,161 nombres: 931,651 .jp y 20,510 sitios en japonés en gTLD (figura 2). Xserver tiene 206,817 (21.7%), Sakura Internet 197,363 (20.7%), GMO Internet 179,804 (18.9%) y AWS 71,025 (7.5%). Los 38 proveedores nombrados concentran el 95.6%; todos los demás proveedores juntos suman 41,445 nombres (4.4%, 1635 AS).
Si se miran solo los sitios en japonés en gTLD, de los 20,510 nombres que no están detrás de una CDN, AWS aloja el 19.3%, Namecheap el 7.3% y Xserver el 5.5%, mientras que todos los demás proveedores suman el 42.6%.
Adopción de medidas de seguridad
Adopción como proporción de los nombres accesibles, por proveedor (figura 3, tabla 1). La línea discontinua es el valor global excluyendo los sitios detrás de una CDN.
Tabla 1 Medidas de seguridad por proveedor de hosting (% de nombres accesibles, excluidos los sitios detrás de una CDN)
| Proveedor de hosting | Accesibles | Cuota | IP | HTTPS forzado | HSTS | CSP | TLS 1.3 | Versión oculta |
|---|---|---|---|---|---|---|---|---|
| Todos (excluidos los sitios detrás de una CDN) | 952,161 | 100.0% | 171,198 | 94.3% | 10.6% | 6.0% | 73.8% | 83.1% |
| Xserver | 206,817 | 21.7% | 11,802 | 99.4% | 2.3% | 1.5% | 97.9% | 99.1% |
| Sakura Internet | 197,363 | 20.7% | 23,664 | 98.6% | 6.0% | 1.4% | 90.7% | 87.2% |
| GMO Internet | 179,804 | 18.9% | 4,602 | 92.3% | 5.3% | 3.6% | 83.3% | 63.5% |
| AWS (Amazon) | 71,025 | 7.5% | 16,190 | 95.4% | 42.3% | 8.6% | 46.8% | 69.8% |
| NTT DOCOMO BUSINESS (OCN) | 38,392 | 4.0% | 27,651 | 98.1% | 2.3% | 4.5% | 3.8% | 75.5% |
| IDC Frontier | 29,903 | 3.1% | 10,565 | 98.4% | 5.6% | 0.8% | 64.4% | 90.4% |
| GMO GlobalSign Holdings | 29,280 | 3.1% | 2,494 | 98.8% | 11.1% | 0.7% | 32.1% | 96.3% |
| NTTPC | 22,805 | 2.4% | 18,352 | 49.5% | 2.1% | 0.7% | 14.4% | 88.5% |
| 19,126 | 2.0% | 1,773 | 99.4% | 8.1% | 76.3% | 93.5% | 93.9% | |
| DigiRock | 16,042 | 1.7% | 414 | 99.6% | 82.7% | 1.3% | 98.8% | 94.5% |
| CPI (KDDI) | 15,155 | 1.6% | 10,418 | 99.2% | 24.0% | 1.9% | 43.3% | 91.0% |
| Future Spirits | 11,213 | 1.2% | 367 | 96.9% | 8.6% | 67.9% | 43.8% | 87.1% |
| KAGOYA JAPAN | 10,692 | 1.1% | 3,820 | 98.4% | 4.9% | 2.1% | 30.1% | 91.4% |
| Pacific Software Publishing | 9,542 | 1.0% | 58 | 99.7% | 0.1% | 0.1% | 97.8% | 100.0% |
| Otsuka Corporation | 7,734 | 0.8% | 7,711 | 48.7% | 4.9% | 99.5% | 0.1% | 99.8% |
| Canon IT Solutions | 3,817 | 0.4% | 16 | 17.0% | 98.7% | 0.1% | 17.1% | 99.9% |
| IIJ | 3,601 | 0.4% | 1,453 | 93.7% | 19.2% | 5.2% | 42.5% | 79.3% |
| KDDI | 3,452 | 0.4% | 936 | 92.6% | 11.8% | 1.3% | 69.7% | 75.8% |
| IBM Cloud | 3,229 | 0.3% | 72 | 98.8% | 15.7% | 0.0% | 0.6% | 99.0% |
| UCOM | 3,154 | 0.3% | 689 | 94.7% | 11.6% | 1.3% | 28.6% | 44.5% |
| Microsoft (Azure) | 2,957 | 0.3% | 1,332 | 94.9% | 38.1% | 9.6% | 70.1% | 38.1% |
| ASJ | 2,314 | 0.2% | 1,249 | 66.3% | 1.2% | 0.1% | 0.0% | 85.0% |
| Automattic (WordPress.com) | 1,854 | 0.2% | 154 | 87.0% | 78.4% | 1.7% | 99.5% | 99.9% |
| CLARA Online | 1,745 | 0.2% | 253 | 99.4% | 2.2% | 0.4% | 85.7% | 94.4% |
| Wix | 1,676 | 0.2% | 7 | 95.2% | 6.0% | 0.2% | 97.2% | 95.3% |
| ARTERIA Networks | 1,675 | 0.2% | 385 | 89.6% | 37.9% | 1.1% | 47.7% | 75.2% |
| NTT America | 1,588 | 0.2% | 16 | 3.9% | 1.2% | 0.2% | 1.8% | 2.3% |
| Namecheap | 1,565 | 0.2% | 931 | 55.9% | 1.2% | 0.2% | 44.9% | 90.4% |
| Akamai (Linode) | 1,474 | 0.2% | 361 | 92.3% | 16.6% | 2.7% | 38.6% | 74.6% |
| OPTAGE | 1,450 | 0.2% | 437 | 91.4% | 5.4% | 1.0% | 46.7% | 71.3% |
| Trellian (parking) | 1,449 | 0.2% | 51 | 98.8% | 0.0% | 0.0% | 97.0% | 100.0% |
| Mirai Communication Network | 1,418 | 0.1% | 201 | 96.9% | 11.7% | 2.5% | 70.5% | 71.9% |
| SoftBank | 1,392 | 0.1% | 837 | 93.0% | 14.0% | 3.8% | 34.1% | 57.3% |
| Oracle Cloud | 1,316 | 0.1% | 634 | 95.6% | 20.3% | 11.2% | 76.3% | 65.8% |
| Squarespace | 1,241 | 0.1% | 8 | 98.7% | 83.2% | 9.1% | 99.1% | 99.6% |
| Bear Cloud Solutions | 1,176 | 0.1% | 3 | 99.8% | 0.1% | 93.5% | 99.4% | 6.2% |
| Hostinger | 1,167 | 0.1% | 726 | 99.3% | 10.0% | 71.9% | 98.5% | 46.2% |
| Sedo (parking) | 1,113 | 0.1% | 8 | 99.4% | 8.4% | 0.0% | 99.0% | 1.2% |
| Todos los demás proveedores | 41,445 | 4.4% | 20,558 | 83.2% | 15.3% | 6.0% | 54.5% | 71.2% |
| (Referencia) Empresas GMO en conjunto | 209,084 | 22.0% | 7,096 | 93.2% | 6.1% | 3.2% | 76.2% | 68.1% |
| (Referencia) Detrás de una CDN | 133,633 | 12.3% | 45,393 | 98.4% | 41.1% | 17.0% | 93.2% | 88.3% |
- La aplicación de HTTPS es del 94.3% en total y supera el 90% en la mayoría de los proveedores. Valores más bajos: NTTPC 49.5%, Otsuka Corporation 48.7%, Canon IT Solutions 17.0%, NTT America 3.9%.
- HSTS es del 10.6% en total. Es alto en Canon IT Solutions (98.7%), Squarespace (83.2%), DigiRock (82.7%) y Automattic (WordPress.com) (78.4%), y bajo en Xserver (2.3%), NTT DOCOMO BUSINESS (OCN) (2.3%) y Sakura Internet (6.0%). Lo que parece marcar la diferencia es si el servicio lo añade por defecto o lo deja en manos del cliente.
- CSP es del 6.0% en total. Aparte de Otsuka Corporation (99.5%), Google (76.3%) y Future Spirits (67.9%), casi todos los proveedores se quedan en un solo dígito.
- TLS 1.3 se negoció en el 73.8% en total: alto en Xserver (97.9%), DigiRock (98.8%) y Sakura Internet (90.7%), bajo en NTT DOCOMO BUSINESS (OCN) (3.8%), NTTPC (14.4%) y ASJ (0.0%). La versión de TLS la fija el software del servidor, que los clientes de hosting compartido normalmente no pueden cambiar.
- La ocultación de versión es del 83.1% en total: el 99.1% en Xserver frente al 63.5% en GMO Internet, el 44.5% en UCOM y el 38.1% en Microsoft (Azure).
«IP» es el número de direcciones IP distintas que usan los nombres que respondieron en ese proveedor. Cuando miles de nombres comparten un puñado de IP (servicios de parking o redirección, creadores de sitios web), el valor refleja la configuración de un único servicio más que la de sitios individuales.
Versiones de PHP y estado de soporte
La proporción de sitios que anuncian una versión de PHP (mediante X-Powered-By y similares) y, entre ellos, la proporción fuera de soporte (8.1 y anteriores, a fecha de la observación) (figura 4, tabla 2).
Tabla 2 Divulgación de la versión de PHP y estado de soporte por proveedor de hosting (proveedores con 100 o más divulgaciones de PHP)
| Proveedor de hosting | Accesibles | Versión de PHP divulgada | Tasa de divulgación | de ellas, fuera de soporte | de ellas, solo parches de seguridad (8.2) | de ellas, sin parche para las CVE críticas de 2026 |
|---|---|---|---|---|---|---|
| Todos (excluidos los sitios detrás de una CDN) | 952,161 | 105,237 | 11.1% | 53.5% | 4.8% | 49.7% |
| Xserver | 206,817 | 284 | 0.1% | 28.5% | 11.3% | 30.3% |
| Sakura Internet | 197,363 | 17,804 | 9.0% | 86.3% | 1.9% | 81.2% |
| GMO Internet | 179,804 | 64,164 | 35.7% | 47.9% | 4.9% | 45.7% |
| AWS (Amazon) | 71,025 | 3,028 | 4.3% | 61.6% | 16.6% | 58.9% |
| NTT DOCOMO BUSINESS (OCN) | 38,392 | 8,072 | 21.0% | 5.4% | 0.5% | 5.1% |
| IDC Frontier | 29,903 | 2,020 | 6.8% | 83.4% | 8.1% | 31.5% |
| GMO GlobalSign Holdings | 29,280 | 537 | 1.8% | 62.4% | 4.7% | 56.4% |
| NTTPC | 22,805 | 680 | 3.0% | 49.3% | 3.7% | 42.9% |
| 19,126 | 167 | 0.9% | 44.3% | 13.2% | 46.7% | |
| DigiRock | 16,042 | 329 | 2.1% | 92.4% | 0.9% | 88.8% |
| CPI (KDDI) | 15,155 | 1,337 | 8.8% | 95.5% | 0.7% | 74.9% |
| KAGOYA JAPAN | 10,692 | 311 | 2.9% | 61.4% | 5.8% | 55.9% |
| IIJ | 3,601 | 255 | 7.1% | 70.6% | 5.1% | 70.6% |
| KDDI | 3,452 | 281 | 8.1% | 46.6% | 15.7% | 34.9% |
| UCOM | 3,154 | 298 | 9.4% | 63.8% | 17.1% | 51.0% |
| Microsoft (Azure) | 2,957 | 203 | 6.9% | 26.6% | 12.8% | 27.6% |
| ASJ | 2,314 | 253 | 10.9% | 99.2% | 0.4% | 98.0% |
| ARTERIA Networks | 1,675 | 111 | 6.6% | 75.7% | 13.5% | 72.1% |
| Akamai (Linode) | 1,474 | 127 | 8.6% | 66.1% | 10.2% | 57.5% |
| Mirai Communication Network | 1,418 | 325 | 22.9% | 37.5% | 4.3% | 37.2% |
| SoftBank | 1,392 | 214 | 15.4% | 58.9% | 21.0% | 48.6% |
| Oracle Cloud | 1,316 | 154 | 11.7% | 42.9% | 3.9% | 42.9% |
| Hostinger | 1,167 | 600 | 51.4% | 15.5% | 26.8% | 42.8% |
| Todos los demás proveedores | 41,445 | 3,402 | 8.2% | 61.1% | 9.2% | 57.5% |
| (Referencia) Empresas GMO en conjunto | 209,084 | 64,701 | 30.9% | 48.0% | 4.9% | 45.7% |
- De los 105,237 sitios que anuncian una versión de PHP, 64,164 están en GMO Internet (tasa de divulgación del 35.7%). Las diferencias en la tasa de divulgación parecen reflejar si la configuración del servidor incluye la versión en
X-Powered-By. La tasa de divulgación de Xserver es del 0.1%; casi ningún sitio allí anuncia una versión. - La proporción fuera de soporte va del 5.4% en NTT DOCOMO BUSINESS (OCN) al 99.2% en ASJ, con CPI (KDDI) en el 95.5%, DigiRock en el 92.4% y Sakura Internet en el 86.3%. En el hosting compartido, el cliente suele elegir la versión de PHP en un panel de control; si muchos sitios mantienen una selección antigua, la proporción es alta aunque el proveedor ofrezca versiones actuales.
- El 49.7% de los sitios que anuncian una versión de PHP anuncia una dentro del rango afectado por las vulnerabilidades críticas de PHP de 2026 (CVE-2026-109618 / 109619).
Exposición a CVE (cota superior)
La proporción de sitios cuya cabecera Server, X-Powered-By o cadena de versión del CMS cae dentro del rango afectado por una CVE publicada para PHP, Apache, nginx, WordPress y otros (NVD, consultada el 2026-10-29) (figura 5, tabla 3). Las reglas de coincidencia son las mismas que en el artículo H. Como no pueden verse los parches retroportados por las distribuciones, se trata de una cota superior. No se probó ninguna explotación.
Tabla 3 Exposición a CVE por proveedor de hosting (cota superior, % de nombres accesibles; proveedores con 100 o más divulgaciones de PHP)
| Proveedor de hosting | Dentro del rango de una CVE conocida | Tipo RCE (excl. solo Windows) | Gravedad CRITICAL |
|---|---|---|---|
| Todos (excluidos los sitios detrás de una CDN) | 8.7% | 1.7% | 7.8% |
| Xserver | 0.5% | 0.3% | 0.3% |
| Sakura Internet | 11.4% | 2.3% | 10.7% |
| GMO Internet | 18.0% | 3.2% | 17.8% |
| AWS (Amazon) | 11.2% | 1.0% | 7.3% |
| NTT DOCOMO BUSINESS (OCN) | 2.9% | 0.6% | 2.6% |
| IDC Frontier | 7.4% | 5.0% | 7.1% |
| GMO GlobalSign Holdings | 2.4% | 0.9% | 2.3% |
| NTTPC | 9.5% | 1.1% | 5.5% |
| 2.5% | 0.2% | 1.4% | |
| DigiRock | 2.1% | 0.2% | 2.0% |
| CPI (KDDI) | 8.6% | 6.5% | 8.6% |
| KAGOYA JAPAN | 6.0% | 1.3% | 5.1% |
| IIJ | 10.2% | 1.6% | 9.3% |
| KDDI | 14.4% | 2.1% | 12.4% |
| UCOM | 47.0% | 3.7% | 16.0% |
| Microsoft (Azure) | 7.5% | 0.6% | 5.5% |
| ASJ | 15.0% | 0.3% | 15.0% |
| ARTERIA Networks | 20.5% | 3.8% | 18.6% |
| Akamai (Linode) | 11.5% | 1.5% | 10.2% |
| Mirai Communication Network | 9.5% | 2.0% | 9.5% |
| SoftBank | 24.7% | 5.7% | 23.1% |
| Oracle Cloud | 10.8% | 0.9% | 8.4% |
| Hostinger | 24.0% | 0.3% | 22.7% |
| Todos los demás proveedores | 14.1% | 2.8% | 11.4% |
| (Referencia) Empresas GMO en conjunto | 15.8% | 2.8% | 15.6% |
En total: 8.7%. UCOM (47.0%), SoftBank (24.7%), Hostinger (24.0%), ARTERIA Networks (20.5%) y GMO Internet (18.0%) están por encima del valor global; Xserver (0.5%), DigiRock (2.1%) y GMO GlobalSign Holdings (2.4%) quedan bajos. Los sitios que no anuncian una versión no pueden cotejarse, por lo que los proveedores con una alta ocultación de versión salen con valores más bajos. El valor indica que se está anunciando una versión antigua; no significa que un ataque fuera a tener éxito.
País de registro de la dirección IP
Excluyendo los sitios detrás de una CDN, el 85.4% de las direcciones IP que sirven los sitios está registrado en Japón (el 86.9% solo en .jp). Los proveedores nacionales están registrados en Japón casi al 100%, mientras que AWS (98.5% registrado en EE. UU.), Google, Microsoft (Azure) y Oracle Cloud están registrados en Estados Unidos y otros países (figura 6).
El país de registro procede de los registros de asignación de los RIR y puede no coincidir con la ubicación del servidor. Los proveedores de nube extranjeros suelen registrar en su país de origen las direcciones que usan en sus centros de datos japoneses (regiones de Tokio y Osaka), así que «registrado en EE. UU.» no significa «ubicado en EE. UU.».
Proveedor de NS frente a proveedor de hosting
Para cada proveedor de NS del artículo H (los 10 primeros), el proveedor de hosting cuya IP sirvió el sitio web (figura 7, solo .jp).
- El 92.3% de los nombres con NS de Xserver, el 93.3% con NS de Sakura Internet y el 93.4% con NS de CPI (KDDI) también se sirvieron desde IP de la misma empresa: el DNS y la web están en un mismo proveedor.
- El 78.1% de los nombres con NS de GMO Pepabo se sirvió desde IP del AS de GMO Internet. A nivel de AS, no se puede distinguir la empresa titular del AS de una empresa que presta servicios sobre su infraestructura (§2).
- Los nombres con NS de GMO (VALUE-DOMAIN) se reparten entre DigiRock (40.9%), GMO Internet (29.2%) y Sakura Internet (10.6%). Los nombres con NS de GMO (DNSv) están repartidos entre Sakura Internet (22.9%), AWS (12.3%), sitios detrás de una CDN (14.5%) y otros: el DNS se aloja en un sitio y la web en otro.
- Nombres con NS de AWS Route 53: AWS 37.4%, detrás de una CDN 33.1%, IDC Frontier 10.9%. Nombres con NS de Cloudflare: 85.6% detrás de una CDN.
- Nombres con NS de customer.ne.jp: NTT DOCOMO BUSINESS (OCN) 79.3%, NTTPC 13.5%.
Esto pone cifras a la afirmación del artículo H de que el proveedor de NS no es el proveedor de hosting: en las empresas de hosting compartido, los valores por NS y por host son parecidos; en los proveedores solo de DNS y de CDN difieren mucho.
Cómo leer las cifras: esto no es una evaluación de los proveedores
- Quién decide la configuración: en el hosting compartido, la versión de PHP puede ser un valor predeterminado del proveedor o una elección del cliente en un panel de control. HSTS y CSP los añade sobre todo el cliente en
.htaccesso en la aplicación. En VPS y en la nube, el cliente gestiona todo, desde el sistema operativo hasta la aplicación. Cada valor describe «los sitios alojados en ese proveedor» y no mide directamente la calidad de la seguridad del propio proveedor. - Modelos de negocio distintos: en la misma tabla aparecen hosting compartido, VPS y nube, creadores de sitios web y servicios de parking o redirección. No se puede clasificar sin más a proveedores con modelos de servicio diferentes.
- Los AS son a nivel de empresa: las marcas de una misma empresa no pueden separarse, y los servicios construidos sobre infraestructura alquilada se cuentan bajo el propietario de la infraestructura.
- Lo que hay detrás de una CDN es desconocido: los sitios detrás de una CDN se excluyeron de los denominadores, así que, en los proveedores cuyos clientes usan mucho las CDN, los valores solo abarcan los sitios que no las usan.
Declaración de conflicto de intereses: el autor dirige un negocio de dominios (un registrador acreditado por JPRS) a través de SkyClear Co., Ltd., y fue anteriormente el número dos de una filial del Grupo GMO. Entre los proveedores de este artículo figuran empresas del grupo GMO (GMO Internet, GMO GlobalSign Holdings y otras). Todos los valores se calcularon para cada proveedor con el mismo método y los mismos criterios, y los nombres de empresa se basan en datos públicos (tablas de enrutamiento y nombres de organización de AS).
Límites y salvedades
- Los límites de la población y de la observación son los mismos que en el artículo H (cobertura del registro: 63.0% del número de registros de JPRS; accesibilidad desde el punto de observación; respuestas 403 contadas como accesibles; cotas superiores basadas en versiones).
- El proveedor de hosting es el AS de origen en la tabla de enrutamiento; no se reflejan el espacio de direcciones arrendado ni el desfase entre la fecha de la tabla de enrutamiento (2026-10-28) y la fecha de observación (2026-10-29). Las IP ausentes de la tabla de enrutamiento y los nombres cuya IP no pudo registrarse se excluyeron como «IP desconocida» (0.4%).
- La dirección IP es el resultado de una única resolución en el momento de la observación; los nombres con varias direcciones se cuentan una sola vez.
- La detección de CDN se basa en las cabeceras de respuesta y en el AS. No pueden detectarse las CDN que no se identifican ni los proveedores que entregan el contenido a través de su propia red.
- No se avisó a los proveedores con antelación. Los valores describen hechos observados.
- En este artículo no se indican nombres de sitios ni de dominios concretos.
Con el mismo método no intrusivo de este estudio, compruebe qué anuncia su servidor: TLS, HSTS, cabeceras y versiones. Sin necesidad de registro.
Usar: Información del servidorPreguntas frecuentes
¿Es esto una clasificación de proveedores?
No. Aparecen uno junto a otro proveedores con modelos distintos (hosting compartido, VPS y nube, creadores de sitios web), y la versión de PHP y las cabeceras las deciden sobre todo los clientes. Los valores describen «los sitios que respondieron desde las direcciones IP de ese proveedor».
¿Cómo se determinó el proveedor de hosting?
La dirección IP que sirvió el sitio web se buscó en una tabla de enrutamiento pública (CAIDA RouteViews) para hallar su AS, y el nombre de organización del AS (CAIDA AS Organizations) se normalizó a un nombre de empresa. El nombre es el de la empresa titular del AS, no el de una marca de servicio.
¿Cómo se trataron los sitios que usan una CDN?
Cuando hay una CDN como Cloudflare delante, la IP pertenece a la CDN y el servidor real (origen) es desconocido. No se dedujo el origen; esos sitios se contaron aparte como «detrás de una CDN» y se excluyeron de los denominadores por proveedor.
¿En qué se diferencia esto de los valores por proveedor de NS del artículo H?
El proveedor de NS es donde se aloja el DNS; el proveedor de hosting es el titular de la IP que sirvió el sitio web. A menudo son empresas distintas. La correspondencia se muestra en el §9.
¿Puedo comprobar mi propio sitio de la misma manera?
Sí. Introduzca una URL en la comprobación de información del servidor de Site Scouter para ver TLS, HSTS, cabeceras y divulgación de versiones con el mismo método no intrusivo de este estudio.
¿Puedo excluir mi sitio de la observación?
Póngase en contacto con nosotros a través del formulario de contacto de Site Scouter. Se excluirá de las observaciones posteriores.
Referencias
Última revisión: 2026-10-30. Las especificaciones y políticas pueden cambiar; consulte las fuentes primarias antes de actuar.
- CAIDA: RouteViews Prefix-to-AS mappings
- CAIDA: AS Organizations
- APNIC: Delegated statistics (RIR allocation records)
- PHP: Supported Versions (php.net)
- NVD - National Vulnerability Database (NIST)
- Interim report: Security Exposure Across the .jp Domain Space (Site Scouter)
Yuki Nakazawa (blog personal nkzw.jp)
Contacto: Sitio oficial ／ YouTube ／ Instagram ／ LinkedIn ／ X ／ Telegram