Exposition de sécurité des domaines JP par hébergeur, 2026 — où sont hébergés 1,090,213 sites .jp et sites en japonais sur gTLD, et comment ils sont configurés
- Une observation non intrusive a été appliquée à chaque nom d'un registre de domaines .jp délégués (1,197,208 noms au 2026-10-29) et à 131,622 sites en japonais sur des gTLD (.com / .net / .org). Les 1,090,213 noms dont le site web a répondu sont ici regroupés selon l'hébergeur de l'adresse IP qui a servi la réponse. Il s'agit d'un autre découpage des mêmes données que l'article H (rapport intermédiaire).
- L'hébergeur est déterminé en recherchant l'adresse IP dans une table de routage publique (CAIDA RouteViews), puis en normalisant l'AS d'origine en nom de société. Les sites derrière un CDN (Cloudflare, AWS CloudFront et autres) représentaient 12.3% (11.0% des .jp, 45.8% des sites en japonais sur gTLD) ; l'origine n'a pas été déduite et ces sites ont été retirés des dénominateurs par hébergeur.
- Sur les 952,161 noms restants, Xserver en héberge 21.7%, Sakura Internet 20.7% et GMO Internet 18.9% : 61.3% pour les trois. Les 38 hébergeurs comptant 1,000 noms joignables ou plus sont nommés.
- L'imposition du HTTPS dépasse 90% chez la plupart des hébergeurs, mais HSTS (10.6% au global), CSP (6.0%) et TLS 1.3 (73.8%) vont de quelques pour cent à plus de 90% selon l'hébergeur. Chez Xserver, le plus grand, HSTS est à 2.3% alors que le masquage de version atteint 99.1% et TLS 1.3 97.9% : les éléments fixés par la plateforme serveur et ceux que le client ajoute habituellement divergent nettement.
- 11.1% des sites (105,237) annoncent une version de PHP, et 53.5% d'entre elles sont en fin de vie. Le nombre de divulgations varie fortement selon l'hébergeur : les sites chez GMO Internet en représentent 64,164 (61.0% de toutes les divulgations). Parmi les hébergeurs comptant 100 divulgations PHP ou plus, la part de versions en fin de vie va de 5.4% à 99.2%.
- 8.7% des sites annoncent une version comprise dans la plage d'une CVE publiée (borne supérieure). 85.4% des adresses IP qui servent les sites sont enregistrées au Japon ; les adresses IP de fournisseurs étrangers comme AWS et Google sont souvent enregistrées dans le pays d'origine de la société, même lorsqu'elles sont utilisées dans des centres de données japonais.
- Les valeurs décrivent les sites hébergés chez chaque hébergeur, et non l'hébergeur lui-même. Même en hébergement mutualisé, la version de PHP et la plupart des en-têtes sont souvent choisies ou ajoutées par le client.
Cet article est également publié en anglais sur sitescouter.net et nkzw.jp, et en japonais sur sitescouter.net. Ceci est l'édition française de Site Scouter, traduite de la version anglaise.
La place de cet article
L'article H (Vue d'ensemble de l'exposition de PHP et d'autres vulnérabilités dans les domaines JP — rapport intermédiaire) présentait l'adoption par fournisseur NS, c'est-à-dire la société où est hébergé le DNS d'un domaine, qui n'est pas forcément celle où se trouve le site web. Cet article regroupe les mêmes observations selon le détenteur de l'adresse IP qui a effectivement servi le site web (l'hébergeur).
L'article H ne donnait pas l'exposition aux CVE par fournisseur NS, car la divulgation de version et les CVE dépendent de la configuration côté site. Ici, l'hébergeur est défini explicitement, et la part de PHP en fin de vie ainsi que l'exposition aux CVE (borne supérieure) sont également présentées par hébergeur. Les valeurs décrivent « les sites qui ont répondu depuis les adresses IP de cet hébergeur » et ne constituent pas une évaluation de la sécurité propre de l'hébergeur (§10).
Comment l'hébergeur est défini
L'observation est la même que dans l'article H : une requête DNS, une connexion TLS et un HTTP GET par domaine, avec enregistrement des en-têtes de réponse et du certificat. Le collecteur a également enregistré l'adresse IPv4 obtenue au moment de l'observation (99.6% des noms dont le DNS a été résolu).
- Unité : comme dans l'article H, si
example.jpa répondu, sa ligne est utilisée ; sinon, siwww.example.jpa répondu, c'est la ligne www qui est utilisée. L'hébergeur est déterminé à partir de l'adresse IP de cette ligne - Numéro d'AS : l'adresse IP a été recherchée par correspondance du préfixe le plus long dans CAIDA RouteViews prefix2as (2026-10-28, AS d'origine dans la table de routage). La table de routage est une donnée publique ; aucun accès supplémentaire n'a été fait aux sites observés
- Nom de société : les numéros d'AS ont été associés à des noms d'organisation avec CAIDA AS Organizations (2026-10-01), et les différents AS d'une même société (comme les trois de Sakura Internet) ont été fusionnés. L'association repose uniquement sur des données publiques (1,818 AS sont apparus)
- Derrière un CDN : les sites pour lesquels un CDN ou un WAF a été détecté dans les en-têtes de réponse, ou dont l'IP appartient à l'AS d'un opérateur de CDN (Cloudflare, Fastly, le CDN d'Akamai, Imperva et autres), ont été comptés à part comme « derrière un CDN » et retirés des dénominateurs par hébergeur. L'origine derrière le CDN n'a pas été déduite
- Seuil de désignation : les hébergeurs comptant 1,000 noms joignables ou plus (hors sites derrière un CDN et IP inconnue) sont nommés ; les autres sont regroupés sous « tous les autres hébergeurs ». L'état de support de PHP et l'exposition aux CVE ne sont présentés que pour les hébergeurs comptant 100 noms ou plus annonçant une version de PHP
- Pays d'enregistrement de l'IP : registres d'allocation des cinq registres Internet régionaux (identique à la figure 16 de l'article H)
Une société peut exploiter plusieurs marques (hébergement mutualisé, VPS, cloud) sur le même AS, ce qui est impossible à distinguer au niveau de l'AS ; les noms de cet article sont donc les sociétés qui détiennent l'AS, et non des marques de services. À l'inverse, un hébergeur qui revend l'infrastructure d'une autre société est compté sous le propriétaire de l'infrastructure.
Derrière un CDN — près de la moitié des sites en japonais sur gTLD sont derrière Cloudflare
Parmi les sites qui ont répondu, un CDN était placé en frontal pour 11.0% des .jp (Cloudflare 7.2%, AWS CloudFront 2.9%, Fastly 0.6%) et pour 45.8% des sites en japonais sur gTLD (Cloudflare 44.9%) (figure 1). Seuls 53.8% des sites en japonais sur gTLD ayant répondu peuvent être attribués à un hébergeur.
Comme le CDN réécrit certains en-têtes, les sites derrière un CDN affichent des taux de HSTS (41.1%) et de TLS 1.3 (93.2%) plus élevés que tous les autres sites (HSTS 10.6%, TLS 1.3 73.8%). Les chiffres par hébergeur ci-dessous incluent une ligne CDN à titre de référence, mais l'hébergeur d'origine est inconnu.
Où sont hébergés les sites — trois sociétés en détiennent environ 60%
En excluant les noms derrière un CDN et ceux dont l'IP est inconnue, il reste 952,161 noms : 931,651 .jp et 20,510 sites en japonais sur gTLD (figure 2). Xserver en compte 206,817 (21.7%), Sakura Internet 197,363 (20.7%), GMO Internet 179,804 (18.9%) et AWS 71,025 (7.5%). Les 38 hébergeurs nommés détiennent 95.6% ; tous les autres hébergeurs réunis détiennent 41,445 noms (4.4%, 1635 AS).
Si l'on considère uniquement les sites en japonais sur gTLD, sur les 20,510 noms qui ne sont pas derrière un CDN, AWS en héberge 19.3%, Namecheap 7.3% et Xserver 5.5%, tandis que tous les autres hébergeurs en détiennent 42.6%.
Adoption des mesures de sécurité
Adoption en part des noms joignables, par hébergeur (figure 3, tableau 1). La ligne pointillée correspond à la valeur globale hors sites derrière un CDN.
Tableau 1 Mesures de sécurité par hébergeur (% des noms joignables, hors sites derrière un CDN)
| Hébergeur | Joignables | Part | IP | HTTPS imposé | HSTS | CSP | TLS 1.3 | Version masquée |
|---|---|---|---|---|---|---|---|---|
| Total (hors sites derrière un CDN) | 952,161 | 100.0% | 171,198 | 94.3% | 10.6% | 6.0% | 73.8% | 83.1% |
| Xserver | 206,817 | 21.7% | 11,802 | 99.4% | 2.3% | 1.5% | 97.9% | 99.1% |
| Sakura Internet | 197,363 | 20.7% | 23,664 | 98.6% | 6.0% | 1.4% | 90.7% | 87.2% |
| GMO Internet | 179,804 | 18.9% | 4,602 | 92.3% | 5.3% | 3.6% | 83.3% | 63.5% |
| AWS (Amazon) | 71,025 | 7.5% | 16,190 | 95.4% | 42.3% | 8.6% | 46.8% | 69.8% |
| NTT DOCOMO BUSINESS (OCN) | 38,392 | 4.0% | 27,651 | 98.1% | 2.3% | 4.5% | 3.8% | 75.5% |
| IDC Frontier | 29,903 | 3.1% | 10,565 | 98.4% | 5.6% | 0.8% | 64.4% | 90.4% |
| GMO GlobalSign Holdings | 29,280 | 3.1% | 2,494 | 98.8% | 11.1% | 0.7% | 32.1% | 96.3% |
| NTTPC | 22,805 | 2.4% | 18,352 | 49.5% | 2.1% | 0.7% | 14.4% | 88.5% |
| 19,126 | 2.0% | 1,773 | 99.4% | 8.1% | 76.3% | 93.5% | 93.9% | |
| DigiRock | 16,042 | 1.7% | 414 | 99.6% | 82.7% | 1.3% | 98.8% | 94.5% |
| CPI (KDDI) | 15,155 | 1.6% | 10,418 | 99.2% | 24.0% | 1.9% | 43.3% | 91.0% |
| Future Spirits | 11,213 | 1.2% | 367 | 96.9% | 8.6% | 67.9% | 43.8% | 87.1% |
| KAGOYA JAPAN | 10,692 | 1.1% | 3,820 | 98.4% | 4.9% | 2.1% | 30.1% | 91.4% |
| Pacific Software Publishing | 9,542 | 1.0% | 58 | 99.7% | 0.1% | 0.1% | 97.8% | 100.0% |
| Otsuka Corporation | 7,734 | 0.8% | 7,711 | 48.7% | 4.9% | 99.5% | 0.1% | 99.8% |
| Canon IT Solutions | 3,817 | 0.4% | 16 | 17.0% | 98.7% | 0.1% | 17.1% | 99.9% |
| IIJ | 3,601 | 0.4% | 1,453 | 93.7% | 19.2% | 5.2% | 42.5% | 79.3% |
| KDDI | 3,452 | 0.4% | 936 | 92.6% | 11.8% | 1.3% | 69.7% | 75.8% |
| IBM Cloud | 3,229 | 0.3% | 72 | 98.8% | 15.7% | 0.0% | 0.6% | 99.0% |
| UCOM | 3,154 | 0.3% | 689 | 94.7% | 11.6% | 1.3% | 28.6% | 44.5% |
| Microsoft (Azure) | 2,957 | 0.3% | 1,332 | 94.9% | 38.1% | 9.6% | 70.1% | 38.1% |
| ASJ | 2,314 | 0.2% | 1,249 | 66.3% | 1.2% | 0.1% | 0.0% | 85.0% |
| Automattic (WordPress.com) | 1,854 | 0.2% | 154 | 87.0% | 78.4% | 1.7% | 99.5% | 99.9% |
| CLARA Online | 1,745 | 0.2% | 253 | 99.4% | 2.2% | 0.4% | 85.7% | 94.4% |
| Wix | 1,676 | 0.2% | 7 | 95.2% | 6.0% | 0.2% | 97.2% | 95.3% |
| ARTERIA Networks | 1,675 | 0.2% | 385 | 89.6% | 37.9% | 1.1% | 47.7% | 75.2% |
| NTT America | 1,588 | 0.2% | 16 | 3.9% | 1.2% | 0.2% | 1.8% | 2.3% |
| Namecheap | 1,565 | 0.2% | 931 | 55.9% | 1.2% | 0.2% | 44.9% | 90.4% |
| Akamai (Linode) | 1,474 | 0.2% | 361 | 92.3% | 16.6% | 2.7% | 38.6% | 74.6% |
| OPTAGE | 1,450 | 0.2% | 437 | 91.4% | 5.4% | 1.0% | 46.7% | 71.3% |
| Trellian (parking) | 1,449 | 0.2% | 51 | 98.8% | 0.0% | 0.0% | 97.0% | 100.0% |
| Mirai Communication Network | 1,418 | 0.1% | 201 | 96.9% | 11.7% | 2.5% | 70.5% | 71.9% |
| SoftBank | 1,392 | 0.1% | 837 | 93.0% | 14.0% | 3.8% | 34.1% | 57.3% |
| Oracle Cloud | 1,316 | 0.1% | 634 | 95.6% | 20.3% | 11.2% | 76.3% | 65.8% |
| Squarespace | 1,241 | 0.1% | 8 | 98.7% | 83.2% | 9.1% | 99.1% | 99.6% |
| Bear Cloud Solutions | 1,176 | 0.1% | 3 | 99.8% | 0.1% | 93.5% | 99.4% | 6.2% |
| Hostinger | 1,167 | 0.1% | 726 | 99.3% | 10.0% | 71.9% | 98.5% | 46.2% |
| Sedo (parking) | 1,113 | 0.1% | 8 | 99.4% | 8.4% | 0.0% | 99.0% | 1.2% |
| Tous les autres hébergeurs | 41,445 | 4.4% | 20,558 | 83.2% | 15.3% | 6.0% | 54.5% | 71.2% |
| (Référence) Sociétés GMO cumulées | 209,084 | 22.0% | 7,096 | 93.2% | 6.1% | 3.2% | 76.2% | 68.1% |
| (Référence) Derrière un CDN | 133,633 | 12.3% | 45,393 | 98.4% | 41.1% | 17.0% | 93.2% | 88.3% |
- L'imposition du HTTPS atteint 94.3% au global et dépasse 90% chez la plupart des hébergeurs. Valeurs plus basses : NTTPC 49.5%, Otsuka Corporation 48.7%, Canon IT Solutions 17.0%, NTT America 3.9%.
- HSTS est à 10.6% au global. Il est élevé chez Canon IT Solutions (98.7%), Squarespace (83.2%), DigiRock (82.7%) et Automattic (WordPress.com) (78.4%), et bas chez Xserver (2.3%), NTT DOCOMO BUSINESS (OCN) (2.3%) et Sakura Internet (6.0%). La différence semble tenir au fait que le service l'ajoute par défaut ou le laisse au client.
- CSP est à 6.0% au global. En dehors d'Otsuka Corporation (99.5%), Google (76.3%) et Future Spirits (67.9%), presque tous les hébergeurs affichent un taux à un seul chiffre.
- TLS 1.3 a été négocié par 73.8% des sites au global : élevé chez Xserver (97.9%), DigiRock (98.8%) et Sakura Internet (90.7%), bas chez NTT DOCOMO BUSINESS (OCN) (3.8%), NTTPC (14.4%) et ASJ (0.0%). La version de TLS est fixée par le logiciel serveur, que les clients d'un hébergement mutualisé ne peuvent généralement pas modifier.
- Le masquage de version atteint 83.1% au global : 99.1% chez Xserver contre 63.5% chez GMO Internet, 44.5% chez UCOM et 38.1% chez Microsoft (Azure).
« IP » est le nombre d'adresses IP distinctes utilisées par les noms qui ont répondu chez cet hébergeur. Lorsque des milliers de noms partagent une poignée d'IP (services de parking ou de redirection, créateurs de sites web), la valeur reflète la configuration d'un seul service plutôt que celle de sites individuels.
Versions de PHP et état de support
La part des sites annonçant une version de PHP (via X-Powered-By et équivalents), et la part de versions en fin de vie parmi elles (8.1 et antérieures, à la date d'observation) (figure 4, tableau 2).
Tableau 2 Divulgation de la version de PHP et état de support par hébergeur (hébergeurs comptant 100+ divulgations PHP)
| Hébergeur | Joignables | Version de PHP divulguée | Taux de divulgation | dont fin de vie | dont correctifs de sécurité uniquement (8.2) | dont non corrigées pour les CVE critiques de 2026 |
|---|---|---|---|---|---|---|
| Total (hors sites derrière un CDN) | 952,161 | 105,237 | 11.1% | 53.5% | 4.8% | 49.7% |
| Xserver | 206,817 | 284 | 0.1% | 28.5% | 11.3% | 30.3% |
| Sakura Internet | 197,363 | 17,804 | 9.0% | 86.3% | 1.9% | 81.2% |
| GMO Internet | 179,804 | 64,164 | 35.7% | 47.9% | 4.9% | 45.7% |
| AWS (Amazon) | 71,025 | 3,028 | 4.3% | 61.6% | 16.6% | 58.9% |
| NTT DOCOMO BUSINESS (OCN) | 38,392 | 8,072 | 21.0% | 5.4% | 0.5% | 5.1% |
| IDC Frontier | 29,903 | 2,020 | 6.8% | 83.4% | 8.1% | 31.5% |
| GMO GlobalSign Holdings | 29,280 | 537 | 1.8% | 62.4% | 4.7% | 56.4% |
| NTTPC | 22,805 | 680 | 3.0% | 49.3% | 3.7% | 42.9% |
| 19,126 | 167 | 0.9% | 44.3% | 13.2% | 46.7% | |
| DigiRock | 16,042 | 329 | 2.1% | 92.4% | 0.9% | 88.8% |
| CPI (KDDI) | 15,155 | 1,337 | 8.8% | 95.5% | 0.7% | 74.9% |
| KAGOYA JAPAN | 10,692 | 311 | 2.9% | 61.4% | 5.8% | 55.9% |
| IIJ | 3,601 | 255 | 7.1% | 70.6% | 5.1% | 70.6% |
| KDDI | 3,452 | 281 | 8.1% | 46.6% | 15.7% | 34.9% |
| UCOM | 3,154 | 298 | 9.4% | 63.8% | 17.1% | 51.0% |
| Microsoft (Azure) | 2,957 | 203 | 6.9% | 26.6% | 12.8% | 27.6% |
| ASJ | 2,314 | 253 | 10.9% | 99.2% | 0.4% | 98.0% |
| ARTERIA Networks | 1,675 | 111 | 6.6% | 75.7% | 13.5% | 72.1% |
| Akamai (Linode) | 1,474 | 127 | 8.6% | 66.1% | 10.2% | 57.5% |
| Mirai Communication Network | 1,418 | 325 | 22.9% | 37.5% | 4.3% | 37.2% |
| SoftBank | 1,392 | 214 | 15.4% | 58.9% | 21.0% | 48.6% |
| Oracle Cloud | 1,316 | 154 | 11.7% | 42.9% | 3.9% | 42.9% |
| Hostinger | 1,167 | 600 | 51.4% | 15.5% | 26.8% | 42.8% |
| Tous les autres hébergeurs | 41,445 | 3,402 | 8.2% | 61.1% | 9.2% | 57.5% |
| (Référence) Sociétés GMO cumulées | 209,084 | 64,701 | 30.9% | 48.0% | 4.9% | 45.7% |
- Sur les 105,237 sites annonçant une version de PHP, 64,164 sont chez GMO Internet (taux de divulgation de 35.7%). Les écarts de taux de divulgation semblent refléter le fait que la configuration du serveur inscrit ou non la version dans
X-Powered-By. Le taux de divulgation de Xserver est de 0.1% ; presque aucun site n'y annonce de version. - La part de versions en fin de vie va de 5.4% chez NTT DOCOMO BUSINESS (OCN) à 99.2% chez ASJ, avec CPI (KDDI) à 95.5%, DigiRock à 92.4% et Sakura Internet à 86.3%. En hébergement mutualisé, c'est souvent le client qui choisit la version de PHP dans un panneau de contrôle ; si de nombreux sites conservent un ancien choix, la part est élevée même lorsque l'hébergeur propose des versions actuelles.
- 49.7% des sites annonçant une version de PHP annoncent une version comprise dans la plage affectée par les vulnérabilités critiques de PHP de 2026 (CVE-2026-109618 / 109619).
Exposition aux CVE (borne supérieure)
La part des sites dont l'en-tête Server, X-Powered-By ou la chaîne de version du CMS se situe dans la plage affectée d'une CVE publiée pour PHP, Apache, nginx, WordPress et d'autres (NVD, récupéré le 2026-10-29) (figure 5, tableau 3). Les règles de correspondance sont les mêmes que dans l'article H. Comme les rétroportages des distributions ne sont pas visibles, il s'agit d'une borne supérieure. L'exploitation n'a pas été testée.
Tableau 3 Exposition aux CVE par hébergeur (borne supérieure, % des noms joignables ; hébergeurs comptant 100+ divulgations PHP)
| Hébergeur | Dans la plage d'une CVE connue | Classe RCE (hors Windows uniquement) | Sévérité CRITICAL |
|---|---|---|---|
| Total (hors sites derrière un CDN) | 8.7% | 1.7% | 7.8% |
| Xserver | 0.5% | 0.3% | 0.3% |
| Sakura Internet | 11.4% | 2.3% | 10.7% |
| GMO Internet | 18.0% | 3.2% | 17.8% |
| AWS (Amazon) | 11.2% | 1.0% | 7.3% |
| NTT DOCOMO BUSINESS (OCN) | 2.9% | 0.6% | 2.6% |
| IDC Frontier | 7.4% | 5.0% | 7.1% |
| GMO GlobalSign Holdings | 2.4% | 0.9% | 2.3% |
| NTTPC | 9.5% | 1.1% | 5.5% |
| 2.5% | 0.2% | 1.4% | |
| DigiRock | 2.1% | 0.2% | 2.0% |
| CPI (KDDI) | 8.6% | 6.5% | 8.6% |
| KAGOYA JAPAN | 6.0% | 1.3% | 5.1% |
| IIJ | 10.2% | 1.6% | 9.3% |
| KDDI | 14.4% | 2.1% | 12.4% |
| UCOM | 47.0% | 3.7% | 16.0% |
| Microsoft (Azure) | 7.5% | 0.6% | 5.5% |
| ASJ | 15.0% | 0.3% | 15.0% |
| ARTERIA Networks | 20.5% | 3.8% | 18.6% |
| Akamai (Linode) | 11.5% | 1.5% | 10.2% |
| Mirai Communication Network | 9.5% | 2.0% | 9.5% |
| SoftBank | 24.7% | 5.7% | 23.1% |
| Oracle Cloud | 10.8% | 0.9% | 8.4% |
| Hostinger | 24.0% | 0.3% | 22.7% |
| Tous les autres hébergeurs | 14.1% | 2.8% | 11.4% |
| (Référence) Sociétés GMO cumulées | 15.8% | 2.8% | 15.6% |
Global : 8.7%. UCOM (47.0%), SoftBank (24.7%), Hostinger (24.0%), ARTERIA Networks (20.5%) et GMO Internet (18.0%) sont au-dessus de la valeur globale ; Xserver (0.5%), DigiRock (2.1%) et GMO GlobalSign Holdings (2.4%) sont bas. Les sites qui n'annoncent pas de version ne peuvent pas être mis en correspondance, si bien que les hébergeurs où le masquage de version est élevé ressortent plus bas. La valeur montre qu'une ancienne version est annoncée ; elle ne signifie pas qu'une attaque réussirait.
Pays d'enregistrement des adresses IP
Hors sites derrière un CDN, 85.4% des adresses IP qui servent les sites sont enregistrées au Japon (86.9% pour les seuls .jp). Les hébergeurs nationaux sont enregistrés au Japon à presque 100%, tandis qu'AWS (98.5% enregistrées aux États-Unis), Google, Microsoft (Azure) et Oracle Cloud sont enregistrés aux États-Unis et ailleurs (figure 6).
Le pays d'enregistrement provient des registres d'allocation des RIR et peut différer de l'emplacement du serveur. Les fournisseurs de cloud étrangers enregistrent souvent les adresses utilisées dans leurs centres de données japonais (régions de Tokyo et d'Osaka) dans leur pays d'origine ; « enregistrée aux États-Unis » ne signifie donc pas « située aux États-Unis ».
Fournisseur NS et hébergeur
Pour chaque fournisseur NS de l'article H (top 10), l'hébergeur dont l'IP a servi le site web (figure 7, .jp uniquement).
- 92.3% des noms avec des NS Xserver, 93.3% avec des NS Sakura Internet et 93.4% avec des NS CPI (KDDI) ont aussi été servis depuis des IP de la même société : DNS et web sont chez un seul fournisseur.
- 78.1% des noms avec des NS GMO Pepabo ont été servis depuis des IP de l'AS de GMO Internet. Au niveau de l'AS, la société qui détient l'AS ne peut pas être distinguée d'une société qui fournit des services sur son infrastructure (§2).
- Les noms avec des NS GMO (VALUE-DOMAIN) se répartissent entre DigiRock (40.9%), GMO Internet (29.2%) et Sakura Internet (10.6%). Les noms avec des NS GMO (DNSv) sont dispersés entre Sakura Internet (22.9%), AWS (12.3%), les sites derrière un CDN (14.5%) et d'autres : le DNS est hébergé à un endroit et le site web à un autre.
- Noms avec des NS AWS Route 53 : AWS 37.4%, derrière un CDN 33.1%, IDC Frontier 10.9%. Noms avec des NS Cloudflare : 85.6% derrière un CDN.
- Noms avec des NS customer.ne.jp : NTT DOCOMO BUSINESS (OCN) 79.3%, NTTPC 13.5%.
Cela chiffre l'affirmation de l'article H selon laquelle le fournisseur NS n'est pas l'hébergeur : pour les sociétés d'hébergement mutualisé, les valeurs par NS et par hébergeur sont proches ; pour les fournisseurs uniquement DNS et les CDN, elles diffèrent largement.
Lire les chiffres — ce n'est pas une évaluation des hébergeurs
- Qui décide des réglages : en hébergement mutualisé, la version de PHP peut être une valeur par défaut de l'hébergeur ou être choisie par le client dans un panneau de contrôle. HSTS et CSP sont surtout ajoutés par le client dans
.htaccessou dans l'application. Sur VPS et cloud, le client gère tout, du système d'exploitation à l'application. Chaque valeur décrit « les sites hébergés chez cet hébergeur » et ne mesure pas directement la qualité de la sécurité propre de l'hébergeur. - Des modèles économiques différents : hébergement mutualisé, VPS et cloud, créateurs de sites web et services de parking ou de redirection figurent dans le même tableau. Des hébergeurs aux modèles de service différents ne peuvent pas être simplement classés les uns par rapport aux autres.
- Les AS sont au niveau de la société : les marques d'une même société ne peuvent pas être séparées, et les services bâtis sur une infrastructure louée sont comptés sous le propriétaire de l'infrastructure.
- Ce qui se trouve derrière un CDN est inconnu : les sites derrière un CDN ont été retirés des dénominateurs ; pour les hébergeurs dont les clients utilisent beaucoup les CDN, les valeurs ne couvrent donc que les sites qui ne le font pas.
Déclaration de conflit d'intérêts : l'auteur exerce une activité dans les noms de domaine (registraire accrédité par JPRS) via SkyClear Co., Ltd., et a été auparavant numéro deux d'une filiale du groupe GMO. Les hébergeurs de cet article incluent des sociétés du groupe GMO (GMO Internet, GMO GlobalSign Holdings et d'autres). Toutes les valeurs ont été calculées pour chaque hébergeur avec la même méthode et les mêmes critères, et les noms de sociétés reposent sur des données publiques (tables de routage et noms d'organisation des AS).
Limites et mises en garde
- Les limites de la population et de l'observation sont les mêmes que dans l'article H (couverture du registre de 63.0% du nombre d'enregistrements JPRS, joignabilité depuis le point d'observation, réponses 403 comptées comme joignables, bornes supérieures fondées sur les versions).
- L'hébergeur correspond à l'AS d'origine dans la table de routage ; l'espace d'adressage loué et l'écart entre la date de la table de routage (2026-10-28) et la date d'observation (2026-10-29) ne sont pas pris en compte. Les IP absentes de la table de routage et les noms dont l'IP n'a pas pu être enregistrée ont été exclus en tant que « IP inconnue » (0.4%).
- L'adresse IP est le résultat d'une résolution unique au moment de l'observation ; les noms ayant plusieurs adresses sont comptés une seule fois.
- La détection des CDN repose sur les en-têtes de réponse et l'AS. Les CDN qui ne s'identifient pas, et les fournisseurs qui livrent les contenus par leur propre réseau, ne peuvent pas être détectés.
- Les hébergeurs n'ont pas été prévenus à l'avance. Les valeurs décrivent des faits observés.
- Aucun nom de site ou de domaine individuel n'est donné dans cet article.
Avec la même méthode non intrusive que cette enquête, voyez ce que votre serveur annonce : TLS, HSTS, en-têtes et versions. Sans inscription.
Utiliser : Analyse serveurFAQ
S'agit-il d'un classement des hébergeurs ?
Non. Des hébergeurs aux modèles différents (hébergement mutualisé, VPS et cloud, créateurs de sites web) figurent côte à côte, et la version de PHP et les en-têtes sont surtout décidés par les clients. Les valeurs décrivent « les sites qui ont répondu depuis les adresses IP de cet hébergeur ».
Comment l'hébergeur a-t-il été déterminé ?
L'adresse IP qui a servi le site web a été recherchée dans une table de routage publique (CAIDA RouteViews) pour trouver son AS, et le nom d'organisation de l'AS (CAIDA AS Organizations) a été normalisé en nom de société. Ce nom est celui de la société qui détient l'AS, et non une marque de service.
Comment les sites utilisant un CDN ont-ils été traités ?
Lorsqu'un CDN comme Cloudflare est placé en frontal, l'IP appartient au CDN et le serveur réel (l'origine) est inconnu. L'origine n'a pas été déduite ; ces sites ont été comptés à part comme « derrière un CDN » et retirés des dénominateurs par hébergeur.
En quoi cela diffère-t-il des valeurs par fournisseur NS de l'article H ?
Le fournisseur NS est l'endroit où est hébergé le DNS ; l'hébergeur détient l'IP qui a servi le site web. Ce sont souvent des sociétés différentes. La correspondance est présentée au §9.
Puis-je vérifier mon propre site de la même façon ?
Oui. Saisissez une URL dans la vérification des informations serveur de Site Scouter pour voir TLS, HSTS, les en-têtes et la divulgation de version, avec la même méthode non intrusive que cette enquête.
Mon site peut-il être exclu de l'observation ?
Veuillez nous contacter via le formulaire de contact de Site Scouter. Il sera exclu des observations suivantes.
Références
Dernière vérification : 2026-10-30. Les spécifications et les politiques peuvent évoluer ; consultez les sources primaires avant d'agir.
- CAIDA: RouteViews Prefix-to-AS mappings
- CAIDA: AS Organizations
- APNIC: Delegated statistics (RIR allocation records)
- PHP: Supported Versions (php.net)
- NVD - National Vulnerability Database (NIST)
- Interim report: Security Exposure Across the .jp Domain Space (Site Scouter)
Yuki Nakazawa (blog personnel nkzw.jp)
Contact : Site officiel ／ YouTube ／ Instagram ／ LinkedIn ／ X ／ Telegram