호스팅 사업자별 JP 도메인 보안 노출 2026 — .jp와 일본어 gTLD 사이트 1,090,213개는 어디에서 호스팅되고 어떻게 설정되어 있는가
- 위임된 .jp 도메인 대장(2026-10-29 기준 1,197,208개 이름)의 모든 이름과 gTLD(.com / .net / .org)의 일본어 사이트 131,622개에 비침습적 관측을 한 번씩 적용했습니다. 웹사이트가 응답한 1,090,213개 이름을 여기서는 응답을 반환한 IP 주소의 호스팅 사업자별로 묶었습니다. 기사 H(중간 보고)와 같은 데이터를 다른 단면으로 자른 것입니다.
- 호스팅 사업자는 IP 주소를 공개 라우팅 테이블(CAIDA RouteViews)에서 조회하고, 오리진 AS를 회사명으로 정규화해 정의했습니다. CDN(Cloudflare, AWS CloudFront 등) 뒤에 있는 사이트는 12.3%(.jp의 11.0%, gTLD 일본어 사이트의 45.8%)였으며, 오리진은 추정하지 않고 사업자별 분모에서 제외했습니다.
- 나머지 952,161개 이름 가운데 Xserver가 21.7%, Sakura Internet이 20.7%, GMO Internet이 18.9%를 호스팅하며, 세 회사를 합치면 61.3%입니다. 도달 가능한 이름이 1,000개 이상인 사업자 38곳은 이름을 밝혔습니다.
- HTTPS 강제는 대부분의 사업자에서 90%를 넘지만, HSTS(전체 10.6%), CSP(6.0%), TLS 1.3(73.8%)은 사업자에 따라 몇 퍼센트에서 90% 이상까지 차이가 납니다. 최대 사업자인 Xserver에서는 HSTS가 2.3%인 반면 버전 숨김은 99.1%, TLS 1.3은 97.9%입니다. 서버 플랫폼이 설정하는 항목과 보통 고객이 추가하는 항목이 크게 갈립니다.
- 사이트의 11.1%(105,237개)가 PHP 버전을 공개하고 있으며, 그중 53.5%가 지원 종료 버전입니다. 공개 건수는 사업자마다 크게 다릅니다. GMO Internet의 사이트가 64,164개(전체 공개의 61.0%)를 차지합니다. PHP 공개가 100개 이상인 사업자 사이에서 지원 종료 비율은 5.4%에서 99.2%까지 분포합니다.
- 사이트의 8.7%가 공개된 CVE의 영향 범위에 드는 버전을 공개하고 있습니다(상한값). 응답 IP 주소의 85.4%가 일본에 등록되어 있습니다. AWS나 Google 같은 해외 사업자의 IP 주소는 일본 데이터센터에서 쓰이더라도 회사 본국에 등록된 경우가 많습니다.
- 수치는 사업자 자체가 아니라 각 사업자에서 호스팅되는 사이트를 나타냅니다. 공유 호스팅에서도 PHP 버전과 대부분의 헤더는 고객이 선택하거나 추가하는 경우가 많습니다.
이 글은 영어판(sitescouter.net, nkzw.jp)과 일본어판(sitescouter.net)으로도 게재되어 있습니다. 이 페이지는 영어판을 번역한 Site Scouter 한국어판입니다.
이 기사의 위치
기사 H(JP 도메인의 PHP 등 취약점 노출 전체상 — 중간 보고)는 도입률을 NS 사업자, 즉 도메인의 DNS를 호스팅하는 회사별로 보여 주었습니다. 이 회사가 반드시 웹사이트가 있는 곳은 아닙니다. 이 기사는 같은 관측 결과를 실제로 웹사이트를 응답한 IP 주소의 소유자(호스팅 사업자) 별로 다시 묶었습니다.
기사 H에서는 버전 공개와 CVE가 사이트 측 설정에 따라 달라지기 때문에 NS 사업자별 CVE 노출을 제시하지 않았습니다. 이 기사에서는 호스팅 사업자를 명시적으로 정의하고, 지원 종료 PHP 비율과 CVE 노출(상한값)도 사업자별로 제시합니다. 수치는 "그 사업자의 IP 주소에서 응답한 사이트"를 나타내며, 사업자 자체의 보안을 평가한 것이 아닙니다(§10).
호스팅 사업자의 정의
관측 방법은 기사 H와 같습니다. 도메인마다 DNS 조회 한 번, TLS 연결 한 번, HTTP GET 한 번을 수행해 응답 헤더와 인증서를 기록했습니다. 워커는 관측 시점에 해석한 IPv4 주소도 기록했습니다(DNS가 해석된 이름의 99.6%).
- 단위: 기사 H와 마찬가지로
example.jp가 응답하면 그 행을, 응답하지 않고www.example.jp가 응답하면 www 행을 사용했습니다. 호스팅 사업자는 그 행의 IP 주소로 판정합니다 - AS 번호: IP 주소를 CAIDA RouteViews prefix2as(2026-10-28, 라우팅 테이블상의 오리진 AS)에서 최장 일치(longest-prefix match)로 조회했습니다. 라우팅 테이블은 공개 데이터이며, 관측 대상 사이트에 추가 접근은 하지 않았습니다
- 회사명: AS 번호를 CAIDA AS Organizations(2026-10-01)로 조직명에 대응시키고, 한 회사의 여러 AS(Sakura Internet의 세 개 등)는 하나로 합쳤습니다. 대응에는 공개 데이터만 사용했습니다(등장한 AS는 1,818개)
- CDN 경유: 응답 헤더에서 CDN 또는 WAF가 탐지되었거나 IP가 CDN 사업자의 AS(Cloudflare, Fastly, Akamai의 CDN, Imperva 등)에 속하는 사이트는 "CDN 경유"로 따로 세고 사업자별 분모에서 제외했습니다. CDN 뒤의 오리진은 추정하지 않았습니다
- 이름 공개 기준: 도달 가능한 이름(CDN 경유와 IP 불명 제외)이 1,000개 이상인 사업자는 이름을 밝히고, 나머지는 "기타 사업자 전체"로 묶었습니다. PHP 지원 상태와 CVE 노출은 PHP 버전을 공개하는 이름이 100개 이상인 사업자만 제시합니다
- IP 등록 국가: 다섯 개 지역 인터넷 레지스트리(RIR)의 할당 기록(기사 H의 그림 16과 동일)
한 회사가 같은 AS에서 여러 브랜드(공유 호스팅, VPS, 클라우드)를 운영할 수 있으며, AS 수준에서는 이를 구별할 수 없습니다. 따라서 이 기사의 이름은 서비스 브랜드가 아니라 AS를 보유한 회사입니다. 반대로 다른 회사의 인프라를 재판매하는 사업자는 인프라 소유자로 집계됩니다.
CDN 경유 — gTLD 일본어 사이트의 절반 가까이는 Cloudflare 뒤에 있다
응답한 사이트 가운데 CDN이 앞단에 있는 비율은 .jp가 11.0%(Cloudflare 7.2%, AWS CloudFront 2.9%, Fastly 0.6%), gTLD 일본어 사이트가 45.8%(Cloudflare 44.9%)였습니다(그림 1). 응답한 gTLD 일본어 사이트 가운데 호스팅 사업자를 특정할 수 있는 것은 53.8%뿐입니다.
CDN이 일부 헤더를 바꿔 쓰기 때문에 CDN 경유 사이트는 그 밖의 모든 사이트(HSTS 10.6%, TLS 1.3 73.8%)보다 HSTS(41.1%)와 TLS 1.3(93.2%)이 높게 나타납니다. 아래 사업자별 수치에는 참고용으로 CDN 행을 넣었지만, 오리진 사업자는 알 수 없습니다.
어디에서 호스팅되는가 — 세 회사가 약 60%
CDN 경유와 IP 불명을 제외하면 952,161개 이름이 남습니다. .jp 931,651개와 gTLD 일본어 사이트 20,510개입니다(그림 2). Xserver가 206,817개(21.7%), Sakura Internet이 197,363개(20.7%), GMO Internet이 179,804개(18.9%), AWS가 71,025개(7.5%)입니다. 이름을 밝힌 사업자 38곳이 95.6%를 차지하며, 기타 사업자 전체는 41,445개 이름(4.4%, 1635개 AS)입니다.
gTLD 일본어 사이트만 보면, CDN 경유가 아닌 20,510개 이름 가운데 AWS가 19.3%, Namecheap이 7.3%, Xserver가 5.5%를 호스팅하며, 기타 사업자 전체가 42.6%를 차지합니다.
보안 대책 도입률
사업자별로 도달 가능한 이름 대비 도입률을 나타냈습니다(그림 3, 표 1). 점선은 CDN 경유를 제외한 전체 값입니다.
표 1 호스팅 사업자별 보안 대책(도달 가능 이름 대비 %, CDN 경유 제외)
| 호스팅 사업자 | 도달 | 점유율 | IP 수 | HTTPS 강제 | HSTS | CSP | TLS 1.3 | 버전 숨김 |
|---|---|---|---|---|---|---|---|---|
| 전체(CDN 경유 제외) | 952,161 | 100.0% | 171,198 | 94.3% | 10.6% | 6.0% | 73.8% | 83.1% |
| Xserver | 206,817 | 21.7% | 11,802 | 99.4% | 2.3% | 1.5% | 97.9% | 99.1% |
| Sakura Internet | 197,363 | 20.7% | 23,664 | 98.6% | 6.0% | 1.4% | 90.7% | 87.2% |
| GMO Internet | 179,804 | 18.9% | 4,602 | 92.3% | 5.3% | 3.6% | 83.3% | 63.5% |
| AWS (Amazon) | 71,025 | 7.5% | 16,190 | 95.4% | 42.3% | 8.6% | 46.8% | 69.8% |
| NTT DOCOMO BUSINESS (OCN) | 38,392 | 4.0% | 27,651 | 98.1% | 2.3% | 4.5% | 3.8% | 75.5% |
| IDC Frontier | 29,903 | 3.1% | 10,565 | 98.4% | 5.6% | 0.8% | 64.4% | 90.4% |
| GMO GlobalSign Holdings | 29,280 | 3.1% | 2,494 | 98.8% | 11.1% | 0.7% | 32.1% | 96.3% |
| NTTPC | 22,805 | 2.4% | 18,352 | 49.5% | 2.1% | 0.7% | 14.4% | 88.5% |
| 19,126 | 2.0% | 1,773 | 99.4% | 8.1% | 76.3% | 93.5% | 93.9% | |
| DigiRock | 16,042 | 1.7% | 414 | 99.6% | 82.7% | 1.3% | 98.8% | 94.5% |
| CPI (KDDI) | 15,155 | 1.6% | 10,418 | 99.2% | 24.0% | 1.9% | 43.3% | 91.0% |
| Future Spirits | 11,213 | 1.2% | 367 | 96.9% | 8.6% | 67.9% | 43.8% | 87.1% |
| KAGOYA JAPAN | 10,692 | 1.1% | 3,820 | 98.4% | 4.9% | 2.1% | 30.1% | 91.4% |
| Pacific Software Publishing | 9,542 | 1.0% | 58 | 99.7% | 0.1% | 0.1% | 97.8% | 100.0% |
| Otsuka Corporation | 7,734 | 0.8% | 7,711 | 48.7% | 4.9% | 99.5% | 0.1% | 99.8% |
| Canon IT Solutions | 3,817 | 0.4% | 16 | 17.0% | 98.7% | 0.1% | 17.1% | 99.9% |
| IIJ | 3,601 | 0.4% | 1,453 | 93.7% | 19.2% | 5.2% | 42.5% | 79.3% |
| KDDI | 3,452 | 0.4% | 936 | 92.6% | 11.8% | 1.3% | 69.7% | 75.8% |
| IBM Cloud | 3,229 | 0.3% | 72 | 98.8% | 15.7% | 0.0% | 0.6% | 99.0% |
| UCOM | 3,154 | 0.3% | 689 | 94.7% | 11.6% | 1.3% | 28.6% | 44.5% |
| Microsoft (Azure) | 2,957 | 0.3% | 1,332 | 94.9% | 38.1% | 9.6% | 70.1% | 38.1% |
| ASJ | 2,314 | 0.2% | 1,249 | 66.3% | 1.2% | 0.1% | 0.0% | 85.0% |
| Automattic (WordPress.com) | 1,854 | 0.2% | 154 | 87.0% | 78.4% | 1.7% | 99.5% | 99.9% |
| CLARA Online | 1,745 | 0.2% | 253 | 99.4% | 2.2% | 0.4% | 85.7% | 94.4% |
| Wix | 1,676 | 0.2% | 7 | 95.2% | 6.0% | 0.2% | 97.2% | 95.3% |
| ARTERIA Networks | 1,675 | 0.2% | 385 | 89.6% | 37.9% | 1.1% | 47.7% | 75.2% |
| NTT America | 1,588 | 0.2% | 16 | 3.9% | 1.2% | 0.2% | 1.8% | 2.3% |
| Namecheap | 1,565 | 0.2% | 931 | 55.9% | 1.2% | 0.2% | 44.9% | 90.4% |
| Akamai (Linode) | 1,474 | 0.2% | 361 | 92.3% | 16.6% | 2.7% | 38.6% | 74.6% |
| OPTAGE | 1,450 | 0.2% | 437 | 91.4% | 5.4% | 1.0% | 46.7% | 71.3% |
| Trellian (파킹) | 1,449 | 0.2% | 51 | 98.8% | 0.0% | 0.0% | 97.0% | 100.0% |
| Mirai Communication Network | 1,418 | 0.1% | 201 | 96.9% | 11.7% | 2.5% | 70.5% | 71.9% |
| SoftBank | 1,392 | 0.1% | 837 | 93.0% | 14.0% | 3.8% | 34.1% | 57.3% |
| Oracle Cloud | 1,316 | 0.1% | 634 | 95.6% | 20.3% | 11.2% | 76.3% | 65.8% |
| Squarespace | 1,241 | 0.1% | 8 | 98.7% | 83.2% | 9.1% | 99.1% | 99.6% |
| Bear Cloud Solutions | 1,176 | 0.1% | 3 | 99.8% | 0.1% | 93.5% | 99.4% | 6.2% |
| Hostinger | 1,167 | 0.1% | 726 | 99.3% | 10.0% | 71.9% | 98.5% | 46.2% |
| Sedo (파킹) | 1,113 | 0.1% | 8 | 99.4% | 8.4% | 0.0% | 99.0% | 1.2% |
| 기타 사업자 전체 | 41,445 | 4.4% | 20,558 | 83.2% | 15.3% | 6.0% | 54.5% | 71.2% |
| (참고) GMO 계열 합계 | 209,084 | 22.0% | 7,096 | 93.2% | 6.1% | 3.2% | 76.2% | 68.1% |
| (참고) CDN 경유 | 133,633 | 12.3% | 45,393 | 98.4% | 41.1% | 17.0% | 93.2% | 88.3% |
- HTTPS 강제는 전체 94.3%이며 대부분의 사업자에서 90%를 넘습니다. 낮은 곳은 NTTPC 49.5%, Otsuka Corporation 48.7%, Canon IT Solutions 17.0%, NTT America 3.9%입니다.
- HSTS는 전체 10.6%입니다. Canon IT Solutions(98.7%), Squarespace(83.2%), DigiRock(82.7%), Automattic (WordPress.com)(78.4%)에서 높고, Xserver(2.3%), NTT DOCOMO BUSINESS (OCN)(2.3%), Sakura Internet(6.0%)에서 낮습니다. 서비스가 기본으로 추가하는지, 고객에게 맡기는지가 차이를 만드는 것으로 보입니다.
- CSP는 전체 6.0%입니다. Otsuka Corporation(99.5%), Google(76.3%), Future Spirits(67.9%)를 빼면 거의 모든 사업자가 한 자릿수입니다.
- TLS 1.3은 전체 73.8%에서 협상되었습니다. Xserver(97.9%), DigiRock(98.8%), Sakura Internet(90.7%)에서 높고, NTT DOCOMO BUSINESS (OCN)(3.8%), NTTPC(14.4%), ASJ(0.0%)에서 낮습니다. TLS 버전은 서버 소프트웨어가 정하며, 공유 호스팅의 고객은 보통 바꿀 수 없습니다.
- 버전 숨김은 전체 83.1%입니다. Xserver는 99.1%인 반면 GMO Internet은 63.5%, UCOM은 44.5%, Microsoft (Azure)는 38.1%입니다.
"IP 수"는 그 사업자에서 응답한 이름들이 사용한 서로 다른 IP 주소의 개수입니다. 수천 개의 이름이 소수의 IP를 공유하는 경우(파킹·포워딩 서비스, 웹사이트 빌더)에는 개별 사이트가 아니라 한 서비스의 설정이 수치에 반영됩니다.
PHP 버전과 지원 상태
PHP 버전을 공개하는(X-Powered-By 등) 사이트의 비율과, 그중 지원 종료 버전(관측일 기준 8.1 이하)의 비율입니다(그림 4, 표 2).
표 2 호스팅 사업자별 PHP 버전 공개와 지원 상태(PHP 공개 100개 이상인 사업자)
| 호스팅 사업자 | 도달 | PHP 버전 공개 | 공개율 | 그중 지원 종료 | 그중 보안 지원만(8.2) | 그중 2026년 치명적 CVE 미대응 |
|---|---|---|---|---|---|---|
| 전체(CDN 경유 제외) | 952,161 | 105,237 | 11.1% | 53.5% | 4.8% | 49.7% |
| Xserver | 206,817 | 284 | 0.1% | 28.5% | 11.3% | 30.3% |
| Sakura Internet | 197,363 | 17,804 | 9.0% | 86.3% | 1.9% | 81.2% |
| GMO Internet | 179,804 | 64,164 | 35.7% | 47.9% | 4.9% | 45.7% |
| AWS (Amazon) | 71,025 | 3,028 | 4.3% | 61.6% | 16.6% | 58.9% |
| NTT DOCOMO BUSINESS (OCN) | 38,392 | 8,072 | 21.0% | 5.4% | 0.5% | 5.1% |
| IDC Frontier | 29,903 | 2,020 | 6.8% | 83.4% | 8.1% | 31.5% |
| GMO GlobalSign Holdings | 29,280 | 537 | 1.8% | 62.4% | 4.7% | 56.4% |
| NTTPC | 22,805 | 680 | 3.0% | 49.3% | 3.7% | 42.9% |
| 19,126 | 167 | 0.9% | 44.3% | 13.2% | 46.7% | |
| DigiRock | 16,042 | 329 | 2.1% | 92.4% | 0.9% | 88.8% |
| CPI (KDDI) | 15,155 | 1,337 | 8.8% | 95.5% | 0.7% | 74.9% |
| KAGOYA JAPAN | 10,692 | 311 | 2.9% | 61.4% | 5.8% | 55.9% |
| IIJ | 3,601 | 255 | 7.1% | 70.6% | 5.1% | 70.6% |
| KDDI | 3,452 | 281 | 8.1% | 46.6% | 15.7% | 34.9% |
| UCOM | 3,154 | 298 | 9.4% | 63.8% | 17.1% | 51.0% |
| Microsoft (Azure) | 2,957 | 203 | 6.9% | 26.6% | 12.8% | 27.6% |
| ASJ | 2,314 | 253 | 10.9% | 99.2% | 0.4% | 98.0% |
| ARTERIA Networks | 1,675 | 111 | 6.6% | 75.7% | 13.5% | 72.1% |
| Akamai (Linode) | 1,474 | 127 | 8.6% | 66.1% | 10.2% | 57.5% |
| Mirai Communication Network | 1,418 | 325 | 22.9% | 37.5% | 4.3% | 37.2% |
| SoftBank | 1,392 | 214 | 15.4% | 58.9% | 21.0% | 48.6% |
| Oracle Cloud | 1,316 | 154 | 11.7% | 42.9% | 3.9% | 42.9% |
| Hostinger | 1,167 | 600 | 51.4% | 15.5% | 26.8% | 42.8% |
| 기타 사업자 전체 | 41,445 | 3,402 | 8.2% | 61.1% | 9.2% | 57.5% |
| (참고) GMO 계열 합계 | 209,084 | 64,701 | 30.9% | 48.0% | 4.9% | 45.7% |
- PHP 버전을 공개하는 사이트 105,237개 가운데 64,164개가 GMO Internet에 있습니다(공개율 35.7%). 공개율의 차이는 서버 설정이
X-Powered-By에 버전을 넣는지 여부를 반영하는 것으로 보입니다. Xserver의 공개율은 0.1%로, 버전을 공개하는 사이트가 거의 없습니다. - 지원 종료 비율은 NTT DOCOMO BUSINESS (OCN)의 5.4%에서 ASJ의 99.2%까지 분포하며, CPI (KDDI)가 95.5%, DigiRock이 92.4%, Sakura Internet이 86.3%입니다. 공유 호스팅에서는 고객이 제어판에서 PHP 버전을 선택하는 경우가 많아, 사업자가 최신 버전을 제공하더라도 많은 사이트가 예전 선택을 유지하면 비율이 높아집니다.
- PHP 버전을 공개하는 사이트의 49.7%가 2026년 PHP 치명적 취약점(CVE-2026-109618 / 109619)의 영향 범위에 드는 버전을 공개하고 있습니다.
CVE 노출(상한값)
Server 헤더, X-Powered-By 또는 CMS 버전 문자열이 PHP, Apache, nginx, WordPress 등의 공개 CVE(NVD, 2026-10-29 취득) 영향 범위에 드는 사이트의 비율입니다(그림 5, 표 3). 판정 규칙은 기사 H와 같습니다. 배포판의 백포트는 보이지 않으므로 이 값은 상한값입니다. 실제 공격 가능성은 시험하지 않았습니다.
표 3 호스팅 사업자별 CVE 노출(상한값, 도달 가능 이름 대비 %, PHP 공개 100개 이상인 사업자)
| 호스팅 사업자 | 알려진 CVE 범위 내 | RCE 계열(Windows 전용 제외) | 심각도 CRITICAL |
|---|---|---|---|
| 전체(CDN 경유 제외) | 8.7% | 1.7% | 7.8% |
| Xserver | 0.5% | 0.3% | 0.3% |
| Sakura Internet | 11.4% | 2.3% | 10.7% |
| GMO Internet | 18.0% | 3.2% | 17.8% |
| AWS (Amazon) | 11.2% | 1.0% | 7.3% |
| NTT DOCOMO BUSINESS (OCN) | 2.9% | 0.6% | 2.6% |
| IDC Frontier | 7.4% | 5.0% | 7.1% |
| GMO GlobalSign Holdings | 2.4% | 0.9% | 2.3% |
| NTTPC | 9.5% | 1.1% | 5.5% |
| 2.5% | 0.2% | 1.4% | |
| DigiRock | 2.1% | 0.2% | 2.0% |
| CPI (KDDI) | 8.6% | 6.5% | 8.6% |
| KAGOYA JAPAN | 6.0% | 1.3% | 5.1% |
| IIJ | 10.2% | 1.6% | 9.3% |
| KDDI | 14.4% | 2.1% | 12.4% |
| UCOM | 47.0% | 3.7% | 16.0% |
| Microsoft (Azure) | 7.5% | 0.6% | 5.5% |
| ASJ | 15.0% | 0.3% | 15.0% |
| ARTERIA Networks | 20.5% | 3.8% | 18.6% |
| Akamai (Linode) | 11.5% | 1.5% | 10.2% |
| Mirai Communication Network | 9.5% | 2.0% | 9.5% |
| SoftBank | 24.7% | 5.7% | 23.1% |
| Oracle Cloud | 10.8% | 0.9% | 8.4% |
| Hostinger | 24.0% | 0.3% | 22.7% |
| 기타 사업자 전체 | 14.1% | 2.8% | 11.4% |
| (참고) GMO 계열 합계 | 15.8% | 2.8% | 15.6% |
전체는 8.7%입니다. UCOM(47.0%), SoftBank(24.7%), Hostinger(24.0%), ARTERIA Networks(20.5%), GMO Internet(18.0%)은 전체 값보다 높고, Xserver(0.5%), DigiRock(2.1%), GMO GlobalSign Holdings(2.4%)는 낮습니다. 버전을 공개하지 않는 사이트는 대조할 수 없으므로 버전 숨김 비율이 높은 사업자는 낮게 나옵니다. 이 값은 오래된 버전이 공개되고 있다는 사실을 보여 줄 뿐, 공격이 성공한다는 뜻이 아닙니다.
IP 주소 등록 국가
CDN 경유를 제외하면 응답 IP 주소의 85.4%가 일본에 등록되어 있습니다(.jp만 보면 86.9%). 국내 사업자는 거의 100% 일본 등록인 반면, AWS(98.5%가 미국 등록), Google, Microsoft (Azure), Oracle Cloud는 미국 등에 등록되어 있습니다(그림 6).
등록 국가는 RIR 할당 기록에서 가져온 것이며 서버의 실제 위치와 다를 수 있습니다. 해외 클라우드 사업자는 일본 데이터센터(도쿄·오사카 리전)에서 쓰는 주소를 본국에 등록하는 경우가 많으므로, "미국 등록"이 "미국에 위치"를 뜻하지는 않습니다.
NS 사업자와 호스팅 사업자
기사 H의 NS 사업자(상위 10개)별로, 웹사이트를 응답한 IP의 호스팅 사업자를 나타냈습니다(그림 7, .jp만).
- Xserver NS인 이름의 92.3%, Sakura Internet NS의 93.3%, CPI (KDDI) NS의 93.4%는 같은 회사의 IP에서 응답했습니다. DNS와 웹이 한 사업자에 있습니다.
- GMO Pepabo NS인 이름의 78.1%는 GMO Internet의 AS에 속한 IP에서 응답했습니다. AS 수준에서는 AS를 보유한 회사와 그 인프라에서 서비스를 제공하는 회사를 구별할 수 없습니다(§2).
- GMO (VALUE-DOMAIN) NS인 이름은 DigiRock(40.9%), GMO Internet(29.2%), Sakura Internet(10.6%)으로 나뉩니다. GMO (DNSv) NS인 이름은 Sakura Internet(22.9%), AWS(12.3%), CDN 경유(14.5%) 등에 흩어져 있습니다. DNS는 한곳에, 웹사이트는 다른 곳에 있는 것입니다.
- AWS Route 53 NS인 이름: AWS 37.4%, CDN 경유 33.1%, IDC Frontier 10.9%. Cloudflare NS인 이름: 85.6%가 CDN 경유.
- customer.ne.jp NS인 이름: NTT DOCOMO BUSINESS (OCN) 79.3%, NTTPC 13.5%.
이로써 NS 사업자가 곧 호스팅 사업자는 아니라는 기사 H의 설명을 수치로 확인할 수 있습니다. 공유 호스팅 회사는 NS별 값과 호스트별 값이 가깝지만, DNS 전용 사업자와 CDN 사업자는 크게 다릅니다.
수치를 읽는 법 — 사업자 평가가 아닙니다
- 설정을 누가 정하는가: 공유 호스팅에서 PHP 버전은 사업자 기본값일 수도, 고객이 제어판에서 선택한 것일 수도 있습니다. HSTS와 CSP는 대부분 고객이
.htaccess나 애플리케이션에서 추가합니다. VPS와 클라우드에서는 OS부터 애플리케이션까지 고객이 관리합니다. 모든 값은 "그 사업자에서 호스팅되는 사이트"를 나타내며, 사업자 자체의 보안 품질을 직접 측정한 것이 아닙니다. - 사업 모델의 차이: 공유 호스팅, VPS와 클라우드, 웹사이트 빌더, 파킹·포워딩 서비스가 같은 표에 나옵니다. 서비스 모델이 다른 사업자를 단순히 순위로 비교할 수는 없습니다.
- AS는 회사 단위: 한 회사의 여러 브랜드는 구분할 수 없으며, 임차한 인프라 위에 구축한 서비스는 인프라 소유자로 집계됩니다.
- CDN 뒤는 알 수 없음: CDN 경유 사이트는 분모에서 제외했으므로, 고객이 CDN을 많이 쓰는 사업자의 값은 CDN을 쓰지 않는 사이트만을 대상으로 합니다.
이해 상충 공개: 필자는 SkyClear Co., Ltd.를 통해 도메인 사업(JPRS 지정 등록 대행자)을 운영하고 있으며, 과거 GMO 그룹 자회사에서 이인자를 지냈습니다. 이 기사의 사업자에는 GMO 그룹 회사(GMO Internet, GMO GlobalSign Holdings 등)가 포함됩니다. 모든 값은 모든 사업자에 대해 같은 방법과 같은 기준으로 산출했으며, 회사명은 공개 데이터(라우팅 테이블과 AS 조직명)에 근거합니다.
한계와 주의 사항
- 모집단과 관측의 한계는 기사 H와 같습니다(대장 커버리지는 JPRS 등록 건수의 63.0%, 관측 지점에서의 도달 가능성, 403 응답을 도달로 집계, 버전 기반 상한값).
- 호스팅 사업자는 라우팅 테이블상의 오리진 AS입니다. 임대된 주소 공간과, 라우팅 테이블 날짜(2026-10-28)와 관측일(2026-10-29)의 차이는 반영되지 않았습니다. 라우팅 테이블에 없는 IP와 IP를 기록하지 못한 이름은 "IP 불명"(0.4%)으로 제외했습니다.
- IP 주소는 관측 시점에 한 번 해석한 결과이며, 주소가 여러 개인 이름도 한 번만 집계했습니다.
- CDN 탐지는 응답 헤더와 AS에 근거합니다. 스스로를 밝히지 않는 CDN이나 자체 네트워크로 전송하는 사업자는 탐지할 수 없습니다.
- 사업자에게 사전에 통지하지 않았습니다. 값은 관측된 사실을 나타냅니다.
- 이 기사에서는 개별 사이트나 도메인 이름을 밝히지 않습니다.
이 조사와 같은 비침습적 방법으로 내 서버가 외부에 무엇을 공개하고 있는지 확인해 보십시오. TLS, HSTS, 헤더, 버전을 볼 수 있으며 회원 가입은 필요 없습니다.
사용하기: 서버 정보 조사자주 묻는 질문
이것은 사업자 순위입니까?
아닙니다. 모델이 다른 사업자(공유 호스팅, VPS와 클라우드, 웹사이트 빌더)가 나란히 나오며, PHP 버전과 헤더는 대부분 고객이 결정합니다. 값은 "그 사업자의 IP 주소에서 응답한 사이트"를 나타냅니다.
호스팅 사업자는 어떻게 판정했습니까?
웹사이트를 응답한 IP 주소를 공개 라우팅 테이블(CAIDA RouteViews)에서 조회해 AS를 찾고, AS 조직명(CAIDA AS Organizations)을 회사명으로 정규화했습니다. 이름은 서비스 브랜드가 아니라 AS를 보유한 회사의 이름입니다.
CDN을 쓰는 사이트는 어떻게 처리했습니까?
Cloudflare 같은 CDN이 앞단에 있으면 IP는 CDN의 것이고 실제 서버(오리진)는 알 수 없습니다. 오리진은 추정하지 않았으며, 그런 사이트는 "CDN 경유"로 따로 세고 사업자별 분모에서 제외했습니다.
기사 H의 NS 사업자별 값과 무엇이 다릅니까?
NS 사업자는 DNS를 호스팅하는 곳이고, 호스팅 사업자는 웹사이트를 응답한 IP의 소유자입니다. 둘은 서로 다른 회사인 경우가 많습니다. 대응 관계는 §9에 있습니다.
내 사이트도 같은 방법으로 확인할 수 있습니까?
네. Site Scouter의 서버 정보 확인에 URL을 입력하면 이 조사와 같은 비침습적 방법으로 TLS, HSTS, 헤더, 버전 공개를 볼 수 있습니다.
내 사이트를 관측에서 제외할 수 있습니까?
Site Scouter의 문의 양식으로 연락해 주십시오. 이후 관측에서 제외합니다.
참고 자료
최종 확인일: 2026-10-30. 사양과 정책은 변경될 수 있으므로 조치하기 전에 원본 자료를 확인하십시오.
- CAIDA: RouteViews Prefix-to-AS mappings
- CAIDA: AS Organizations
- APNIC: Delegated statistics (RIR allocation records)
- PHP: Supported Versions (php.net)
- NVD - National Vulnerability Database (NIST)
- Interim report: Security Exposure Across the .jp Domain Space (Site Scouter)