Mức độ phơi nhiễm bảo mật của tên miền JP theo nhà cung cấp hosting, 2026 — 1,090,213 website .jp và website tiếng Nhật trên gTLD được lưu trữ ở đâu và cấu hình ra sao
- Chúng tôi áp dụng một lần quan sát không xâm nhập cho mọi tên trong sổ cái các tên miền .jp đã được ủy quyền (1,197,208 tên tính đến 2026-10-29) và cho 131,622 website tiếng Nhật trên gTLD (.com / .net / .org). 1,090,213 tên có website phản hồi được nhóm lại ở đây theo nhà cung cấp hosting sở hữu địa chỉ IP đã trả về phản hồi. Đây là một lát cắt khác của cùng bộ dữ liệu với Bài H (báo cáo giữa kỳ).
- Nhà cung cấp hosting được xác định bằng cách tra địa chỉ IP trong một bảng định tuyến công khai (CAIDA RouteViews) và chuẩn hóa AS gốc thành tên công ty. Các site đứng sau CDN (Cloudflare, AWS CloudFront và các dịch vụ khác) chiếm 12.3% (11.0% với .jp, 45.8% với website tiếng Nhật trên gTLD); máy chủ gốc không được suy đoán và các site này đã bị loại khỏi mẫu số của từng nhà cung cấp.
- Trong 952,161 tên còn lại, Xserver lưu trữ 21.7%, Sakura Internet 20.7% và GMO Internet 18.9%: ba công ty cộng lại chiếm 61.3%. 38 nhà cung cấp có từ 1,000 tên truy cập được trở lên được nêu tên.
- Tỷ lệ bắt buộc HTTPS vượt 90% ở phần lớn nhà cung cấp, nhưng HSTS (toàn bộ 10.6%), CSP (6.0%) và TLS 1.3 (73.8%) dao động từ vài phần trăm đến hơn 90% tùy nhà cung cấp. Tại Xserver, nhà cung cấp lớn nhất, HSTS chỉ 2.3% trong khi ẩn phiên bản đạt 99.1% và TLS 1.3 đạt 97.9%: những hạng mục do nền tảng máy chủ thiết lập và những hạng mục thường do khách hàng tự thêm vào chênh lệch rất rõ.
- 11.1% site (105,237) công bố phiên bản PHP, và 53.5% trong số đó đã hết vòng đời (end-of-life). Số site công bố khác nhau rất nhiều theo nhà cung cấp: các site trên GMO Internet chiếm 64,164 (61.0% tổng số site công bố). Trong các nhà cung cấp có từ 100 site công bố PHP trở lên, tỷ lệ hết vòng đời dao động từ 5.4% đến 99.2%.
- 8.7% site công bố một phiên bản nằm trong phạm vi ảnh hưởng của một CVE đã công bố (giới hạn trên). 85.4% địa chỉ IP phục vụ website được đăng ký tại Nhật Bản; địa chỉ IP của các nhà cung cấp nước ngoài như AWS và Google thường được đăng ký tại quốc gia gốc của công ty, kể cả khi được dùng trong trung tâm dữ liệu ở Nhật Bản.
- Các giá trị mô tả những site được lưu trữ tại từng nhà cung cấp, không phải bản thân nhà cung cấp. Ngay cả trên shared hosting, phiên bản PHP và phần lớn các header thường do khách hàng lựa chọn hoặc tự thêm vào.
Bài viết này cũng được đăng bằng tiếng Anh tại sitescouter.net và nkzw.jp, và bằng tiếng Nhật tại sitescouter.net. Đây là bản tiếng Việt trên Site Scouter, dịch từ bản tiếng Anh.
Vị trí của bài viết này
Bài H (Bức tranh tổng thể về mức độ phơi nhiễm lỗ hổng PHP và các lỗ hổng khác trong tên miền JP — Báo cáo giữa kỳ) trình bày tỷ lệ áp dụng theo nhà cung cấp NS, tức công ty lưu trữ DNS của tên miền, vốn không nhất thiết là nơi đặt website. Bài viết này nhóm lại cùng các quan sát đó theo chủ sở hữu địa chỉ IP thực sự phục vụ website (nhà cung cấp hosting).
Bài H không trình bày mức độ phơi nhiễm CVE theo nhà cung cấp NS, vì việc công bố phiên bản và CVE thay đổi theo cấu hình phía site. Ở đây nhà cung cấp hosting được định nghĩa rõ ràng, và tỷ lệ PHP hết vòng đời cùng mức độ phơi nhiễm CVE (giới hạn trên) cũng được trình bày theo từng nhà cung cấp. Các giá trị mô tả "những site đã phản hồi từ địa chỉ IP của nhà cung cấp đó" và không phải là đánh giá về bảo mật của chính nhà cung cấp (§10).
Cách xác định nhà cung cấp hosting
Phương pháp quan sát giống như trong Bài H: mỗi tên miền một lần tra cứu DNS, một kết nối TLS và một yêu cầu HTTP GET, ghi lại các header phản hồi và chứng chỉ. Tiến trình thu thập cũng ghi lại địa chỉ IPv4 mà nó phân giải được tại thời điểm quan sát (99.6% số tên có DNS phân giải được).
- Đơn vị: như trong Bài H, nếu
example.jpphản hồi thì dùng dòng dữ liệu của nó; nếu không vàwww.example.jpphản hồi thì dùng dòng www. Nhà cung cấp hosting được xác định từ địa chỉ IP của dòng đó - Số AS: địa chỉ IP được tra bằng phép khớp tiền tố dài nhất trong CAIDA RouteViews prefix2as (2026-10-28, AS gốc trong bảng định tuyến). Bảng định tuyến là dữ liệu công khai; không có truy cập bổ sung nào tới các site được quan sát
- Tên công ty: số AS được ánh xạ sang tên tổ chức bằng CAIDA AS Organizations (2026-10-01), và nhiều AS của cùng một công ty (như ba AS của Sakura Internet) được gộp lại. Việc ánh xạ chỉ dùng dữ liệu công khai (có 1,818 AS xuất hiện)
- Sau CDN: các site mà header phản hồi cho thấy có CDN hoặc WAF, hoặc có IP thuộc AS của một nhà vận hành CDN (Cloudflare, Fastly, CDN của Akamai, Imperva và các bên khác), được đếm riêng là "sau CDN" và loại khỏi mẫu số của từng nhà cung cấp. Máy chủ gốc phía sau CDN không được suy đoán
- Ngưỡng nêu tên: các nhà cung cấp có từ 1,000 tên truy cập được trở lên (không tính site sau CDN và site không rõ IP) được nêu tên; số còn lại được gộp thành "các nhà cung cấp khác". Tình trạng hỗ trợ PHP và mức độ phơi nhiễm CVE chỉ được trình bày cho các nhà cung cấp có từ 100 tên công bố phiên bản PHP trở lên
- Quốc gia đăng ký IP: hồ sơ cấp phát của năm Cơ quan đăng ký Internet khu vực (RIR) (giống Hình 16 của Bài H)
Một công ty có thể vận hành nhiều thương hiệu (shared hosting, VPS, cloud) trên cùng một AS, và ở cấp AS không thể phân biệt chúng, vì vậy các tên trong bài viết này là công ty nắm giữ AS, không phải thương hiệu dịch vụ. Ngược lại, một nhà cung cấp bán lại hạ tầng của công ty khác được tính vào chủ sở hữu hạ tầng.
Sau CDN — gần một nửa website tiếng Nhật trên gTLD đứng sau Cloudflare
Trong số các site phản hồi, có CDN đứng phía trước ở 11.0% site .jp (Cloudflare 7.2%, AWS CloudFront 2.9%, Fastly 0.6%) và ở 45.8% website tiếng Nhật trên gTLD (Cloudflare 44.9%) (Hình 1). Chỉ 53.8% website tiếng Nhật trên gTLD có phản hồi là có thể quy về một nhà cung cấp hosting.
Vì CDN viết lại một số header, các site sau CDN có tỷ lệ HSTS (41.1%) và TLS 1.3 (93.2%) cao hơn tất cả các site còn lại (HSTS 10.6%, TLS 1.3 73.8%). Các số liệu theo nhà cung cấp dưới đây có thêm một dòng CDN để tham khảo, nhưng nhà cung cấp gốc là không xác định.
Website được lưu trữ ở đâu — ba công ty nắm khoảng 60%
Loại trừ các tên sau CDN và không rõ IP, còn lại 952,161 tên: 931,651 tên .jp và 20,510 website tiếng Nhật trên gTLD (Hình 2). Xserver có 206,817 (21.7%), Sakura Internet 197,363 (20.7%), GMO Internet 179,804 (18.9%) và AWS 71,025 (7.5%). 38 nhà cung cấp được nêu tên nắm 95.6%; tất cả các nhà cung cấp khác cộng lại có 41,445 tên (4.4%, 1635 AS).
Chỉ xét riêng website tiếng Nhật trên gTLD, trong 20,510 tên không đứng sau CDN, AWS lưu trữ 19.3%, Namecheap 7.3% và Xserver 5.5%, trong khi các nhà cung cấp khác chiếm 42.6%.
Mức độ áp dụng các biện pháp bảo mật
Tỷ lệ áp dụng tính trên số tên truy cập được, theo nhà cung cấp (Hình 3, Bảng 1). Đường nét đứt là giá trị chung khi không tính các site sau CDN.
Bảng 1 Các biện pháp bảo mật theo nhà cung cấp hosting (% số tên truy cập được, không tính site sau CDN)
| Nhà cung cấp hosting | Truy cập được | Thị phần | Số IP | Bắt buộc HTTPS | HSTS | CSP | TLS 1.3 | Ẩn phiên bản |
|---|---|---|---|---|---|---|---|---|
| Tất cả (không tính site sau CDN) | 952,161 | 100.0% | 171,198 | 94.3% | 10.6% | 6.0% | 73.8% | 83.1% |
| Xserver | 206,817 | 21.7% | 11,802 | 99.4% | 2.3% | 1.5% | 97.9% | 99.1% |
| Sakura Internet | 197,363 | 20.7% | 23,664 | 98.6% | 6.0% | 1.4% | 90.7% | 87.2% |
| GMO Internet | 179,804 | 18.9% | 4,602 | 92.3% | 5.3% | 3.6% | 83.3% | 63.5% |
| AWS (Amazon) | 71,025 | 7.5% | 16,190 | 95.4% | 42.3% | 8.6% | 46.8% | 69.8% |
| NTT DOCOMO BUSINESS (OCN) | 38,392 | 4.0% | 27,651 | 98.1% | 2.3% | 4.5% | 3.8% | 75.5% |
| IDC Frontier | 29,903 | 3.1% | 10,565 | 98.4% | 5.6% | 0.8% | 64.4% | 90.4% |
| GMO GlobalSign Holdings | 29,280 | 3.1% | 2,494 | 98.8% | 11.1% | 0.7% | 32.1% | 96.3% |
| NTTPC | 22,805 | 2.4% | 18,352 | 49.5% | 2.1% | 0.7% | 14.4% | 88.5% |
| 19,126 | 2.0% | 1,773 | 99.4% | 8.1% | 76.3% | 93.5% | 93.9% | |
| DigiRock | 16,042 | 1.7% | 414 | 99.6% | 82.7% | 1.3% | 98.8% | 94.5% |
| CPI (KDDI) | 15,155 | 1.6% | 10,418 | 99.2% | 24.0% | 1.9% | 43.3% | 91.0% |
| Future Spirits | 11,213 | 1.2% | 367 | 96.9% | 8.6% | 67.9% | 43.8% | 87.1% |
| KAGOYA JAPAN | 10,692 | 1.1% | 3,820 | 98.4% | 4.9% | 2.1% | 30.1% | 91.4% |
| Pacific Software Publishing | 9,542 | 1.0% | 58 | 99.7% | 0.1% | 0.1% | 97.8% | 100.0% |
| Otsuka Corporation | 7,734 | 0.8% | 7,711 | 48.7% | 4.9% | 99.5% | 0.1% | 99.8% |
| Canon IT Solutions | 3,817 | 0.4% | 16 | 17.0% | 98.7% | 0.1% | 17.1% | 99.9% |
| IIJ | 3,601 | 0.4% | 1,453 | 93.7% | 19.2% | 5.2% | 42.5% | 79.3% |
| KDDI | 3,452 | 0.4% | 936 | 92.6% | 11.8% | 1.3% | 69.7% | 75.8% |
| IBM Cloud | 3,229 | 0.3% | 72 | 98.8% | 15.7% | 0.0% | 0.6% | 99.0% |
| UCOM | 3,154 | 0.3% | 689 | 94.7% | 11.6% | 1.3% | 28.6% | 44.5% |
| Microsoft (Azure) | 2,957 | 0.3% | 1,332 | 94.9% | 38.1% | 9.6% | 70.1% | 38.1% |
| ASJ | 2,314 | 0.2% | 1,249 | 66.3% | 1.2% | 0.1% | 0.0% | 85.0% |
| Automattic (WordPress.com) | 1,854 | 0.2% | 154 | 87.0% | 78.4% | 1.7% | 99.5% | 99.9% |
| CLARA Online | 1,745 | 0.2% | 253 | 99.4% | 2.2% | 0.4% | 85.7% | 94.4% |
| Wix | 1,676 | 0.2% | 7 | 95.2% | 6.0% | 0.2% | 97.2% | 95.3% |
| ARTERIA Networks | 1,675 | 0.2% | 385 | 89.6% | 37.9% | 1.1% | 47.7% | 75.2% |
| NTT America | 1,588 | 0.2% | 16 | 3.9% | 1.2% | 0.2% | 1.8% | 2.3% |
| Namecheap | 1,565 | 0.2% | 931 | 55.9% | 1.2% | 0.2% | 44.9% | 90.4% |
| Akamai (Linode) | 1,474 | 0.2% | 361 | 92.3% | 16.6% | 2.7% | 38.6% | 74.6% |
| OPTAGE | 1,450 | 0.2% | 437 | 91.4% | 5.4% | 1.0% | 46.7% | 71.3% |
| Trellian (đỗ tên miền) | 1,449 | 0.2% | 51 | 98.8% | 0.0% | 0.0% | 97.0% | 100.0% |
| Mirai Communication Network | 1,418 | 0.1% | 201 | 96.9% | 11.7% | 2.5% | 70.5% | 71.9% |
| SoftBank | 1,392 | 0.1% | 837 | 93.0% | 14.0% | 3.8% | 34.1% | 57.3% |
| Oracle Cloud | 1,316 | 0.1% | 634 | 95.6% | 20.3% | 11.2% | 76.3% | 65.8% |
| Squarespace | 1,241 | 0.1% | 8 | 98.7% | 83.2% | 9.1% | 99.1% | 99.6% |
| Bear Cloud Solutions | 1,176 | 0.1% | 3 | 99.8% | 0.1% | 93.5% | 99.4% | 6.2% |
| Hostinger | 1,167 | 0.1% | 726 | 99.3% | 10.0% | 71.9% | 98.5% | 46.2% |
| Sedo (đỗ tên miền) | 1,113 | 0.1% | 8 | 99.4% | 8.4% | 0.0% | 99.0% | 1.2% |
| Các nhà cung cấp khác | 41,445 | 4.4% | 20,558 | 83.2% | 15.3% | 6.0% | 54.5% | 71.2% |
| (Tham khảo) Các công ty GMO cộng gộp | 209,084 | 22.0% | 7,096 | 93.2% | 6.1% | 3.2% | 76.2% | 68.1% |
| (Tham khảo) Sau CDN | 133,633 | 12.3% | 45,393 | 98.4% | 41.1% | 17.0% | 93.2% | 88.3% |
- Bắt buộc HTTPS đạt 94.3% trên toàn bộ và trên 90% ở phần lớn nhà cung cấp. Các giá trị thấp hơn: NTTPC 49.5%, Otsuka Corporation 48.7%, Canon IT Solutions 17.0%, NTT America 3.9%.
- HSTS đạt 10.6% trên toàn bộ. Tỷ lệ này cao ở Canon IT Solutions (98.7%), Squarespace (83.2%), DigiRock (82.7%) và Automattic (WordPress.com) (78.4%), và thấp ở Xserver (2.3%), NTT DOCOMO BUSINESS (OCN) (2.3%) và Sakura Internet (6.0%). Việc dịch vụ tự thêm nó theo mặc định hay để khách hàng tự làm dường như tạo nên sự khác biệt.
- CSP đạt 6.0% trên toàn bộ. Ngoài Otsuka Corporation (99.5%), Google (76.3%) và Future Spirits (67.9%), gần như mọi nhà cung cấp đều ở mức một chữ số.
- TLS 1.3 được thương lượng ở 73.8% trên toàn bộ: cao ở Xserver (97.9%), DigiRock (98.8%) và Sakura Internet (90.7%), thấp ở NTT DOCOMO BUSINESS (OCN) (3.8%), NTTPC (14.4%) và ASJ (0.0%). Phiên bản TLS do phần mềm máy chủ thiết lập, thứ mà khách hàng trên shared hosting thường không thể thay đổi.
- Ẩn phiên bản đạt 83.1% trên toàn bộ: 99.1% ở Xserver so với 63.5% ở GMO Internet, 44.5% ở UCOM và 38.1% ở Microsoft (Azure).
"Số IP" là số địa chỉ IP khác nhau được dùng bởi các tên đã phản hồi tại nhà cung cấp đó. Khi hàng nghìn tên dùng chung vài IP (dịch vụ đỗ tên miền hoặc chuyển tiếp, công cụ tạo website), giá trị phản ánh cấu hình của một dịch vụ chứ không phải của từng site riêng lẻ.
Phiên bản PHP và tình trạng hỗ trợ
Tỷ lệ site công bố phiên bản PHP (qua X-Powered-By và các cách tương tự), và tỷ lệ hết vòng đời trong số đó (8.1 trở về trước, tính đến ngày quan sát) (Hình 4, Bảng 2).
Bảng 2 Việc công bố phiên bản PHP và tình trạng hỗ trợ theo nhà cung cấp hosting (nhà cung cấp có từ 100 site công bố PHP trở lên)
| Nhà cung cấp hosting | Truy cập được | Có công bố phiên bản PHP | Tỷ lệ công bố | Trong đó hết vòng đời | Trong đó chỉ còn bản vá bảo mật (8.2) | Trong đó chưa vá các CVE nghiêm trọng năm 2026 |
|---|---|---|---|---|---|---|
| Tất cả (không tính site sau CDN) | 952,161 | 105,237 | 11.1% | 53.5% | 4.8% | 49.7% |
| Xserver | 206,817 | 284 | 0.1% | 28.5% | 11.3% | 30.3% |
| Sakura Internet | 197,363 | 17,804 | 9.0% | 86.3% | 1.9% | 81.2% |
| GMO Internet | 179,804 | 64,164 | 35.7% | 47.9% | 4.9% | 45.7% |
| AWS (Amazon) | 71,025 | 3,028 | 4.3% | 61.6% | 16.6% | 58.9% |
| NTT DOCOMO BUSINESS (OCN) | 38,392 | 8,072 | 21.0% | 5.4% | 0.5% | 5.1% |
| IDC Frontier | 29,903 | 2,020 | 6.8% | 83.4% | 8.1% | 31.5% |
| GMO GlobalSign Holdings | 29,280 | 537 | 1.8% | 62.4% | 4.7% | 56.4% |
| NTTPC | 22,805 | 680 | 3.0% | 49.3% | 3.7% | 42.9% |
| 19,126 | 167 | 0.9% | 44.3% | 13.2% | 46.7% | |
| DigiRock | 16,042 | 329 | 2.1% | 92.4% | 0.9% | 88.8% |
| CPI (KDDI) | 15,155 | 1,337 | 8.8% | 95.5% | 0.7% | 74.9% |
| KAGOYA JAPAN | 10,692 | 311 | 2.9% | 61.4% | 5.8% | 55.9% |
| IIJ | 3,601 | 255 | 7.1% | 70.6% | 5.1% | 70.6% |
| KDDI | 3,452 | 281 | 8.1% | 46.6% | 15.7% | 34.9% |
| UCOM | 3,154 | 298 | 9.4% | 63.8% | 17.1% | 51.0% |
| Microsoft (Azure) | 2,957 | 203 | 6.9% | 26.6% | 12.8% | 27.6% |
| ASJ | 2,314 | 253 | 10.9% | 99.2% | 0.4% | 98.0% |
| ARTERIA Networks | 1,675 | 111 | 6.6% | 75.7% | 13.5% | 72.1% |
| Akamai (Linode) | 1,474 | 127 | 8.6% | 66.1% | 10.2% | 57.5% |
| Mirai Communication Network | 1,418 | 325 | 22.9% | 37.5% | 4.3% | 37.2% |
| SoftBank | 1,392 | 214 | 15.4% | 58.9% | 21.0% | 48.6% |
| Oracle Cloud | 1,316 | 154 | 11.7% | 42.9% | 3.9% | 42.9% |
| Hostinger | 1,167 | 600 | 51.4% | 15.5% | 26.8% | 42.8% |
| Các nhà cung cấp khác | 41,445 | 3,402 | 8.2% | 61.1% | 9.2% | 57.5% |
| (Tham khảo) Các công ty GMO cộng gộp | 209,084 | 64,701 | 30.9% | 48.0% | 4.9% | 45.7% |
- Trong 105,237 site công bố phiên bản PHP, 64,164 site nằm trên GMO Internet (tỷ lệ công bố 35.7%). Sự khác biệt về tỷ lệ công bố dường như phản ánh việc cấu hình máy chủ có đưa phiên bản vào
X-Powered-Byhay không. Tỷ lệ công bố của Xserver là 0.1%; gần như không có site nào ở đó công bố phiên bản. - Tỷ lệ hết vòng đời dao động từ 5.4% ở NTT DOCOMO BUSINESS (OCN) đến 99.2% ở ASJ, với CPI (KDDI) ở mức 95.5%, DigiRock 92.4% và Sakura Internet 86.3%. Trên shared hosting, khách hàng thường tự chọn phiên bản PHP trong bảng điều khiển; nếu nhiều site giữ nguyên lựa chọn cũ, tỷ lệ sẽ cao ngay cả khi nhà cung cấp đã cung cấp các phiên bản hiện hành.
- 49.7% site công bố phiên bản PHP đang công bố một phiên bản nằm trong phạm vi ảnh hưởng của các lỗ hổng PHP nghiêm trọng năm 2026 (CVE-2026-109618 / 109619).
Mức độ phơi nhiễm CVE (giới hạn trên)
Tỷ lệ site có header Server, X-Powered-By hoặc chuỗi phiên bản CMS nằm trong phạm vi ảnh hưởng của một CVE đã công bố cho PHP, Apache, nginx, WordPress và các phần mềm khác (NVD, truy xuất ngày 2026-10-29) (Hình 5, Bảng 3). Quy tắc đối chiếu giống như trong Bài H. Vì không thể thấy các bản vá được bản phân phối đưa ngược về (back-port), đây là giới hạn trên. Không có thử nghiệm khai thác nào được thực hiện.
Bảng 3 Mức độ phơi nhiễm CVE theo nhà cung cấp hosting (giới hạn trên, % số tên truy cập được; nhà cung cấp có từ 100 site công bố PHP trở lên)
| Nhà cung cấp hosting | Trong phạm vi của một CVE đã biết | Nhóm RCE (trừ loại chỉ ảnh hưởng Windows) | Mức độ CRITICAL |
|---|---|---|---|
| Tất cả (không tính site sau CDN) | 8.7% | 1.7% | 7.8% |
| Xserver | 0.5% | 0.3% | 0.3% |
| Sakura Internet | 11.4% | 2.3% | 10.7% |
| GMO Internet | 18.0% | 3.2% | 17.8% |
| AWS (Amazon) | 11.2% | 1.0% | 7.3% |
| NTT DOCOMO BUSINESS (OCN) | 2.9% | 0.6% | 2.6% |
| IDC Frontier | 7.4% | 5.0% | 7.1% |
| GMO GlobalSign Holdings | 2.4% | 0.9% | 2.3% |
| NTTPC | 9.5% | 1.1% | 5.5% |
| 2.5% | 0.2% | 1.4% | |
| DigiRock | 2.1% | 0.2% | 2.0% |
| CPI (KDDI) | 8.6% | 6.5% | 8.6% |
| KAGOYA JAPAN | 6.0% | 1.3% | 5.1% |
| IIJ | 10.2% | 1.6% | 9.3% |
| KDDI | 14.4% | 2.1% | 12.4% |
| UCOM | 47.0% | 3.7% | 16.0% |
| Microsoft (Azure) | 7.5% | 0.6% | 5.5% |
| ASJ | 15.0% | 0.3% | 15.0% |
| ARTERIA Networks | 20.5% | 3.8% | 18.6% |
| Akamai (Linode) | 11.5% | 1.5% | 10.2% |
| Mirai Communication Network | 9.5% | 2.0% | 9.5% |
| SoftBank | 24.7% | 5.7% | 23.1% |
| Oracle Cloud | 10.8% | 0.9% | 8.4% |
| Hostinger | 24.0% | 0.3% | 22.7% |
| Các nhà cung cấp khác | 14.1% | 2.8% | 11.4% |
| (Tham khảo) Các công ty GMO cộng gộp | 15.8% | 2.8% | 15.6% |
Toàn bộ: 8.7%. UCOM (47.0%), SoftBank (24.7%), Hostinger (24.0%), ARTERIA Networks (20.5%) và GMO Internet (18.0%) cao hơn giá trị chung; Xserver (0.5%), DigiRock (2.1%) và GMO GlobalSign Holdings (2.4%) ở mức thấp. Các site không công bố phiên bản thì không thể đối chiếu, nên những nhà cung cấp có tỷ lệ ẩn phiên bản cao sẽ cho kết quả thấp hơn. Giá trị này cho thấy một phiên bản cũ đang được công bố; nó không có nghĩa là một cuộc tấn công sẽ thành công.
Quốc gia đăng ký địa chỉ IP
Không tính các site sau CDN, 85.4% địa chỉ IP phục vụ website được đăng ký tại Nhật Bản (86.9% nếu chỉ tính .jp). Các nhà cung cấp trong nước gần như 100% đăng ký tại Nhật Bản, trong khi AWS (98.5% đăng ký tại Mỹ), Google, Microsoft (Azure) và Oracle Cloud được đăng ký tại Mỹ và các nơi khác (Hình 6).
Quốc gia đăng ký lấy từ hồ sơ cấp phát của RIR và có thể khác với nơi đặt máy chủ. Các nhà cung cấp cloud nước ngoài thường đăng ký các địa chỉ dùng trong trung tâm dữ liệu ở Nhật Bản (khu vực Tokyo và Osaka) tại quốc gia gốc của họ, nên "đăng ký tại Mỹ" không có nghĩa là "đặt tại Mỹ".
Nhà cung cấp NS so với nhà cung cấp hosting
Với mỗi nhà cung cấp NS trong Bài H (top 10), đây là nhà cung cấp hosting có IP đã phục vụ website (Hình 7, chỉ .jp).
- 92.3% số tên dùng NS của Xserver, 93.3% dùng NS của Sakura Internet và 93.4% dùng NS của CPI (KDDI) cũng được phục vụ từ IP của chính công ty đó: DNS và web nằm ở cùng một nhà cung cấp.
- 78.1% số tên dùng NS của GMO Pepabo được phục vụ từ IP thuộc AS của GMO Internet. Ở cấp AS, không thể phân biệt công ty nắm giữ AS với công ty cung cấp dịch vụ trên hạ tầng của họ (§2).
- Các tên dùng NS của GMO (VALUE-DOMAIN) chia ra giữa DigiRock (40.9%), GMO Internet (29.2%) và Sakura Internet (10.6%). Các tên dùng NS của GMO (DNSv) phân tán giữa Sakura Internet (22.9%), AWS (12.3%), sau CDN (14.5%) và các nơi khác: DNS được lưu trữ ở một nơi còn website ở một nơi khác.
- Các tên dùng NS AWS Route 53: AWS 37.4%, sau CDN 33.1%, IDC Frontier 10.9%. Các tên dùng NS Cloudflare: 85.6% sau CDN.
- Các tên dùng NS customer.ne.jp: NTT DOCOMO BUSINESS (OCN) 79.3%, NTTPC 13.5%.
Điều này định lượng nhận định của Bài H rằng nhà cung cấp NS không phải là nhà cung cấp hosting: với các công ty shared hosting, giá trị theo NS và theo hosting khá gần nhau; với các nhà cung cấp chỉ làm DNS và CDN, chúng khác nhau rất nhiều.
Cách đọc các con số — đây không phải là đánh giá các nhà cung cấp
- Ai quyết định cấu hình: trên shared hosting, phiên bản PHP có thể là mặc định của nhà cung cấp hoặc do khách hàng chọn trong bảng điều khiển. HSTS và CSP phần lớn do khách hàng tự thêm trong
.htaccesshoặc trong ứng dụng. Trên VPS và cloud, khách hàng quản lý mọi thứ từ hệ điều hành đến ứng dụng. Mọi giá trị đều mô tả "những site được lưu trữ tại nhà cung cấp đó" và không trực tiếp đo chất lượng bảo mật của chính nhà cung cấp. - Mô hình kinh doanh khác nhau: shared hosting, VPS và cloud, công cụ tạo website, và các dịch vụ đỗ tên miền hoặc chuyển tiếp cùng xuất hiện trong một bảng. Không thể đơn giản xếp hạng các nhà cung cấp có mô hình dịch vụ khác nhau với nhau.
- AS ở cấp công ty: không thể tách các thương hiệu của cùng một công ty, và các dịch vụ xây dựng trên hạ tầng thuê được tính vào chủ sở hữu hạ tầng.
- Không biết điều gì nằm sau CDN: các site sau CDN đã bị loại khỏi mẫu số, nên với những nhà cung cấp mà khách hàng dùng CDN nhiều, các giá trị chỉ bao gồm những site không dùng CDN.
Công bố xung đột lợi ích: tác giả điều hành một doanh nghiệp tên miền (một nhà đăng ký được JPRS công nhận) thông qua SkyClear Co., Ltd., và trước đây từng giữ vị trí số hai tại một công ty con của Tập đoàn GMO. Các nhà cung cấp trong bài viết này bao gồm các công ty thuộc tập đoàn GMO (GMO Internet, GMO GlobalSign Holdings và các công ty khác). Mọi giá trị đều được tính cho từng nhà cung cấp bằng cùng một phương pháp và cùng tiêu chí, và tên công ty dựa trên dữ liệu công khai (bảng định tuyến và tên tổ chức của AS).
Giới hạn và lưu ý
- Các giới hạn về tập dữ liệu và phương pháp quan sát giống như trong Bài H (sổ cái bao phủ 63.0% số lượng đăng ký của JPRS, khả năng truy cập từ điểm quan sát, phản hồi 403 được tính là truy cập được, giới hạn trên dựa trên phiên bản).
- Nhà cung cấp hosting là AS gốc trong bảng định tuyến; không gian địa chỉ cho thuê và khoảng cách giữa ngày của bảng định tuyến (2026-10-28) và ngày quan sát (2026-10-29) không được phản ánh. Các IP không có trong bảng định tuyến và các tên không ghi lại được IP được loại ra dưới dạng "không rõ IP" (0.4%).
- Địa chỉ IP là kết quả của một lần phân giải duy nhất tại thời điểm quan sát; các tên có nhiều địa chỉ được tính một lần.
- Việc phát hiện CDN dựa trên header phản hồi và AS. Các CDN không tự nhận diện và các nhà cung cấp phân phối qua mạng riêng của họ thì không thể phát hiện.
- Các nhà cung cấp không được thông báo trước. Các giá trị mô tả những sự thật đã quan sát được.
- Bài viết này không nêu tên site hay tên miền cụ thể nào.
Hãy dùng cùng phương pháp không xâm nhập như cuộc khảo sát này để xem máy chủ của bạn đang công bố những gì: TLS, HSTS, các header và phiên bản. Không cần đăng ký.
Sử dụng: Tra cứu thông tin máy chủCâu hỏi thường gặp
Đây có phải là bảng xếp hạng các nhà cung cấp không?
Không. Các nhà cung cấp với mô hình khác nhau (shared hosting, VPS và cloud, công cụ tạo website) được đặt cạnh nhau, và phiên bản PHP cùng các header phần lớn do khách hàng quyết định. Các giá trị mô tả "những site đã phản hồi từ địa chỉ IP của nhà cung cấp đó".
Nhà cung cấp hosting được xác định như thế nào?
Địa chỉ IP phục vụ website được tra trong một bảng định tuyến công khai (CAIDA RouteViews) để tìm AS của nó, và tên tổ chức của AS (CAIDA AS Organizations) được chuẩn hóa thành tên công ty. Đó là tên của công ty nắm giữ AS, không phải thương hiệu dịch vụ.
Các site dùng CDN được xử lý ra sao?
Khi có một CDN như Cloudflare đứng phía trước, IP thuộc về CDN và máy chủ thực (máy chủ gốc) là không xác định. Máy chủ gốc không được suy đoán; các site như vậy được đếm riêng là "sau CDN" và loại khỏi mẫu số của từng nhà cung cấp.
Điều này khác gì so với các giá trị theo nhà cung cấp NS trong Bài H?
Nhà cung cấp NS là nơi lưu trữ DNS; nhà cung cấp hosting sở hữu IP đã phục vụ website. Chúng thường là các công ty khác nhau. Sự tương ứng được trình bày ở §9.
Tôi có thể kiểm tra site của mình theo cùng cách này không?
Có. Nhập URL vào công cụ kiểm tra thông tin máy chủ của Site Scouter để xem TLS, HSTS, các header và việc công bố phiên bản bằng cùng phương pháp không xâm nhập như cuộc khảo sát này.
Site của tôi có thể được loại khỏi việc quan sát không?
Vui lòng liên hệ với chúng tôi qua biểu mẫu liên hệ của Site Scouter. Site sẽ được loại khỏi các lần quan sát tiếp theo.
Tài liệu tham khảo
Kiểm tra lần cuối: 2026-10-30. Thông số kỹ thuật và chính sách có thể thay đổi; hãy kiểm tra nguồn thông tin gốc trước khi hành động.
- CAIDA: RouteViews Prefix-to-AS mappings
- CAIDA: AS Organizations
- APNIC: Delegated statistics (RIR allocation records)
- PHP: Supported Versions (php.net)
- NVD - National Vulnerability Database (NIST)
- Interim report: Security Exposure Across the .jp Domain Space (Site Scouter)
Yuki Nakazawa (blog cá nhân nkzw.jp)
Liên hệ: Trang web chính thức ／ YouTube ／ Instagram ／ LinkedIn ／ X ／ Telegram