JP ドメインにおける PHP 等の脆弱性露出の総体・途中報告 ― 現存する .jp ドメイン 1,197,208 件を同じ方法で観測した

要約

委任されている .jp ドメインを網羅的に集めた台帳（2026-10-29 時点で 1,197,208 件、JPRS 公表の登録数 1,901,067 件の 63.0%）を母集団に、全件へ同じ非侵襲の観測（DNS 照会・TLS 1 回・HTTP GET 1 回）を行った途中報告。ランキングや検索履歴から選んだ名前ではなく、「存在する .jp ドメインのほぼ全体」を相手にしている。
到達率（DNS が引けて HTTP 応答があった割合）は 87.9%。登録ドメインそのもの（example.jp）で 84.1%、応答が無かった名前に限って www. を付けて 1 回だけ試すと 44,801 件が加わった。自治体（lg.jp）と地域型は www. でしか応答しない名前が多い。
応答した 1,052,121 件のうち、HTTPS 強制 95.1%、HSTS 14.3%、CSP 7.2%、X-Frame-Options 13.2%、版の非表示 83.9%。HTTPS 化と版の非表示はほぼ行き渡った一方、サイト側で設定する HSTS・CSP は世界 500 万サイト（記事 G）の半分以下にとどまる。
PHP の版を名乗るサイトは応答サイトの 10.3%、うちサポート終了版（8.1 以前）は 52.9%。2026 年の PHP 重大脆弱性（CVE-2026-109618 / 109619）の影響範囲に入る版を名乗るサイトは、版を名乗るサイトの 49.1%。公開 CVE の範囲内の版を名乗るサイトは応答サイトの 8.1%（上限値）。
WordPress と判定できたサイトは応答サイトの 33.0%。トップページから参照されているプラグインは Contact Form 7 が 49.0% で突出し、照合できた主要プラグインの版で公開 CVE の範囲内に入るサイトは WordPress サイトの 21.9%。
メールの送信ドメイン認証は、DNS が引けた名前のうち SPF 82.6%、DMARC 34.9%。DMARC があっても大半は p=none（監視のみ）で、受信側に拒否・隔離を求める quarantine / reject は合わせて 3.8%＋2.1% にとどまる。
比較のため、筆者がレジストラとして蓄積したドメイン評価データから日本語と判定済みの .com / .net / .org を 131,622 件観測した。応答した日本語 gTLD サイトは WAF/CDN の前段が 44.8%（.jp は 10.8%）と多く、HSTS は 16.0% だった。

1. この調査の位置づけ

これまでの「セキュリティ露出統計調査 2026」（記事 A〜D）と世界 500 万サイト調査（記事 F・G）は、Tranco・Majestic などのランキングや、サイトスカウターの検索履歴から母集団を作っていた。日本のサイトについては、ランキングに載るほど利用される名前か、誰かが調べた名前に偏る。記事 B で日本の 13 万件（検索履歴由来）の到達率が 11.7% と低かったのはその表れである。

本稿は母集団を変えた。JPRS が公表する .jp の登録数に対して、Common Crawl のウェブグラフ・CT ログ・自社のドメイン資産・辞書と法人名からの候補生成などで名前を集め、.jp の権威 DNS に委任の有無を 1 件ずつ確かめた「ドメイン全数台帳」（JP 疑似ゾーン）を作り、その委任ありの名前すべてを観測した。台帳は 2026-10-29 に凍結し、その時点の委任あり 1,197,208 件を母集団とする。JPRS 公表数（2026-10-01 時点 1,901,067 件）に対する網羅率は 63.0% で、残りは台帳側の収集が進んだ段階で最終報告に加える（図 1）。

図 1 母集団と網羅率（種別別、JPRS 公表数に対する台帳の委任あり件数）

母集団の偏りについて最初に書いておく。 台帳の名前の 8 割は Common Crawl のウェブグラフ由来で、どこかからリンクされている名前に寄っている。リンクを持たない名前（メール専用・取得しただけの名前・社内向けなど）は網羅率の残り 4 割に多いと考えられ、本稿の到達率と対策実施率は「リンクされたことのある .jp ドメイン」の水準として読むのが正確である。種別では co.jp が 71.4%、汎用 JP が 58.8% の網羅率で、種別間の比較にも網羅率の差が混ざる。

2. 調べ方

各ドメインに対して、DNS 照会、TLS ハンドシェイク 1 回、HTTP GET 1 回だけを行った。ブラウザでトップページを 1 回開くのと同じアクセスで、ポートスキャン、パスの探索（/wp-login.php 等）、認証の試行、攻撃コードの送信は行っていない。追加の DNS 照会として、メール関連の TXT（SPF・DMARC）、MX、AAAA を引いた（HTTP・TLS は増えない）。

観測元: 国内のさくら VPS・ConoHa・OCN 回線など 9 台・15 プロセスのワーカーに分散し、1 台の集約サーバーが待ち行列を配った。配布順は乱数で、同じ DNS 事業者や共用サーバーのドメインが続けて観測されないようにした。毎分の観測は全体で約 3,500〜4,400 件、共用サーバー 1 台あたりでは毎分 1 回未満である。
ホストの単位: 台帳の名前（example.jp、example.co.jp、city.example.lg.jp）をそのまま観測し、DNS 未解決か接続失敗に終わった名前に限って www.<名前> を 1 回だけ試した（155,694 件）。1 名前につき GET は最大 2 回で、到達した側の 1 行を採る。「到達率」は apex と www. のどちらかで HTTP 応答があった割合で、apex 単独の到達率も併記する。
重複の扱い: 同じホストを複数回観測した場合は、DNS 未解決以外の最新 1 行を採り、無ければ最新 1 行を採る。記事 A〜G で既に観測していたホスト（.jp で約 10 万件）も同じ観測窓で測り直した。
指標の定義は記事 A〜G と同じ。HTTPS 強制＝HTTP で開いたときに HTTPS へ転送される、HSTS＝応答に Strict-Transport-Security がある、版の非表示＝Server と X-Powered-By にバージョン番号が無い、CVE 露出＝ヘッダーに書かれた版が公開 CVE の影響範囲に入る（上限値）。
CVE の照合には 2026-10-29 に更新した NVD（米国立標準技術研究所の脆弱性データベース）のミラーを使い、CPE の製品名（php:php、apache:http_server 等）まで一致したものだけを数えた。PHP のサポート判定は観測日で固定し、8.1 以前をサポート終了、8.2 をセキュリティ修正のみ（2026-12-31 まで）、8.3〜8.5 をサポート中とした。

3. 到達率 ― 9 割弱の .jp ドメインがウェブで応答する

観測した 1,197,206 名前のうち、HTTP 応答が得られたのは 1,052,121 件（87.9%）。apex だけでは 1,007,320 件（84.1%）で、www. で補った 44,801 件が加わった。apex での失敗の内訳は DNS 未解決 10.5%、接続失敗 2.5%、TLS エラー 2.9%（図 2）。

図 2 種別別の到達率と失敗の内訳

到達率は種別で大きく違う。co.jp は 91.9%（apex 87.2%）、汎用 JP は 85.8%（apex 83.0%）、or.jp は 94.9%。一方、lg.jp（1,040 件）は apex で 5.5% しか応答せず、www. を付けると 75.2% になる。地域型（1,834 件）も apex 25.4% → 73.0%、go.jp は 51.6% → 86.9%、ac.jp は 74.5% → 94.7%。自治体・官公庁・大学や地域型のドメインは、登録名そのものに A レコードを置かず www. だけを運用する慣行が強い。ランキング由来の調査（記事 A〜G）は apex で観測しており、この種の名前を「不達」に数えていたことになる。

到達には 403 Forbidden も含む（ヘッダーは取れているため）。応答のうち 403 は 7.4% で、多くは中身の無いドメインに共用サーバーが返す既定の応答だった。WAF による拒否と見分けるために事業者別の 403 率も監視したが、標本試験から変化は無かった。

4. 対策の実施率 ― HTTPS は行き渡り、ヘッダーは手つかず

応答した 1,052,121 件に占める実施率を表に示す。比較のため、gTLD 日本語サイトの標本（第 14 節）と、記事 G の .jp（Tranco と Common Crawl に載った .jp）も並べた。

対策	JP 全数（n=1,052,121）	gTLD 日本語サイト（n=38,092）	記事 G の .jp（n=44,169）
HTTPS 強制	95.1%	86.6%	96.1%
HSTS	14.3%	16.0%	18.2%
HSTS（max-age 1 年以上）	11.2%	13.3%	―
CSP	7.2%	9.8%	8.3%
X-Frame-Options	13.2%	18.4%	19.2%
X-Content-Type-Options	19.3%	15.9%	23.1%
Referrer-Policy	5.3%	16.1%	―
Permissions-Policy	2.6%	8.7%	―
版の非表示	83.9%	79.4%	80.2%
WAF/CDN が前段	10.8%	44.8%	18.0%
TLS 1.3 で接続	75.8%	82.2%	―

HTTPS 強制は 95.1% で、HTTP のまま残るサイトは少数になった。版の非表示も 83.9% と高い。国内の共用レンタルサーバーの多くが Server ヘッダーに版を出さない設定を標準にしているためとみられる。一方、HSTS は 14.3%、CSP は 7.2%、X-Frame-Options は 13.2% で、サイト運営者が自分で設定する必要があるヘッダーは 1 割前後にとどまる。

既存の調査と並べると（図 3）、母集団を「ランキングに載る .jp」から「存在する .jp のほぼ全体」に広げたことで、HSTS は記事 G の .jp（18.2%）から 14.3% へ、X-Frame-Options は 19.2% から 13.2% へ下がった。記事 B の Tranco 由来の日本（HSTS 27.5%）や Majestic 由来（20.2%）とは母集団が違うので、改善・悪化として読まないこと。よく使われるサイトほど対策が進んでいるという傾向が、日本でも全数に近い母集団で確かめられたと読むのが妥当である。

図 3 既存調査との比較（同じ指標、母集団が違う）

種別別では（図 4）、go.jp（596 件）と lg.jp（782 件）が HSTS（34.6%・30.1%）と X-Frame-Options（43.6%・49.7%）で突出して高い。ただし lg.jp は版の非表示が 44.9% と低く、サーバー製品の版を名乗るサイトが多い。co.jp（330,598 件）は HSTS 12.2%、CSP 7.5% で、汎用 JP（HSTS 15.5%）と大差ない。応答が 1,000 件に満たない種別（go・ad・lg）の率は件数を併記しており、見出しには使わない。

図 4 種別別の HSTS・CSP・X-Frame-Options・版の非表示

Cookie を発行していたサイト（213,345 件）では、Secure 65.0%、HttpOnly 67.8%、SameSite 指定 21.6%。

5. NS 事業者別 ― 対策の水準は DNS の預け先で大きく違う

台帳は各ドメインの NS（権威 DNS サーバー）を記録しており、NS のホスト名から事業者を正規化している。NS を預けている事業者の上位 10 社と、それ以外で、対策の実施率を比べた（図 5）。NS 事業者はドメインの DNS を預けている事業者で、ウェブを置いているホスティング事業者とは限らない。NS が Xserver でもウェブは別の場所にあることがあるため、本節の値は「その事業者のサーバーが脆弱」という意味ではなく、「その事業者に DNS を預けている利用者のサイトの状態」である。版表示と CVE はサイト側の設定で変わるので、事業者別の CVE 露出は出さない。

図 5 NS 事業者別の HSTS・CSP・版の非表示

NS 事業者	応答サイト	HSTS	CSP	版の非表示	WAF/CDN 前段	TLS 1.3
Xserver	194,701	4.1%	3.4%	98.8%	4.1%	97.5%
さくらインターネット	152,912	3.9%	3.1%	89.7%	2.5%	95.0%
GMOペパボ	106,435	8.8%	5.8%	47.4%	6.0%	92.3%
AWS Route 53	71,042	22.0%	8.5%	75.3%	32.9%	64.8%
GMO（DNSv）	64,312	20.8%	15.4%	81.6%	14.5%	75.3%
GMO	55,471	5.8%	4.9%	91.1%	6.5%	82.2%
GMO（VALUE-DOMAIN）	29,276	62.6%	10.8%	88.7%	3.8%	90.1%
Cloudflare	29,306	23.1%	11.9%	90.8%	83.5%	94.6%
customer.ne.jp	30,562	2.7%	1.8%	75.0%	1.7%	5.6%
CPI（KDDI）	12,600	23.7%	2.7%	90.8%	2.3%	44.2%
その他	305,504	21.5%	10.5%	84.7%	10.8%	53.4%
（参考）GMO 系計	266,490	16.6%	8.3%	71.5%	7.7%	82.1%

国内の共用レンタルサーバー系（Xserver、さくらインターネット、customer.ne.jp）に DNS を預けている名前は到達率が高い一方、HSTS は 4.1%・3.9%・2.7%、CSP は 3.4%・3.1%・1.8% と低い。版の非表示は Xserver が 98.8% とほぼ全数で、customer.ne.jp は 75.0%。customer.ne.jp に DNS を預けている名前は、TLS 1.3 で接続できたサイトが 5.6% しかなく、TLS 1.3 に対応していない基盤に載っているとみられる。共用サーバーでは事業者が標準設定でヘッダーを付けないことが多く、利用者が .htaccess などで自分で足さない限り付かない。AWS Route 53 と Cloudflare に DNS を預けている名前は、HSTS・X-Frame-Options が高く、WAF/CDN の前段も多い。自社でサーバーを運用するか、CDN を前段に置く構成が多いためと考えられる。GMO（VALUE-DOMAIN）に DNS を預けている名前は HSTS が 62.6% と上位 10 社で最も高い。CPI（KDDI）は TLS 1.3 で接続できたサイトが 44.2% にとどまる。GMO 系は 5 区分を別々に示した。区分ごとの差が大きく、GMOペパボに DNS を預けている名前は版の非表示が 47.4% と他より低い（X-Powered-By に PHP の版を出すサーバー構成が残っている）。

利益相反の開示: 筆者はスカイクリア株式会社を通じてドメイン事業（JPRS 指定事業者）を営み、元 GMO グループ子会社の役員である。本節の対象には GMO 系事業者が含まれる。数値は全事業者に同じ方法・同じ基準で算出している。

6. TLS と証明書

接続に使われた TLS の版は、TLS 1.3 が 75.8%、TLS 1.2 が 15.1%（gTLD 日本語サイト 82.2% / 2.4%）。TLS 1.2 で接続したサイトは「TLS 1.3 を選ばなかった」サイトで、TLS 1.0/1.1 しか話せないサイトは接続に失敗し、他の失敗と区別できない（版を固定したハンドシェイクは「TLS 1 回」の原則を超えるので行っていない）。証明書は DV が 86.4%、OV が 4.6%（図 6）。

図 6 TLS の版と証明書の認証レベル

7. サーバー製品と版の露出

Server ヘッダーに名乗る製品は、nginx 47.7%、Apache 34.9%、Cloudflare 5.8%、LiteSpeed 2.9%（図 7）。世界 500 万サイト（記事 G）で多かった Cloudflare は少なく、共用レンタルサーバーで多い nginx と Apache で 8 割を占める。版番号まで名乗る割合は Apache で 7.9%、nginx で 2.4%。

図 7 Server ヘッダーに名乗る製品と版の露出率

8. PHP の版とサポート状況

PHP の版を X-Powered-By などで名乗るサイトは、応答サイトの 10.3%（108,894 件。記事 B の日本 8.6%）。名乗った版のうち、サポート終了版（8.1 以前）は 52.9%（57,554 件）。PHP 5 系が 13,399 件、7 系が 40,838 件残っている。セキュリティ修正のみの 8.2 は 5,378 件、サポート中の 8.3 以降は 45,962 件（図 8）。

図 8 PHP 版露出ホストのサポート状況と、露出した版の分布

2026 年に公開された PHP の重大脆弱性 CVE-2026-109618 / 109619（修正版 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12）について、NVD が影響範囲とする版を名乗るサイトは 53,506 件で、版を名乗るサイトの 49.1% にあたる。サポート終了版はこの修正を受け取れない。8.2 系もセキュリティ修正の提供は 2026 年 12 月 31 日で終わる。

種別では、co.jp の版を名乗るサイトのサポート終了版は 52.2%、汎用 JP は 53.4%、or.jp は 48.2%。PHP の版を名乗ること自体は直接の脆弱性ではないが、サポート終了版を名乗ることは攻撃者に対象を教える。

9. CVE 露出（上限値）

ヘッダーに書かれた版が公開 CVE の影響範囲に入るサイトは、応答サイトの 8.1%（85,434 件）。うち RCE（リモートコード実行）系の CVE を含むのは 5.5%、Windows 上の PHP-CGI に限られる CVE-2024-3566 を除くと 1.6%。CRITICAL を含むのは 7.3%（図 9）。製品別では、PHP の版を名乗るサイトの 53.7%、Apache の版を名乗るサイトの 89.2%、nginx の版を名乗るサイトの 67.7% が、公開 CVE の範囲内の版だった。

図 9 CVE 露出率（上限値）と製品別の内訳

本調査は攻撃を試みていない。版表示に基づく CVE 露出は、ディストリビューションのバックポート修正を反映できないため上限値であり、版を隠しているホストの実態は分からない。CVE-2024-4577（PHP-CGI）は Windows・CGI・特定ロケールが前提で、非侵襲の観測では成立条件を確認できないため、版が一致しても判定不可として扱った。

10. 基本対策スコア

HTTPS 強制・HSTS・CSP・X-Frame-Options・X-Content-Type-Options・版の非表示・有効な証明書の 7 項目のうち、満たした数を 0〜7 のスコアにした。JP 全数の平均は 3.24（gTLD 日本語サイト 3.11、記事 G の世界合算 3.67）。3 点が 54.6% でもっとも多く、7 点満点は 2.3% にとどまる（図 10）。「HTTPS と証明書と版の非表示まではできているが、ヘッダーは手つかず」という形が日本のサイトの典型である。

図 10 基本対策スコア（0〜7）の分布

11. 法人区分・地域

台帳は WHOIS（JPRS）から登録者の組織名を法人らしい名前だけ保存しており、国税庁の法人番号公表データと突合すると、法人の種別と所在地が分かる。ただし本稿の時点では WHOIS の取得が委任あり名前の 37.0% にとどまり、法人番号と突合できた名前は全体の 3.2% しかない。法人区分の比較は参考表（図 11）にとどめ、図での比較は WHOIS の全件取得が終わる最終報告で行う。

図 11 法人区分（参考。法人番号と突合できた名前のみ）

都道府県は、名前そのもので確定する 3 種別（都道府県型・地域型・lg.jp、計 3,857＋1,834＋1,040 件）で集計した（図 12）。件数が少ない県が多いため、応答が 30 件に満たない県は灰色で示し、順位付けはしない。

図 12 都道府県別の基本対策スコア（確定 3 種別）

12. メールの送信ドメイン認証（SPF・DMARC）と IPv6

ウェブが応答しない名前でも、DNS の設定は観測できる。各名前の TXT（SPF）、_dmarc.<名前> の TXT（DMARC）、MX、AAAA を引いた（照会に失敗した名前は分母から除く。DNS が引けたのは 1,120,831 件）。

	JP 全数	co.jp	汎用 JP	ウェブ応答あり	ウェブ応答なし	gTLD 日本語サイト
MX あり	88.5%	96.8%	84.1%	90.9%	65.2%	34.3%
SPF あり	82.6%	91.6%	77.7%	85.6%	53.2%	36.8%
SPF が複数（RFC 違反）	0.5%	0.6%	0.4%	0.5%	0.4%	0.1%
DMARC あり	34.9%	41.8%	31.3%	35.7%	27.2%	12.1%
うち p=none	29.0%	35.5%	25.6%	29.8%	21.6%	7.5%
p=quarantine	3.8%	4.6%	3.3%	4.1%	1.4%	2.8%
p=reject	2.1%	1.6%	2.4%	1.9%	4.1%	1.7%
AAAA（IPv6）あり	4.3%	3.0%	5.0%	4.6%	1.2%	39.2%

SPF は 82.6% と普及しているが、DMARC は 34.9% で、その大半は p=none（なりすましメールを受信側に拒否させない、監視のみの設定）である。MX を持つ名前のうち、SPF と quarantine / reject の DMARC がそろっているのは 6.0% にとどまる。2024 年以降、大手のメール事業者が大量送信者に DMARC を求めるようになったが、.jp の大半のドメインは「DMARC レコードはあるが何も拒否しない」か「DMARC が無い」状態にある。登録名に AAAA を持つ（IPv6 で到達できる）名前は 4.3% だった（図 13）。

図 13 メールの送信ドメイン認証（SPF・DMARC・MX）と AAAA の設定率

13. WordPress とプラグイン

WordPress と判定できたサイトは応答サイトの 33.0%（gTLD 日本語サイト 16.9%）。トップページの HTML（先頭 256KB）から /wp-content/plugins/<名前>/…?ver=x.y の参照を拾うと、本文を記録できた WordPress サイトの 83.2% でプラグインが見え、1 サイトあたり平均 2.87 個だった。最多は Contact Form 7（49.0%）で、WP-PageNavi（8.3%）、国産の VK All in One Expansion Unit（7.9%）、Smash Balloon Instagram Feed（7.1%）、Elementor（5.0%）が続く（図 17）。

図 17 トップページから参照される WordPress プラグイン（上位 20）

上位 20 のうち NVD に製品名（CPE）がある 14 個について、ver= の版を公開 CVE と照合した。範囲内の版を参照しているサイトは、本文を記録できた WordPress サイトの 21.9%（70,728 件）。ver= はスクリプトやスタイルの版で、多くはプラグインの版と同じだが一致しない場合もあり、これも上限値である。readme.txt の取得など追加のアクセスはしていない。

WordPress と PHP の組み合わせでは、WordPress サイトのうち PHP の版を名乗るものは 20.3%、そのうちサポート終了版は 47.8%（WordPress 以外 62.2%）。HSTS は WordPress で 7.4%、それ以外で 17.7%（図 18）。

図 18 WordPress サイトとそれ以外の PHP サポート状況とヘッダー

14. gTLD にある日本語サイトとの比較

.jp だけでは日本語のウェブを覆わない。比較標本として、筆者がレジストラ（スカイクリア株式会社、JPRS 指定事業者）として長年蓄積してきたドメイン評価データのうち、サイトの言語が日本語と判定済みの .com / .net / .org 131,622 件を同じ方法で観測した。過去に被リンクを持った名前の一覧で、判定時期が古いものを含むため、DNS が引けない名前が多い（到達率 28.9%）。対策実施率は DNS が引けて応答したサイト（38,092 件）で比べる。これは「日本語ウェブ全体」ではなく比較標本である（図 15）。

図 15 .jp と gTLD 日本語サイト（.com / .net / .org）の比較

応答した日本語 gTLD サイトは、WAF/CDN の前段が 44.8% と .jp（10.8%）の約 4 倍で、HSTS は 16.0%（.jp 14.3%）、PHP の版を名乗るサイトのサポート終了版は 38.0%（.jp 52.9%）だった。gTLD の日本語サイトは海外の CDN やホスティングに載ったものが多く、国内の共用レンタルサーバーに載る .jp とは置き場所の構成が違う。

解決した IP アドレスの登録国（RIR に登録された国。設置国と一致しないことがある）で見ると、CDN の前段を別枠にしたうえで、.jp の応答サイトの 77.0% が日本、10.8% が米国の IP だった（gTLD 日本語サイトは日本 8.0%、米国 25.9%、CDN 前段 44.8%）（図 16）。ホスティング事業者別の詳しい集計は、別稿（ホスティング会社レポート）で扱う。

図 16 日本語サイトの所在（IP の登録国別、CDN 前段は別枠）

15. 進捗と今後

台帳の網羅率は 63.0%（1,197,208 / 1,901,067）。本稿はこの時点の全件観測で、観測済みは 1,197,206 名前、うち応答 1,052,121 件（図 14）。台帳は CT ログの購読や候補生成で毎日増えており、網羅率 80% か 2027 年 1 月の早い方で 2 回目の観測を行い、最終報告とする。最終報告では WHOIS の全件取得による法人区分・地域の集計を加え、途中報告との差（母集団が広がって何が動いたか）を示す。

図 14 進捗（JPRS 公表数・台帳・観測・応答）

16. 限界と注意

母集団は台帳の委任ありの名前で、JPRS 公表数の 63.0%。台帳の名前の 8 割はウェブグラフ由来で、リンクされている名前に偏る。網羅できていない約 4 割には、ウェブを持たない名前が多いと考えられる。
到達率は観測元（国内回線）からの到達性で、地域制限やボット対策で応答しなかったサイトは失敗に含まれる。不達ホストの再試行は行っていない（www. の補完 1 回のみ）。
403 を返したサイトも「到達」に含めた。403 の多くは中身の無いドメインへの既定応答で、ヘッダーは共用サーバーのものになる。
CVE 露出は版表記に基づく上限値で、バックポート修正を反映できない。攻撃の成否は検証していない。
NS 事業者別の値は「その事業者に DNS を預けている利用者のサイトの状態」で、事業者の評価ではない。
法人区分は WHOIS 取得が 37.0% の段階で、突合できた名前は 3.2% にとどまる。
gTLD 日本語サイトは比較標本で、全数ではない。言語判定の時期が古く、現存しない名前を含む。
メールの指標は DNS の設定の有無で、実際に送信元ドメイン認証が機能しているかは確かめていない。
個別のサイト名・ドメイン名は本稿では出さない。

17. 方法・免責・FAQ

Q. これは攻撃ではないのか。 いいえ。各ドメインに対して行ったのは、ブラウザでそのサイトを 1 回開くのと同じアクセスと、公開されている DNS 情報の照会だけである。ポートスキャンや脆弱性の探索、パスの推測は行っていない。観測の User-Agent ではサイトスカウター（sitescouter.net）を名乗っている。

Q. 「.jp のほぼ全体」をどうやって集めたのか。 JPRS はゾーンファイルを公開していないため、Common Crawl のウェブグラフ、証明書の透明性ログ（CT ログ）、自社のドメイン資産、辞書・地名・法人名からの候補生成で名前を集め、.jp の権威 DNS に 1 件ずつ委任の有無を確かめた。照会は JPRS の負荷にならない速度に抑えている。

Q. ランキング由来の調査と数値が違うのはなぜか。 母集団が違うためである。ランキングに載る名前はよく使われるサイトに偏り、対策も進んでいる。本稿は存在する名前のほぼ全体を相手にしているので、対策の実施率は低めに出る。改善・悪化ではない。

Q. 事業者別の数値は事業者の評価か。 いいえ。NS 事業者は DNS の預け先で、ウェブの置き場所とは限らない。ヘッダーや版表示は多くの場合、サイト利用者の設定で変わる。

Q. 自分のサイトを同じ方法で確認できるか。 できる。サイトスカウターのサーバー情報調査に URL を入れると、本調査と同じ非侵襲の方法で TLS・HSTS・ヘッダー・版露出を確認できる。

Q. 観測の対象から外してほしい。 サイトスカウターの問い合わせフォームから連絡してほしい。以後の観測から除外する。