Исследование4 минуты чтения
Хостинги рунета: что видно с главной страницы
Старый PHP, почта без защиты от подделки и шрифты из-за границы — по площадкам, на которых стоят сайты. Что из этого забота хостинга, а что владельца сайта.
Четыре находки
Хостинг отвечает за сервер, а не за сайт. Площадка держит сервер, его версии, его почтовые настройки по умолчанию. Всё, что сайт делает с посетителем, — счётчики, формы, баннер cookie, политика — пишет владелец сайта или его подрядчик. Поэтому одни строки этого исследования про хостинг, а другие — про шаблоны, которые на нём стоят. Мы разделили одно и другое, чтобы никого не похвалить и не поругать за чужую работу.
Сайты мы сравнили и по нарушениям закона — тем, что проверили целиком, при равном размере и отрасли. Разницы между площадками это сравнение не дало. Политику за клиента хостинг не пишет, и, судя по цифрам, не мешает.
Находка 1
66%работают на PHP, для которого больше не выходят исправления
PHP, которому больше не выходят исправления
Это строка про хостинг. Версию PHP на виртуальном хостинге выбирает площадка: она ставит её по умолчанию и годами не трогает, пока сайт работает. Ветки старше 8.2 исправлений безопасности больше не получают — уязвимость, найденную в них завтра, никто не закроет. Сайт при этом работает как ни в чём не бывало. Именно поэтому никто ничего и не меняет.
Самая старая часть сайта обычно та, которую владелец никогда не видел.
Главные страницы сайтов рунета, которые мы прочитали сами: прочитано 17 095 из 17 095 живых, срез от 28 октября 2026 г. Как считали
Находка 2
50,5%разрешают подделывать письма от своего имени
Почта, от имени которой пишет кто угодно
Без записи DMARC любой может отправить письмо с адреса вашего домена, и почтовый ящик клиента не узнает, что это не вы. Запись добавляется в DNS за пять минут — дольше искать, где у регистратора кнопка «Добавить запись». Разброс между площадками здесь большой: у одних запись есть у большинства клиентов, у других — у меньшинства.
VK
Главные страницы сайтов рунета, которые мы прочитали сами: прочитано 17 095 из 17 095 живых, срез от 28 октября 2026 г. Как считали
Находка 3
70,8%не запрещают браузеру открывать себя без шифрования
Шифрование, о котором браузеру не сказали
Сайт открывается по https, но не просит браузер это запомнить. Тогда первый заход по старой ссылке или из закладки идёт без шифрования, и ответ можно подменить по дороге. Исправляется одним заголовком Strict-Transport-Security на сервере. На виртуальном хостинге это настройка площадки: где-то она стоит в панели, где-то её нужно просить у поддержки.
- VK
Главные страницы сайтов рунета, которые мы прочитали сами: прочитано 17 095 из 17 095 живых, срез от 28 октября 2026 г. Как считали
Находка 4
34,4%берут шрифты и библиотеки с зарубежных серверов
Шрифт из-за границы
Шрифты и библиотеки с зарубежных серверов приходят с шаблоном сайта, а не с хостингом: темы популярных движков и конструкторы подключают их сами. Вместе с запросом за буквой зарубежный сервер получает адрес посетителя и страницу, которую он открыл. Разброс между площадками здесь меньше, чем между движками, — и это ответ на вопрос, кто его исправит.
- VK
Главные страницы сайтов рунета, которые мы прочитали сами: прочитано 17 095 из 17 095 живых, срез от 28 октября 2026 г. Как считали
Защита от атак — не хостинг
Часть сайтов отвечает не со своего сервера, а с сети защиты от атак: она стоит перед настоящим хостингом и прячет его. Такие строки в таблицах подписаны отдельно. Страну сервера за ними мы не считаем: страна узла защиты говорит о защите, а не о том, где лежат данные.
Все доли
| Сайты | Доля | Сайтов |
|---|---|---|
| берут шрифты и библиотеки с зарубежных серверов | 34,4% 33,7%–35,1% | 5 881 из 17 095 |
| стоят на сервере за пределами России | 9,3% 8,8%–9,8% | 1 350 из 14 551 |
| работают на PHP, для которого больше не выходят исправления | 66% 64,5%–67,5% | 2 504 из 3 794 |
| не запрещают браузеру открывать себя без шифрования | 70,8% 70,1%–71,5% | 11 600 из 16 375 |
| разрешают подделывать письма от своего имени | 50,5% 49,7%–51,3% | 7 642 из 15 121 |
Под долей — интервал, в котором она лежит с вероятностью 95%: выборка не весь рунет, и точнее этого цифру называть нельзя.
Главные страницы сайтов рунета, которые мы прочитали сами: прочитано 17 095 из 17 095 живых, срез от 28 октября 2026 г. Как считали
Как считали
Выборка — главные страницы популярных сайтов рунета, которые мы прочитали сами. Один домен — один сайт: поддомены одной компании мерили бы компанию, а не площадку. Не открывающиеся, заглушки, переехавшие и перехваченные адреса в доли не входят; закрытые от проверки идут отдельным счётом. Не вошли и сети, где стоят фермы выкупленных доменов под одним шаблоном: их доли мерили бы ферму.
Площадка — сеть, с которой отвечает сайт. Строкой выходит площадка, у которой прочитано не меньше сотни сайтов. Доля по каждому вопросу считается среди тех, у кого на него есть ответ: «нет DMARC» — среди доменов с почтой, «старый PHP» — среди сайтов, которые называют версию. Мы видим одну главную страницу, поэтому доли — про главную, а не про весь сайт.
Исследование обновляется раз в неделю.
| Вся выборка | |
|---|---|
| Сайтов в списке | 23 003 |
| Не считаем: не открываются или пропали из DNS | −2 055 |
| Не считаем: заглушка вместо сайта | −173 |
| Не считаем: переехали на другой адрес | −807 |
| Не считаем: по адресу открывается чужое | −482 |
| Открываются | 19 486 |
| Закрыты от проверки | −2 391 |
| Живых сайтов | 17 095 |
| Прочитали | 17 095 · 100% |
Мусор — сайты, которые не открываются, заглушки, переехавшие и перехваченные адреса, — в доли не входит: с ним картина вышла бы ещё хуже, но это была бы картина не сайтов, а адресов. Доли яруса считаем, когда прочитано не меньше 30 сайтов и не меньше 60% живых; каждый сайт открывали не раньше чем за 92 дней до среза.
Что сделать владельцу сайта
- Спросить у хостинга, какая версия PHP стоит у сайта, и перейти на ветку, которой ещё выходят исправления.
- Добавить домену запись DMARC — хотя бы с политикой «только наблюдать».
- Положить шрифты и библиотеки рядом с сайтом, а не брать с чужих серверов.
- Включить заголовок Strict-Transport-Security, чтобы браузер не открывал сайт без шифрования.
Посмотреть, что из этого есть на вашем сайте, можно проверкой Параграфа.