الجواب السريع
كيف تؤمّن أفضل مشاريع الكريبتو نطاقاتها في 2026؟
من النطاقات الرسمية لأكبر 50 مشروع كريبتو في 12 نوفمبر 2026، وُقِّع 20 بـDNSSEC (40%)، ونشر 15 سجلات CAA (30%)، وأظهر 5 أقفال خوادم قفل السجل (10%). ولم يجمع إلا 3 كل ذلك مع سياسة DMARC تمنع الانتحال. Wardmint قرأ DNS العام وRDAP.
نتائج النطاقات الرسمية الـ50
| Protection | النطاقات | الحصة | ما يمنعه |
|---|---|---|---|
| قفل المسجِّل (clientTransferProhibited) | 47 من 50 | 94% | نقل بدأ دون علم صاحب النطاق |
| DMARC p=reject | 28 من 50 | 56% | البريد المنتحل من النطاق يُرفض |
| DMARC p=quarantine | 16 من 50 | 32% | البريد المنتحل يذهب إلى الرسائل غير المرغوب فيها |
| لا يوجد سجل DMARC أو p=none | 6 من 50 | 12% | لا شيء: البريد المنتحل يُسلَّم |
| SPF ينتهي بـ -all | 29 من 50 | 58% | البريد من خوادم غير مدرجة ينبغي أن يُرفض |
| DNSSEC (سجل DS لدى النطاق الأعلى) | 20 من 50 | 40% | ردود DNS مزيفة، كما في هجمات تسميم الذاكرة المؤقتة |
| سجلات CAA | 15 من 50 | 30% | شهادات صادرة عن جهة غير مدرجة |
| توقيعات قفل السجل (ثلاثة أقفال للخوادم) | 5 من 50 | 10% | تغييرات تتم عبر حساب مسجِّل مخترق |
| الأربعة كلها: DNSSEC وCAA وتوقيعات قفل السجل وDMARC مفروض | 3 من 50 | 6% |
آخر تحقق في ؛ الأرقام الأقدم تحمل تاريخها الخاص
ماذا وجدت الدراسة؟
القفل الأساسي شائع جدا؛ أما الحمايات التي تمنع الاختطاف فليست كذلك. لدى 47 من النطاقات الـ50 قفل نقل للمسجِّل، وهو الإعداد الذي تفعّله معظم المسجِّلات افتراضيا. وهو يوقف النقل، لكنه لا يوقف من يدخل إلى حساب المسجِّل ويغيّر خوادم الأسماء، وهذا ما جرى في معظم الهجمات الموثقة على واجهات الكريبتو.
الدفاعات لهذه الحالة أندر. يظهر قفل السجل، الذي يجعل السجل نفسه يرفض التغييرات حتى يؤكدها شخص خارج القناة، على 5 نطاقات. ويظهر DNSSEC، الذي يتيح للمحللين رفض الإجابات المزيفة، على 20. ويظهر CAA، الذي يحد من يحق له إصدار شهادة للاسم، على 15. ويشرح مقارنة قفل السجل وقفل المسجِّل الفرق، ودليل DNSSEC الخطوات.
البريد أفضل حالا: 44 من الـ50 ترفض أو تضع في الحجر البريد المنتحل بواسطة DMARC. والستة الأخرى لا تنشر سجل DMARC أو تبقى عند p=none، فيستطيع أي أحد إرسال بريد يبدو صادرا عن المشروع.
كيف أُجريت الدراسة؟
استخدمنا النطاقات الرسمية الـ50 من تدقيقنا للمتشابهات، المأخوذة من أكبر مشاريع الكريبتو حسب القيمة السوقية في 12 نوفمبر 2026. لكل نطاق سألنا محلل Cloudflare العام DNS-over-HTTPS عن سجل DS الخاص به (يُحسب DNSSEC إذا كانت المنطقة الأعلى تحمله)، وعن سجلات CAA، وسجلات TXT (SPF)، وسجل TXT عند _dmarc (سياسة DMARC من الوسم p).
ثم قرأنا سجل RDAP للنطاق لدى سجله. يُحسب قفل المسجِّل عندما تحتوي قائمة الحالات على clientTransferProhibited. وتُحسب توقيعات قفل السجل عندما تحتوي على serverTransferProhibited وserverUpdateProhibited وserverDeleteProhibited معا: فهذه هي الأقفال التي تضعها خدمات قفل السجل، لكن السجل قد يضعها أيضا لأسباب أخرى، لذلك نسميها توقيعات لا إثباتا.
أُجيبت كل الـ250 استعلاما عن DNS والـ50 استعلام RDAP. يُحفظ السكربت والإجابات لكل نطاق مع الدراسة؛ ولا ننشر إلا الإجماليات.
ما الذي لا تقوله الأرقام
غياب السجل ليس اختراقا، ووجوده ليس ضمانا. بعض المشاريع تقدم تطبيقها من نطاق آخر أو تحميه لدى شبكة توصيل المحتوى (CDN)؛ كما يحتاج DNSSEC إلى مسجِّل ومزود DNS يدعمانه. وقفل السجل ليس متاحا لكل امتداد، ويستطيع السجل وضع أقفال خوادم لأسباب غير خدمة قفل مدفوعة. والدراسة لقطة ليوم واحد ونطاق واحد لكل مشروع.
ما الذي يمكن أن يفعله المشروع بهذه النتائج؟
ابدأ بالإعدادات الأربعة التي ما زال معظم المشاريع في أفضل 50 يفتقدونها: قفل السجل حيث يقدمه الامتداد، وDNSSEC، وCAA، وDMARC بقيمة p=reject على كل نطاق، بما فيها النطاقات غير المستخدمة. وفق مسح Wardmint بتاريخ 12 نوفمبر 2026، لم يجمع على نطاقه الرئيسي الأربعة إلا 3 من أكبر 50 مشروع كريبتو.
تضعها قائمة مراجعة أمن النطاقات لمشاريع الكريبتو بترتيبها مع إعدادات الحساب المحيطة بها. وفي اليوم نفسه وجد تدقيق النطاقات المتشابهة لدينا أن 29.6% من المتغيرات الواضحة لأسماء هذه المشاريع متاحة للتسجيل. وفي Wardmint تُدار DNSSEC وCAA لكل نطاق، ويكلف .com 12.49 US$/سنة.
أسئلة حول الدراسة
كم من مشاريع الكريبتو الكبرى تستخدم DNSSEC؟
كان لدى 20 من النطاقات الرسمية لأكبر 50 مشروعا سجل DS لدى النطاق الأعلى في 12 نوفمبر 2026، أي أن 40% موقّعة بـDNSSEC.
كم منها يستخدم قفل السجل؟
5 من أصل 50 أظهرت أقفال الخوادم الثلاثة التي يضعها قفل السجل. نسميها توقيعات: فالسجل قد يضع تلك الأقفال لأسباب أخرى أيضا.
هل يكفي قفل المسجِّل؟
لا. يمنع النقل، لكنه لا يمنع تغيير خوادم الأسماء من شخص يسيطر على حساب المسجِّل، وهذا ما حدث في معظم اختطافات واجهات الكريبتو.
لماذا لا تُذكر أسماء المشاريع؟
قائمة تبيّن أي مشروع يفتقد أي حماية ستساعد مهاجما على اختيار هدفه. ويستطيع كل مشروع فحص نطاقه بالاستعلامات العامة نفسها.
هل ستُكرر الدراسة؟
نعم، كل ربع سنة بالسكربت نفسه، فتشكّل الأرقام سلسلة مؤرخة؛ وتُسجَّل كل تحديث في صفحة التحديثات لدينا.
خلاصة
- النطاقات الرسمية لأكبر 50 مشروع كريبتو، وقراءة DNS العام وRDAP في 12 نوفمبر 2026.
- قفل المسجِّل 94%، وDMARC مفروض 88% (p=reject بنسبة 56%)، وSPF برفض صارم 58%.
- DNSSEC 40%، وCAA 30%، وتوقيعات قفل السجل 10%.
- 3 فقط من أصل 50 يجمعون DNSSEC وCAA وتوقيعات قفل السجل وسياسة DMARC مفروضة.
- إجماليات فقط؛ لا تُنشر قائمة لكل مشروع.
المصادر والمنهج (5)
- Coins list by market capitalisation (API /coins/markets) — CoinGecko (تاريخ القراءة 2026-11-12)
- DNS over HTTPS, JSON API — Cloudflare (used 2026-11-12)
- Bootstrap service registry for domain name space (RDAP) — IANA (تاريخ القراءة 2026-11-12)
- رموز حالة EPP: ما معناها — ICANN (تاريخ القراءة 2026-11-12)
- RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record — IETF (تاريخ القراءة 2026-11-12)