پاسخ کوتاه
پروژه‌های برتر کریپتو در 2026 دامنه‌هایشان را چقدر خوب امن میکنند؟
از دامنههای رسمی 50 پروژهی بزرگ کریپتو در 12 نوامبر 2026، 20 تا با DNSSEC امضا شده بودند (40%)، 15 تا رکورد CAA منتشر کرده بودند (30%) و 5 تا قفل‌های سروری registry lock را نشان میدادند (10%). تنها 3 تا همه‌ی این‌ها را همراه با سیاست DMARC که جعل را مسدود میکند داشتند. Wardmint DNS عمومی و RDAP را خواند.
نتایج برای 50 دامنه‌ی رسمی
| Protection | دامنه‌ها | سهم | آنچه جلوی آن را می‌گیرد |
|---|---|---|---|
| قفل ثبتکننده (clientTransferProhibited) | 47 از 50 | 94% | انتقالی که بدون صاحب دامنه شروع شود |
| DMARC p=reject | 28 از 50 | 56% | ایمیل جعلی از دامنه رد میشود |
| DMARC p=quarantine | 16 از 50 | 32% | ایمیل جعلی به هرزنامه می‌رود |
| بدون رکورد DMARC یا p=none | 6 از 50 | 12% | هیچ: ایمیل جعلی تحویل داده میشود |
| SPF با -all پایان می‌یابد | 29 از 50 | 58% | ایمیل از سرورهای فهرست‌نشده باید رد شود |
| DNSSEC (رکورد DS در والد) | 20 از 50 | 40% | پاسخ‌های DNS جعلی، مانند حملات cache-poisoning |
| رکوردهای CAA | 15 از 50 | 30% | گواهی‌های صادرشده توسط مرجع فهرست‌نشده |
| registry lock (سه قفل سروری) | 5 از 50 | 10% | تغییرات از طریق حساب ثبت‌کننده‌ی سازش‌شده |
| هر چهار: DNSSEC، CAA، قفل‌های registry، DMARC اجرایی | 3 از 50 | 6% |
آخرین بررسی در ؛ ارقام قدیمی‌تر تاریخ خودشان را دارند
مطالعه چه چیزی یافت؟
قفل پایه تقریباً همه‌گیر است؛ حفاظت‌هایی که جلوی ربودن را می‌گیرند چنین نیستند. 47 از 50 دامنه قفل انتقال ثبتکننده دارند، تنظیمی که بیشتر ثبت‌کننده‌ها به‌طور پیش‌فرض روشن میکنند. این جلوی انتقال را می‌گیرد، اما جلوی کسی را که وارد حساب ثبتکننده میشود و نامسرورها را عوض میکند نمی‌گیرد، و بیشتر حملات مستندشده به رابط‌های کریپتو همینطور بوده‌اند.
دفاع‌ها برای آن حالت کمیاب‌ترند. registry lock که سرویس ثبت را وادار میکند تغییرات را تا تأیید فرد به‌صورت خارج از باند رد کند، روی 5 دامنه دیده میشود. DNSSEC که به ریزالورها اجازه می‌دهد پاسخ‌های جعلی را رد کنند، روی 20 است. CAA که محدود میکند چه کسی میتواند برای نام گواهی صادر کند، روی 15 است. مقایسه‌ی registry lock و registrar lock تفاوت را توضیح می‌دهد و راهنمای DNSSEC گام‌ها را.
ایمیل بهتر عمل کرده است: 44 از 50 با DMARC ایمیل جعلی را رد یا قرنطینه میکنند. 6 دامنه‌ی دیگر رکورد DMARC منتشر نکرده‌اند یا روی p=none مانده‌اند، پس هرکسی هنوز میتواند ایمیلی بفرستد که از طرف پروژه به نظر برسد.
چگونه مطالعه انجام شد؟
ما 50 دامنه‌ی رسمی ممیزی نسخه‌های مشابه خود را به کار بردیم، از بزرگ‌ترین پروژه‌های کریپتو بر اساس ارزش بازار در 12 نوامبر 2026. برای هر دامنه از DNS-over-HTTPS عمومی Cloudflare رکورد DS آن (DNSSEC وقتی شمرده میشود که منطقه‌ی والد یکی داشته باشد)، رکوردهای CAA، رکوردهای TXT (SPF) و رکورد TXT در _dmarc (سیاست DMARC از برچسب p) را پرسیدیم.
سپس رکورد RDAP دامنه را نزد ثبت‌کننده‌اش خواندیم. قفل ثبتکننده وقتی شمرده میشود که فهرست وضعیت شامل clientTransferProhibited باشد. نشانه‌های قفل registry وقتی شمرده می‌شوند که serverTransferProhibited، serverUpdateProhibited و serverDeleteProhibited با هم باشند: این‌ها قفل‌هایی‌اند که سرویس قفل registry تنظیم میکند، اگرچه یک registry ممکن است آنها را به دلایل دیگر هم تنظیم کند، پس آنها را نشانه مینامیم نه اثبات.
همه‌ی 250 جستجوی DNS و 50 جستجوی RDAP پاسخ دادند. اسکریپت و پاسخ‌های هر دامنه همراه مطالعه نگه داشته شده‌اند؛ ما فقط جمع‌ها را منتشر می‌کنیم.
آنچه ارقام نمی‌گویند
نبود یک رکورد به معنای نفوذ نیست، و وجود یک رکورد تضمین نیست. برخی پروژه‌ها اپلیکیشن خود را از دامنه‌ی دیگری سرو میکنند یا در CDN محافظت میکنند؛ DNSSEC هم به یک ثبتکننده و میزبان DNS که پشتیبانی کند نیاز دارد. registry lock برای همه‌ی پسوندها ارائه نمی‌شود، و یک registry ممکن است قفل‌های سروری را به دلایلی غیر از یک قفل پولی تنظیم کند. این مطالعه تصویر یک روز و یک دامنه برای هر پروژه است.
مجموعهٔ نوع‌ها عمداً کوچک است: فهرست دفاعی واقعی غلط‌های تایپی بیشتر، کلمات بیشتر و پسوندهایی با بیشترین فیشینگ را هم پوشش می‌دهد. این یک عکس لحظه‌ای هم هست. نام‌ها هر روز ثبت و رها می‌شوند، پس همین بررسی ماه بعد عددهای دیگری می‌دهد.
با چهار تنظیمی شروع کنید که بیشتر پروژه‌های برتر 50 هنوز ندارند: registry lock جایی که پسوند آن را ارائه می‌دهد، DNSSEC، CAA، و DMARC با p=reject روی هر دامنه، از جمله دامنههای بلااستفاده. بر پایه‌ی بررسی Wardmint مورخ 12 نوامبر 2026، تنها 3 از 50 پروژهی بزرگ کریپتو هر چهار را روی دامنه‌ی اصلی‌شان داشتند.
چک‌لیست امنیت دامنه برای پروژه‌های کریپتو آنها را با تنظیمات حساب اطرافشان مرتب میکند. همان روز، ممیزی نسخه‌های مشابه دریافت که 29.6% از نسخه‌های آشکار نام این پروژه‌ها برای ثبت آزاد است. در Wardmint، DNSSEC و CAA برای هر دامنه مدیریت می‌شوند و یک .com $ 12.49/سال قیمت دارد.
پرسش‌هایی درباره‌ی مطالعه
چند پروژهی برتر کریپتو از DNSSEC استفاده میکنند؟
20 از دامنههای رسمی 50 پروژهی بزرگ رکورد DS در والد داشتند در 12 نوامبر 2026، پس 40% با DNSSEC امضا شده بودند.
چند نفر از registry lock استفاده میکنند؟
5 از 50 سه قفل سروری را نشان میدادند که registry lock تنظیم میکند. ما آنها را نشانه مینامیم: یک registry میتواند آن قفلها را به دلایل دیگری هم تنظیم کند.
آیا قفل ثبتکننده کافی است؟
نه. انتقال را مسدود میکند، اما تغییر نامسرورها توسط کسی که حساب ثبتکننده را کنترل میکند را نه، و بیشتر ربودنهای رابط کریپتو همینطور بوده است.
چرا نام پروژه‌ها فهرست نشده است؟
فهرستی از اینکه کدام پروژه کدام حفاظت را ندارد، به مهاجم کمک میکند هدف انتخاب کند. هر پروژه میتواند دامنه‌ی خودش را با همان جستجوهای عمومی بررسی کند.
آیا مطالعه تکرار میشود؟
بله، هر سه ماه با همان اسکریپت، تا سری دادهها مقطعی-زمانی باشد؛ هر بهروزرسانی در صفحهی بهروزرسانیهای ما ثبت میشود.
خلاصه
- دامنههای رسمی 50 پروژهی بزرگ کریپتو، DNS عمومی و RDAP خوانده‌شده در 12 نوامبر 2026.
- قفل ثبتکننده 94%، DMARC اجرایی 88% (p=reject 56%)، SPF رد سخت 58%.
- DNSSEC 40%، CAA 30%، نشانه‌های قفل registry 10%.
- تنها 3 از 50 هر چهار را با هم دارند: DNSSEC، CAA، نشانه‌های قفل registry و DMARC اجرایی.
- فقط جمع‌ها؛ فهرست پروژه‌به‌پروژه منتشر نمی‌شود.
منابع و روش (5)
- Coins list by market capitalisation (API /coins/markets) — CoinGecko (خوانده‌شده 2026-11-12)
- DNS over HTTPS, JSON API — Cloudflare (used 2026-11-12)
- Bootstrap service registry for domain name space (RDAP) — IANA (خوانده‌شده 2026-11-12)
- کدهای وضعیت EPP: معنای آنها چیست — ICANN (خوانده‌شده 2026-11-12)
- RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record — IETF (خوانده‌شده 2026-11-12)