Snabbt svar
Hur många populära domäner använder SPF, DMARC och MTA-STS 2026?
Av de 691 domäner som tar emot e-post bland de 1 000 mest populära (Tranco, 11 november 2026) publicerar 93.9% SPF och 88.9% DMARC, men bara 50.2% tillämpar p=reject och 5.2% använder MTA-STS. Postelva läste posterna den 12 november 2026 via offentlig DNS.
Resultat för de 691 domäner som tar emot e-post
| Post | Publicerad | Andel | Vad det betyder |
|---|---|---|---|
| SPF (TXT v=spf1) | 647 av 689 | 93.9% | Anger vilka servrar som får skicka för domänen |
| SPF som slutar med -all (hård avvisning) | 343 av 689 | 49.8% | E-post från andra servrar bör avvisas |
| SPF som slutar med ~all (mjuk avvisning) | 261 av 689 | 37.9% | E-post från andra servrar markeras bara |
| Fler än en SPF-post (ogiltig) | 3 av 689 | 0.4% | RFC 7208 tillåter en; mottagare returnerar ett fel |
| DMARC (TXT at _dmarc) | 614 av 691 | 88.9% | En policy för e-post som misslyckas med SPF och DKIM |
| DMARC p=reject | 347 av 691 | 50.2% | Misslyckad e-post avvisas |
| DMARC p=quarantine | 168 av 691 | 24.3% | Misslyckad e-post hamnar i skräpposten |
| DMARC p=none | 99 av 691 | 14.3% | Endast övervakning, inget blockeras |
| MTA-STS (TXT på _mta-sts) | 36 av 688 | 5.2% | Avsändare måste använda TLS för att nå domänen |
| SMTP TLS-rapportering (TXT på _smtp._tls) | 43 av 688 | 6.2% | Rapporter om fel vid TLS-leverans |
| BIMI (TXT på default._bimi) | 159 av 688 | 23.1% | En varumärkespost med logotyp för inkorgar som stöder den |
Senast kontrollerad ; äldre siffror har sitt eget datum
Vad fann studien?
Att publicera SPF och DMARC är nu normen bland populära domäner; att tillämpa dem är det inte. Nio av tio e-postdomäner i topp 1 000 publicerar en DMARC-post, men bara hälften säger åt mottagarna att avvisa misslyckad post. En av sju står kvar på p=none, som samlar rapporter men blockerar ingenting, och en fjärdedel sätter i karantän. Nästan alla DMARC-poster begär sammanställda rapporter: 93.3% har en rua-adress.
SPF berättar samma historia. 93.9% publicerar en post, men en hård avvisning (-all) stänger bara 49.8% av dem; 37.9% slutar med en mjuk avvisning (~all). Tre domäner publicerar två SPF-poster, vilket RFC 7208 behandlar som ett permanent fel, och vår guide till SPF-posten visar varför en enda post måste omfatta alla avsändare.
Överföringssäkerheten ligger långt efter. MTA-STS, som tvingar avsändande servrar att använda TLS, publiceras av 36 av 688 e-postdomäner (5.2%), och SMTP TLS-rapportering av 43. Endast 30 av de 691 kombinerar SPF, en tillämpad DMARC-policy och MTA-STS.
De 100 mest populära domänerna jämfört med topp 1 000
| Measure | Topp 100 (alla domäner) | Topp 1 000 (alla domäner) |
|---|---|---|
| SPF publicerad | 81 av 100 (81%) | 762 av 996 (76.5%) |
| DMARC publicerad | 76 av 100 (76%) | 730 av 998 (73.1%) |
| DMARC p=reject | 51 av 100 (51%) | 439 av 998 (44%) |
| MTA-STS | 10 av 100 (10%) | 38 av 994 (3.8%) |
| BIMI | 17 av 99 (17.2%) | 159 av 994 (16%) |
Senast kontrollerad ; äldre siffror har sitt eget datum
Skyddar sig domäner som inte skickar e-post?
Oftast inte. 306 av de 1 000 domänerna har ingen MX-post eller en null-MX (RFC 7505), så de skickar aldrig legitim e-post. En brottsling kan ändå använda vilken av dem som helst i en From-rad. Åtgärden kostar två DNS-poster: SPF "v=spf1 -all" och DMARC "p=reject". 95 av de 306 publicerar SPF-hårdavvisningen och 92 DMARC-policyn reject, så ungefär två av tre lämnar dörren öppen.
Detsamma gäller en personlig domän du behåller för senare, eller en andra ändelse som köpts enbart för att skydda din adress. DMARC-installationsguiden innehåller uppsättningen för domäner utan e-post, och Postelvas DNS-redigerare har en mall för den med ett klick.
Hur gjordes studien?
Vi tog Tranco-listan PY2NJ, byggd av data från fem leverantörer mellan 13 oktober och 11 november 2026, och behöll dess första 1 000 domäner. Varje domän fick sex DNS-uppslag via Cloudflares offentliga DNS-over-HTTPS-resolver den 12 november 2026: MX på apex, TXT på apex (SPF) och TXT på _dmarc, _mta-sts, _smtp._tls och default._bimi.
En domän räknas som mottagare av e-post när den har minst en MX-post som inte är en null-MX. SPF räknas när exakt en TXT-post börjar med v=spf1, och dess policy läses från all-mekanismen. DMARC räknas när en TXT-post på _dmarc börjar med v=DMARC1, och dess policy är p-taggen. Ett uppslag som misslyckades efter tre försök utelämnas från den raden. Tranco rankar registrerbara domäner, så vissa poster är infrastrukturnamn som aldrig skickar e-post, vilket är skälet till att e-postsiffrorna bara använder de 691 domäner som har MX-poster.
De råa svaren och skriptet behålls tillsammans med studien. Vi publicerar bara summor, utan att nämna domäner.
Vad siffrorna betyder för din egen domän
En personlig eller familjedomän kan matcha det bästa av topp 1 000 på en eftermiddag. Enligt Postelvas undersökning från 12 november 2026 avvisar 347 av de 691 mest populära e-postdomänerna misslyckad post med DMARC p=reject och 36 publicerar MTA-STS; en domän kopplad till Proton Mail, Fastmail eller Zoho Mail via våra mallar startar redan med SPF, DKIM och DMARC skrivna.
Den vanliga ordningen är SPF och DKIM först, DMARC på p=none under en vecka med rapporter, sedan karantän och reject; jämförelsen av SPF, DKIM och DMARC förklarar vad varje post kontrollerar. MTA-STS tar en liten policyfil på en webbserver, vilket MTA-STS-guiden visar. En .com på Postelva kostar 12,49 US$/år, samma pris varje år.
Frågor om studien
Hur stor andel populära domäner använder DMARC 2026?
88.9% av de 691 domäner som tar emot e-post i Tranco topp 1 000 publicerade DMARC den 12 november 2026, och 50.2% använde p=reject. Av alla 1 000 domäner publicerade 73.1% DMARC.
Hur många populära domäner använder MTA-STS?
36 av 688 e-postdomäner (5.2%) i topp 1 000, och 10 av topp 100-domänerna. Det är den minst använda posten av dem vi kontrollerade.
Is p=none enough?
Nej. p=none begär bara rapporter; förfalskad post levereras ändå. 14.3% av de e-postdomäner vi kontrollerade stod kvar på p=none.
Varför räknas vissa domäner ut av 689 eller 688?
Ett uppslag som misslyckades efter tre försök utelämnas från den postens rad, så basen varierar med en till tre domäner.
Kommer studien att upprepas?
Ja, med samma liststorlek, skript och poster, så siffrorna bildar en daterad serie; varje uppdatering loggas på vår uppdateringssida.
Sammanfattning
- 1 000 mest populära domänerna (Tranco, 11 november 2026), DNS läst 12 november 2026; 691 tar emot e-post.
- Mail domains: SPF 93.9%, DMARC 88.9%, DMARC p=reject 50.2%, p=none 14.3%.
- MTA-STS är ovanligt: 5.2% av e-postdomänerna, 10% av topp 100; bara 30 kombinerar SPF, tillämpad DMARC och MTA-STS.
- Av 306 domäner som inte skickar e-post publicerar 92 DMARC p=reject och 95 en SPF-hård avvisning.
- Endast summor; skriptet och de råa svaren behålls för en upprepning av studien.
Källor och metod (5)
- Tranco list PY2NJ (top 1M, 13 October – 11 November 2026) — Tranco (downloaded 2026-11-12)
- DNS over HTTPS, JSON API — Cloudflare (used 2026-11-12)
- RFC 7208: Sender Policy Framework (SPF) — IETF (läst 2026-11-12)
- RFC 8461: SMTP MTA Strict Transport Security (MTA-STS) — IETF (läst 2026-11-12)
- RFC 7505: A "Null MX" No Service Resource Record — IETF (läst 2026-11-12)