欧洲企业网站大多依赖美国服务商

背景

欧洲企业网站的基础设施供应商分布问题，近年来随着欧盟对 ICT 供应链安全、数据主权和运营韧性的关注而愈发受到重视。政策制定者、采购方和研究机构越来越想知道：欧洲境内的公司网站，到底由哪里的基础设施在对外提供服务？传统的 IP 地理定位研究可以回答“数据包从哪个国家发出”，但无法回答“客户真正依赖的是哪家供应商”。CipherCue 针对 19,450 个欧洲公司实体进行了基础设施供应商归属研究，旨在揭示美国供应商在欧洲企业网站外层的实际渗透程度。

核心内容

CipherCue 分析了 19,450 个欧洲公司实体的主网站 apex 域名和 www 记录，提出一个窄问题：哪些基础设施供应商在服务这些公司的主网站？

研究方法并非 IP 地理定位，而是供应商归属。对于每个 apex 域名，研究者解析 DNS A/AAAA 记录，将返回的 IP 地址映射到其宣告的自治系统（AS），然后根据 AS 运营商名称进行供应商分类。对于 CDN 和代理供应商（如 Cloudflare），这识别的是面向互联网的服务供应商，而非源站托管商。

七国市场总览（德国、波兰、法国、意大利、荷兰、西班牙、英国）：

• 英国和荷兰：美国供应商占据多数。英国 67.5% 的公司主站由美国供应商服务；荷兰为 53.6%。
• 意大利、西班牙、法国：美国供应商以相对多数领先，比例在 44% 到 49% 之间。
• 德国和波兰是例外。两国拥有密集的国内托管产业：德国有 Hetzner、IONOS、STRATO、Mittwald；波兰有 Home.pl、NetArt、ATMAN、Beyond。这些本土供应商在观测数据中明显可见。

单一供应商在各国均排第一：在每个国家的市场上，规模最大的面向互联网基础设施供应商都是 Cloudflare，不仅在美国供应商中最大，而且超过所有欧洲本地托管公司和国内 ISP。Amazon 在大部分市场是第二大美国供应商，Google、Microsoft、Fastly、Akamai、Squarespace 构成分类集。

数据窗口：2026 年 4 月 28 日至 6 月 29 日，快照式观测。每个实体按供应商去重计数，一个实体同时使用 Cloudflare IPv4 和 IPv6 只计一次。

供应商分类方法：通过 AS 运营商名称关键词匹配（Cloudflare、Amazon、Google、Microsoft、Fastly、Akamai、Squarespace、Wix、Shopify），其余归入“其他/区域”桶（包括欧洲托管公司、国内 ISP、自建基础设施以及未被关键词规则匹配的国际供应商）。所谓“美国供应商”指这八家公司均在美国注册成立。

实体国家归属：来自公司注册国登记地的国家字段（英国 Companies House、波兰 KRS、德国 HRB 等）。

关键要点

• 在七个欧洲市场中，美国供应商在英国和荷兰占据多数（67.5% 和 53.6%），在意大利、西班牙、法国占据相对多数（44%~49%）。
• 每个国家中规模最大的面向互联网基础设施供应商都是 Cloudflare，而非任何欧洲本土供应商。
• 德国和波兰由于拥有强大的国内托管产业（如 Hetzner、Home.pl 等），美国供应商占比相对较低。
• 研究测量的是供应商归属，而非数据包地理定位。一个使用 Cloudflare 的法国网站，访问者可能从法国 Cloudflare 边缘节点获得服务，但源站可能位于任何地方，甚至可能是客户自家的数据中心或欧洲的提供商。
• 这一区别对政策和采购至关重要：欧盟监管越来越关注 ICT 供应链、处理器关系、第三国暴露、运营韧性、切换和集中度风险。物理数据包的地理位置仅是其中一部分。
• 研究不测量的内容：物理数据中心位置、CDN/反向代理背后的源站托管商、客户的欧盟子处理器安排、供应商的区域数据平面隔离、客户特定的产品配置和租户模型、美国专属 vs 欧盟本地化的管理和控制平面安排。
• 研究未说明的内容：并非主张欧洲公司不应使用美国供应商（Cloudflare 的 DDoS 缓解和边缘节点规模优势欧洲竞争对手尚未匹敌）；并非完整的网络安全全貌（邮件安全、IAM、EDR、SIEM、DNS、端点管理是各自独立的堆栈）。

意义与影响

• 对欧洲基础设施供应商：这是当前的市场地图——美国供应商在公共网站外层占据主导地位，欧洲本土厂商在德国、波兰之外尚未形成规模化的竞争。
• 对政策制定者：这是讨论主权问题时的基准概率。主权讨论常常从栈的较后层（云区域、子处理器、合同控制）开始，但应该先认识到哪些供应商已经位于公共网络资产的前端。
• 对采购方：这是一个盘点问题。在讨论云区域、子处理器之前，应先明确哪些供应商正在“面向互联网的层级”服务自己的网站。
• 关于数据主权讨论的务实提醒：物理传输路径的地理位置与供应商的公司注册国是不同的维度。一个法国的 Cloudflare 边缘节点服务法国网站，并不等于网站“法国托管”。源站可能位于欧洲供应商，但外层服务商仍是美国公司。监管需要同时考虑这两个维度。
• 后续研究方向：邮件安全、IAM、EDR、SIEM、DNS 和端点管理各自有独立的供应商地理分布，需要在后续文章中进一步分析。