Bindestrecket som signal? En märklig överrepresentation i Varningsdatabasen

Det började med en enkel okulär iakttagelse. När jag arbetade med domänmaterialet i Varningsdatabasen tyckte jag mig se ovanligt många namn med bindestreck – inte bara under landsdomäner där tecknet är vanligt, utan framför allt under generiska toppdomäner som .com, .net och .org.

Utgångspunkten: olika domänmiljöer ser olika ut

Jag har länge haft bilden av att bindestrecket används ganska sparsamt i svenska domännamn. I en kontrollräkning av den publika .se-zonen hamnade andelen domäner med ett verkligt bindestreck på omkring 5,5 procent.

I den tyskspråkiga domänvärlden ser det annorlunda ut. Den tydligaste jämförelsepunkten är .de, där omkring 53 procent av domänerna innehåller minst ett bindestreck. Där är konstruktioner som ord-ord.de inte ett visuellt undantag, utan en helt normal del av domänlandskapet.

Det här är intressant av ett enkelt skäl: människor vänjer sig vid hur namn ser ut omkring dem. En svensk och en tysk domänregistrant kan därför ha olika intuitiva uppfattningar om hur ett “naturligt” domännamn ska konstrueras.

Sedan började jag se bindestrecken i VDB

Under arbetet med Varningsdatabasen började jag okulärt reagera på förekomsten av bindestreck. De syntes ofta nog för att jag till slut började undra om jag bara hade börjat lägga märke till dem – eller om populationen faktiskt avvek från det normala.

Det som framför allt stack ut var att bindestrecken inte var koncentrerade till .de eller andra landsdomäner. Jag såg dem återkommande under generiska toppdomäner som .com, .net och .org.

Det fick mig att kontrollera hela (totalen) av domänpopulationen i VDB i stället för att nöja mig med ett stickprov.

När den okulära observationen blev mätbar

VDB:s totala domänlista innehöll vid kontrollen 43 338 unika domäner. Av dessa hade 11 568 minst ett bindestreck i det registrerbara namnledet. Det motsvarar 26,69 procent.

Det mest intressanta talet är .com. Där finns tillräckligt många domäner för att jämförelsen inte ska handla om några enstaka udda namn.

Men bindestrecket är ingen bedrägeriindikator

Ett bindestreck gör inte ett domännamn misstänkt. Punkt.

VDB är dessutom inte ett slumpmässigt urval av internet. Populationen består av varnade domäner och domäner som blivit relevanta genom tekniska, infrastrukturella eller andra relationer. Det finns därför flera alternativa förklaringar till varför namnmorfologin kan skilja sig från internet som helhet.

Tar man sin domänkultur med sig?

Det är här observationen blir mer intressant för mig.

Anta att en person, grupp eller produktionsmiljö är van vid en domänmarknad där firma-service.de, kapital-anlage.de eller andra flerordsnamn med bindestreck är helt vardagliga. När samma aktör sedan registrerar en .com-domän finns det ingen självklar anledning att den invanda namnlogiken skulle försvinna.

En engelskspråkig eller internationellt riktad domän kan alltså fortfarande vara konstruerad utifrån en annan visuell normalbild än den som dominerar i den globala .com-populationen.

Det är svårt att inte åtminstone fundera över den tyskspråkiga domänmiljön när kontrasten mellan svensk .se och tysk .de är så stor. Men här går också gränsen för vad materialet tillåter mig att säga.

En kontroll som gör observationen mer intressant

VDB:s egna .de-domäner har faktiskt en lägre bindestrecksandel än .de-zonen som helhet: 24,69 procent i VDB mot omkring 53 procent i normalpopulationen.

Det betyder att VDB:s höga totalnivå inte kan avfärdas med att databasen råkar innehålla stora mängder tyska domäner. Tvärtom är den tydligaste avvikelsen synlig under de generiska toppdomänerna.

För mig gör det frågan mer intressant: vi ser inte bara en toppdomänseffekt. Vi ser en namnegenskap som följer med in i .com, .net och .org.

Små signaler blir intressanta tillsammans

Som fristående datapunkt är bindestrecket svagt. Men det är så OSINT ofta fungerar. En liten signal blir mer användbar när den kombineras med andra observationer.

Om flera domäner samtidigt delar namnstruktur, återkommande ordsegment, registrar, registreringstid, namnservrar, IP-adress, webbmall, språk eller andra tekniska egenskaper kan domänmorfologin bli ännu en dimension i klusteranalysen.

Jag ser därför inte bindestrecket som en ny riskregel. Jag ser det som en möjlig beteende- eller produktionssignal: en datapunkt om hur en viss domänpopulation verkar skapas.

Metod och begränsningar

Från magkänsla till testbar hypotes

Det som började som en enkel okulär reaktion – “det är väldigt många bindestreck här” – går nu att uttrycka betydligt mer precist.

Mer än var tredje .com-domän i Varningsdatabasen innehåller bindestreck. I .com-zonen som helhet handlar det om ungefär var tionde.

Varför skillnaden finns vet jag ännu inte. Den kan handla om tillgänglighet, automatiserad domänproduktion, kampanjstrukturer, språk, namngivningsmallar eller flera faktorer samtidigt.

Men en möjlighet går inte längre att avfärda som bara en estetisk magkänsla: den som skapar en del av dessa domännamn kan vara van vid en omgivning där bindestrecksdomäner ser betydligt mer naturliga ut än de gör i en svensk eller typisk .com-miljö.

Analysnot: Ett domännamns struktur kan inte i sig användas för att fastställa vem som registrerat domänen, var personen befinner sig eller vilket språk personen talar. Analysen beskriver en statistisk överrepresentation och diskuterar möjliga förklaringar. Geografisk eller språklig attribution kräver oberoende stöd från andra datakällor.