电子邮件是商业组织间通信的重要手段之一,而网页邮件服务是电子邮件传输的主要方式之一。为了保护电子邮件的安全性,通常网页邮件服务器都需要部署HTTPS协议。然而,众多安全事件表明,仅靠HTTPS协议是无法实现机密性、完整性和真实性。为了解决该问题,许多安全机制相继提出,包括HTTP标头（HSTS、HPKP和ExpectCT）、DNS记录（CAA和TLSA）、证书透明度、协议降级保护机制和证书撤销机制（CRL、OCSP、OCSP Stapling和OCSP Must-Staple）。一个自然而然的问题是“这些安全机制在网页邮件服务器中部署状况又是如何?”为此,本文进行了有史以来规模最大、测试项最全的网页邮件服务器HTTPS安全机制测量,获得的研究成果主要包括以下四个方面:（1）首先,本文构建了一个包含22亿个电子邮件地址的数据集。它是迄今为止最大的公开电子邮件地址数据集。接着本文从中解析出了约2700万个邮件供应商服务器域名,其中包含21925个网页邮件服务器域名。（2）其次,根据所收集的网页邮件服务器域名,本文对相应的服务器进行了全面的HTTPS安全机制测量。经过分析,本文发现在对应的21925台网页邮件服务器中,只有10.68%的服务器部署了HSTS标头,不足1%的服务器提供TLSA记录。此外,由于证书关联数据字段的不匹配以及DNSSEC相关DNS记录的丢失或者不正确,导致32.35%的网页邮件服务器的TLSA记录无法成功验证。（3）再次,根据归属邮件地址的数量,本文给出了32个流行网页邮件服务器域名。这些域名对应的服务器至少为16.5亿个电子邮件地址提供网页邮件收发服务。然而,本文发现超过40%的流行网页邮件服务器不支持HTTP标头或DNS记录,更糟的是未发现任何服务器部署TLSA记录。（4）最后,本文依据每种安全机制所提供的保护职责和安全效益,提出了一种网页邮件服务器安全状态的评估评级分类方法。不幸的是,本文发现在21925台网页邮件服务器中,有超过38%的服务器不符合最低安全等级要求,表明这些服务器不能保证邮件的安全传输。本文的研究结果表明即使是在安全需求较高的网页邮件服务器中,HTTPS安全机制的全面正确部署仍是一个挑战。希望本文可以推动网页邮件服务器管理员重新衡量HTTPS安全机制部署的得失,提升网页邮件传输的安全性。