网站域名安全①域名被盗路径之邮箱失守

网站域名安全①域名被盗路径之邮箱失守

接六月章㉚ 域名估值的心理误区，七月开篇先讲攻击者是怎么把域名偷走的。最常见的突破口不在防火墙，而在你每天都在用的那个邮箱。

邮箱是域名的钥匙

域名被盗路径之邮箱失守。大多数注册商把「注册邮箱」当成最高凭证：能收验证码、能发起密码重置、能收到转移确认。一旦这个邮箱被拿下，攻击者几乎等于拿到了域名的备用钥匙。很多站长图省事，把域名注册邮箱和日常收信邮箱混用，结果一封带毒邮件就顺藤摸瓜端了老窝。

他们怎么进来的

路径很朴素：先用钓鱼邮件或撞库拿到邮箱密码，登录后翻出「域名注册商」的验证邮件，点忘记密码走邮箱重置，再改掉域名账户密码与密保。全程不需要碰任何服务器。更狠的是「邮箱自动转发」规则——攻击者悄悄加一条规则把注册商邮件转走，你毫无察觉（这也正是④ 钓鱼陷阱最想要的落点）。

把邮箱割裂开

第一招是「专箱专用」：域名注册邮箱只用于注册商，不收广告、不点外链、不和外人通信。第二招是给这个邮箱单独开二次验证（见⑧ 二次验证），且验证方式用 App 而非短信。第三招是关掉自动转发、定期查规则。把钥匙单独挂一把锁，比给大门焊十道钢板管用。

失守后的连锁

邮箱一丢，后面全是连锁反应：改密、解绑、转出，等你看邮件报警时域名可能已在异国他乡。所以邮箱防护是整条安全链的第一环，优先级高于任何花哨方案（呼应⑫ 企业安全清单）。守住邮箱，就守住了域名的一半。

顺手可做的加固

还有两个零成本动作值得做：注册邮箱密码用密码管理器生成、绝不手写复用；开启异地登录提醒，一有异常立刻弹窗。不少被盗案的根源，就是「密码管理器里也没把注册邮单独隔离」。把它当最高机密存，小动作叠起来，邮箱这道第一关就难撬了。

被忽略的复用陷阱

邮箱失守里最隐蔽的一种，是「全站复用同一密码」：注册邮的密码和电商、社交账号一样，一处泄露全网遭殃。对策不是记更多密码，而是用密码管理器给每个重要账户生成独立串，注册邮单独一条、绝不外泄。当密码变成「一段谁都背不出的乱码」，钓鱼和撞库就失去了支点，攻击者再怎么套也套不出第二处。

邮箱防护清单

• □ 注册邮箱专箱专用，不收外邮、不点链接。
• □ 单独开 App 二次验证，不用短信。
• □ 关闭自动转发，定期查过滤规则。
• □ 密码独立且强，不与别的站点复用。

下一篇② 注册商漏洞讲钥匙的第二个存放点——注册商账号本身，又是怎么被撬开的。

本文收录于徐果萍文集《论持久站 网站域名》，徐果萍博客原创首发。