网站域名安全⑦域名防护之registrar lock物理锁

网站域名安全⑦域名防护之registrar lock物理锁

上一篇⑥ 缓存投毒把被盗路径走完，从这一篇起讲「防护」。第一道最硬的闸，是注册商物理锁。

锁住「转出」这件事

域名防护之registrar lock物理锁。很多域名是「被悄悄转走」才丢的，而 Registrar Lock（注册锁）正是锁死「转移」这道动作的硬开关：开启后，任何转出请求都会被注册商拦截，必须先解锁。它不防改解析，但防「整域被搬走」，是防盗的第一道物理屏障。

它和转移码的关系

锁和转移授权码（EPP/Auth Code）是两回事：转移码是转出的钥匙，锁是「钥匙插了也转不动」的保险。正确姿势是平时锁常开、码不外露，真要转出时再临时解锁、用完即锁。很多企业图省事长期解锁，等于把保险一直开着（呼应② 注册商漏洞的账户风险）。

设为默认态

对个人，所有值钱域名一律开 Registrar Lock；对企业，把「锁为默认、解锁需审批」写进域名管理规范（见⑫ 企业安全清单），并把解锁动作纳入双人复核。锁不能防所有事，但它把「最贵的一步」——整域丢失——挡在了门外，性价比极高。

转移码别存邮箱

Registrar Lock 之外，EPP 转移码要单独保管：不进注册邮箱、不写备忘录明文，用时临时查、查完即删。转移码一旦和邮箱一起泄露，锁就形同虚设。把它当银行卡密码级别对待，是锁机制能成立的隐性前提，很多人恰恰栽在这最后一寸。

锁与码分人保管

Registrar Lock 和转移码最好由不同人保管：一人持锁的开启权限，一人持转移码，单次转出必须两人协力。这样即便某员工被社工攻破，也拿不到完整链条。分权不是不信任同事，而是让「单点失守」不再等于「整域丢失」。很多成熟企业的域名安全，正是靠这种看似麻烦的双人机制撑起来的。

解锁也双人

Registrar Lock 的「解锁」动作和「上锁」同样关键，也应双人复核：一人发起、一人确认，记录原因与时限。临时解锁后务必设提醒，到期自动复锁。把解锁当高危操作对待，锁才是真锁；若解锁能一人随意完成，锁就只是摆设。锁的价值，全在解锁这道闸够不够硬。

锁不费钱却挡住最贵的那一步，是企业域名安全里性价比最高的一道闸，没有理由不开。

上锁清单

• □ 所有重要域名开启 Registrar Lock。
• □ 转移码不存邮箱、不外泄。
• □ 解锁纳入审批，用完即锁。
• □ 企业把「锁为默认」写进规范。

下一篇⑧ 二次验证与密保邮箱讲锁之外的账户软防护。

本文收录于徐果萍文集《论持久站 网站域名》，徐果萍博客原创首发。