网站域名安全⑨域名防护之WHOIS隐私与反钓鱼

网站域名安全⑨域名防护之WHOIS隐私与反钓鱼

上一篇⑧ 二次验证守账户，这一篇讲信息面——WHOIS 隐私与反钓鱼。

公开资料是弹药

域名防护之WHOIS隐私与反钓鱼。WHOIS 里常挂着管理员的真实姓名、手机、邮箱，这些信息对正常用户没用，却是攻击者定向钓鱼的弹药库：知道你管哪个域、手机号多少，冒充短信和客服就更像真的。

隐私保护怎么用

开启注册商的 WHOIS 隐私（Proxy/Privacy）服务，把真实联系方式替换成代理信息，外网查不到你的手机和私人邮箱。但注意：隐私不是藏猫猫，真要应对仲裁或权属争议，注册商后台的真实信息必须完整留底（见㉗ 证据保全）。信息最小化，是「对外隐身、对内可证」。

识别冒充钓鱼

攻击者常扮注册商发「域名异常」短信逼你点链接。识别铁律：注册商从不在短信里塞登录链接，真有异常自己进后台看（呼应④ 钓鱼陷阱）。把对外公开信息压到最少，再配全员反钓鱼意识，定向攻击就少了大半素材。

看清属地规则

WHOIS 隐私还要看注册局属地：GDPR 之后很多 .com/.eu 默认隐藏个人信息，而部分国别域仍公开。注册时看清规则，别以为开了隐私就万事大吉。理解属地差异，才能决定哪些信息真该藏、哪些该留底应对争议，隐私服务不是隐身衣而是缓冲层。

留底应对争议

隐私开启后，对外查不到你的信息，但注册局后台的真实持有人必须齐全——姓名、证件、日期一样不能少。争议或仲裁时，这些才是证明权属的底牌（呼应㉗ 证据保全）。有人为了「干净」把后台也填假，结果真维权时拿不出凭证，反而丢了域。隐私是给外人看的幕墙，真身得在后台立得住。

定期校验一致性

WHOIS 隐私开启后，仍要定期核对后台真实信息是否与商标、营业执照一致：改名、换主体时及时更新，别让信息陈旧在争议时扯皮。一致性是权属证明的隐形支柱，前后矛盾会被对方抓来做「非善意」证据。把信息核对写进年度清单，省得临时对账手忙脚乱。

信息最小化不是藏猫猫，而是把可被利用的弹药收起来，让攻击者无从瞄准你的弱点。

信息防护清单

• □ 开启 WHOIS 隐私，隐藏真实联系方式。
• □ 后台真实信息完整留底，应对争议。
• □ 注册商短信带链接一律不信。
• □ 公开资料遵循最小化原则。

下一篇⑩ DNSSEC防护回到解析层，讲协议级的防护。

本文收录于徐果萍文集《论持久站 网站域名》，徐果萍博客原创首发。