网站域名基础㉛域名术语表下篇进阶概念

网站域名㉛域名基础 域名术语表（下） 进阶概念

上一篇收的是入门名词，这一篇补进阶部分。同样是分五组，重点放在安全机制、解析优化、运营条款和风险这些“迟早会遇上”的词上。

一、解析安全

DNS 劫持：解析结果在途中被篡改，用户被带到别的地址。它的典型表现是“域名没问题、机器没问题，就是打开的不是自己的站”。

DNS 缓存投毒：往递归解析器的缓存里塞入伪造记录，让后来的人都拿到错误答案。防伪机制主要就是冲着它来的。

DNSSEC：给解析结果加签验证的一整套机制，让解析器能确认答案确实来自权威方且没被改过。它解决“答案真不真”，不解决“答案保密不保密”。

DS 记录：建立在上级域里的一条委托记录，把 DNSSEC 的信任链从上级传到下级，是整条链的接口。

DNSKEY 与 RRSIG：前者是挂在区域里的公钥，后者是对记录集的数字签名。验证时用公钥验签名，签名对得上，答案才可信。

DoH 与 DoT：两种把解析查询加密传输的方式，前者把查询包进网页加密协议，后者用独立的加密通道。它们解决的是链路被偷看和篡改的问题。

CAA 记录：声明哪些证书机构有权给这个域名签发证书，等于给证书签发加了一道白名单。配好它，别的机构理论上就不该给这个域名签证书。

二、解析优化

TTL 下限：解析服务商允许设置的最短缓存时间。想快速切换就得设小，但服务商会拦住过小的值，因为查询压力撑不住。

泛解析：用一个通配符让所有未单独定义的子域都指向同一个地址。省事，但会把拼错的子域也照单全收，容易产生大量无效访问，配的时候要清楚自己在放开什么。

CNAME 扁平化：别名记录不能出现在域名顶点，但很多场景又确实需要别名。做法是解析商在后台自动把别名目标解析成地址填进去，对外看还是别名，实际返回的是地址。

智能解析：按来源运营商、地域等维度返回不同结果，把用户送到最近的入口。

任播：同一个地址在全球多个节点同时宣告，路由协议自动把用户引到最近的一个。根服务器靠它铺开，大型解析服务也靠它扛量。

全局负载均衡：把解析层的调度和健康检查、就近接入组合起来的一整套方案，是从入口层面分流量。

SRV 记录：在记录里直接写明服务的主机和端口，让客户端一次拿到完整连接信息，一些即时通信和办公协作协议会用到。

分裂视图：同一个域名，内网和外网解析到不同地址。内网用户走内部服务器，外部用户走公网入口，一套名字两种答案。

三、域名运营

注册商锁定：给域名上的物理锁，锁定期间任何转移和关键信息修改都走不了。想转移才解锁，这是防被盗最有效的一招。

转移授权码：把域名转到别家注册商时需要的凭证，等于域名的取件码，泄露出去就有被转走的风险。

域名隐私保护：用代理信息替代注册人的真实资料对外展示，降低被骚扰和被定向攻击的概率。

域名停靠：注册了暂时没用途，先放一个页面顶上，顺便可能挂点广告。判断一个域名是不是还在等买家，看这个页面往往就有答案。

域名赎回：过期进入高价阶段后付费找回，费用通常是正常续费的好几倍。能不走到这一步就别走到这一步。

备案：在国内用域名提供网站服务前需要完成的接入与审核手续，和域名注册是两回事。

四、风险与争议

域名抢注：抢在别人之前把有价值的名字注册掉，本身不违法——先到先得是规则的一部分。

恶意抢注：专门注册与知名商标相同或近似的域名，再高价兜售或刻意混淆。这一类和上一条性质不同，是争议仲裁打击的对象。

域名争议解决：针对恶意抢注设立的仲裁路径，权利人可以据此主张取回域名，不必去打一场跨国官司。

防御性注册：把自己的品牌名在各个主要后缀上预先注册下来，成本不高，挡掉的是长期的麻烦。

解析服务单点：只配一条域名服务器、只用一个解析服务商，都是把自己置于单点风险之下——这也是容灾那一篇反复强调的事。

域名资产分散：重要域名不集中在一家注册商，解析也不集中在一个服务商，避免一家出事全线停摆。

五、延伸概念

国际化域名与编码转换：非 ASCII 字符无法直接进入只认 ASCII 的系统，需要一层转换规则把中文等字符转成可传输的形式，这就是中文域名能存在的前提。

去中心化命名：把名字的归属和解析放到链上，靠共识而非机构分配，优点是不可撤销，代价是不可找回。

网络主权：各国依法管理境内网络资源与域名服务，是国际社会的普遍实践，也是理解各国域名管理制度差异的起点。

一月三十一篇，到这里收尾。从“什么是域名”一路走到术语表，中间过了概念、结构、解析、治理、术语五道关。下个月开始进入全新的章节——逐个拆解后缀：从最常见的通用后缀到各个国家和地区的后缀，讲历史、讲注册规则、讲适用场景，也讲各自踩过的坑。

本文收录于徐果萍文集《论持久站 网站域名》，徐果萍博客原创首发。