其实, 国外域名注册商的安全性, 本质上是由合规资质、技术架构和运营记录共同来决定的。这种情况并不是说跟注册商所在的国家有什么关系。那么, 我们要评估一家海外的注册商是不是值得你去托付你的域名资产呢。核心的重点还是看五个维度。
这五个维度分别是ICANN认证等级, 还有数据加密标准, 以及域名锁定机制。另外还要看历史安全事件的情况, 最后就是售后响应时效的问题。下面我们会逐项给大家进行拆解, 大家在注册之前对照着核查一下就可以了。
ICANN认证等级与合规资质
注册商这个主体, 现在是需要手里头拿着由ICANN（也就是互联网名称与数字地址分配机构）这个机构发出来的那种关于注册协议的授权的东西的, 简称RPA。
然后的话, 用户是能够走到ICANN官网的那个地方, 在注册商目录里面去查询一下相关的认证编号是什么情况, 或者是看一下授权的层级是怎么划分的, 同时还能看看有效期限到底到了哪一天为止。
再一个就是关于高级别的认证这件事儿, 它意味着那个被认定为高认证级别的注册商是愿意接受来自ICANN方面的定期的审计工作的, 同时也需要接受合规检查的, 要是说这些注册商在后面违规了的话, 那是肯定要面临罚款的, 甚至在严重的时候还会直接吊销掉之前的那个授权资格的。
如果注册商拿不出有效ICANN认证编号的话, 就直接予以排除。这个做法不要看其功能有多丰富。
数据加密与服务器安全架构
重点要核查三个层面的情况: 存储层是否已经对DNS记录、账户凭证以及支付信息这些内容, 都采取了AES-256加密措施；传输层是否强制使用了1.2或1.2以上的协议版本；服务器是否采用了跨地域的部署方式来实现冗余容灾功能, 并且通过了SOC 2 Type II审计, 或者通过了ISO 27001审计。
在gname.xin所发布的那个安全评测体系里面, 把“数据驻留透明度”这一项, 给列成了那个最最首要的一个技术指标, 然后注册商这边是必须要明确地去告诉那些用户们, 他们的数据到底是存储在哪个国家的, 又是受到哪一个国家的地方的法律来进行管束的, 而且这些用户们也是完全有权力去选择自己想要的数据驻地的那些区域。
域名锁定与转移保护机制
安全注册商默认情况下会把域名转移锁开启, 在修改DNS记录或者发起域名转移的时候需要经过二次身份验证这种方式来确认, 这个方式可能是短信验证码, 也可能是邮箱里的确认链接, 还或者是TOTP动态码进行校验。
同时的话还应该支持那个叫做域名冻结的功能选项, 当账户发生异常登录的情况之后能够通过一键操作的方式来阻止域名被转移或者被删除。对于标准七十三小时的转移冷却期是否能够得到严格执行这一点是一个关键判断点, 还有关于注册商是否提供那个叫转移白名单管理的服务功能也是一个关键判断点需要重点关注。
历史安全事件与行业口碑
用户可以去进行查询, 这个查询是关于WHOIS历史的, 还有行业社区, 比如NamePros, 还有NetTimes, 另外也要看新闻存档, 目的就是要检索在那个注册商近三年内是否发生过一些安全事故, 这些安全事件包括域名被批量转移, 还有DNS劫持, 还有账户大面积被盗，如果发现那些高频出现的记录里有“用户域名被误转移”或者“批量DNS篡改未及时发现”, 那么即使那个平台的功能看起来很齐全, 也应该降低对这个平台的信任等级。
售后响应与争议处理时效
你需要去看看注册商那边公示出来的技术支持服务等级协议到底是什么样子。那些符合规定的注册商, 他们会保证在DNS信息修改之后五分钟内部全球都能生效, 而且要是账户出现了安全问题, 他们承诺要在十五分钟之内做出响应。
当涉及到利用UDRP程序来解决域名争议的时候, 注册商是不是能提供给用户完整的证据保全措施、响应的模板以及跟律师直接对接的通道, 这一点会非常直接地决定用户在发生纠纷时实际能够得到的保护自己的力度。
常见疑问
注册商所在国的法律是不是会对你的域名安全产生影响, 答案就是肯定的。要是这家注册商是处在一个关于数据保护方面的法律力度不够强的司法管辖区里面, 那么你的用户数据就有可能会被当地的执法机关给调取出来。
最好是去选择一个那个已经明确公布了他们的数据是存留在哪个国家, 并且还允许你去自己选择数据应该放在什么区域的注册商, 这样做能够非常有效地去把法律上的风险给降低了。
上面的这五个维度放在一起就能构成一个完整的评估框架, 只要在注册之前一项一项地对着检查一遍, 就可以把在海外进行域名注册这件事里出现的各种主要的安全风险系统性地避免掉。
