国外域名注册商安全性怎么看？掌握这5个核心指标就够了

01.ICANN认证与合规资质

所有的合法的注册商都必须要拿到一个ICANN, 也就是互联网名称与数字地址分配机构给的所谓的RrA, 也就是Registry-Registrar Agreement的授权, 这个是必须的。

同时, 这个注册商的官网页面必须要把相关的信息公示出来, 要公示的就是那个ICANN会员编号, 除此之外, 还要把这个所在国家的或者所在地区的本地监管要求给清楚地展示出来, 这也是不能少的。

如果一家注册商, 他没办法在其官方网站上找到那个ICANN合规声明, 或者在他的注册协议里面, 数据管辖地点指向了那些地区, 这些地区呢是没有互联网治理立法的, 那么这就意味着域名安全的基础已经存在结构性风险了。

02.数据归属与隐私保护

重点核查这三条。

默认状态下, 域名的WHOIS信息是否会被隐藏。

看看用户提供的数据, 会不会被拿来给第三方的广告分发工作提供帮助, 或者用来做保险公司确定承保价格的事情。

现在的人需要确认一下, 关于数据跨境传输这件事, 它有没有在老老实实地按照那些已经生效的隐私法规来办事, 比方说那个GDPR, 还有那个CCPA等等这些规定。

有一部分小型的注册商, 他们在和用户签定的协议里面, 用了一种叫做“数据合作”的名义, 把域名的持有者的信息交给了和他们合作的保险机构。这样一来呢, 万一这些注册商破产了的话, 处置这些数据的那个权力到底归谁所有这个问题就变得不明确起来了。

03.历史安全事件与响应记录

你可以在注册商的官方网站上面去进行查找, 也可以在ICANN的公告页面里面去看看, 还可以去他们的社区, 比如NameCheap官方的博客或者GoDaddy官方的博客这些地方, 去检索一下看他们在过去这五年时间内, 到底有没有发生过一些特别的事情:

账号的系统被大规模的撞库现象给攻击了。

域名是被那些没有得到授权的人给转移走了, 或者是被他们一口气批量删除掉了。

区域性的这个DNS出现了故障, 而且持续时间已经超过了四个小时。

在事件发生之后的那个48小时里头, 所做出的响应公告的情况, 是作为判断相关主体在安全运营方面所具备的那种能力的直接证据存在的。

04.域名锁定与转移退出机制

账户级锁定: 它是不是支持那种跟域名没关系的双因素认证, 也就是2FA。

域名转移锁（TransferLock）, 看看是不是默认就启动了, 还有解开这个锁得由本人亲自操作, 并且要通过二级验证。

关于自动续费争议, 在注册商终止了服务之后, 这个域名会不会就直接进入赎回期了, 大家都知道这个赎回期的时间通常是30天, 那么在这个赎回期的过程中, 原来的持有者到底还能够不能把域名给找回来。

如果注册商允许使用一键解锁所有的域名的功能, 或者那个转移锁的作用就跟没有似的, 那么发生域名被劫持的风险就会非常非常高。

05.技术防护能力

我们要看看该服务本身是否具备提供原生DDoS清洗的能力, 也就是指这种清洗能力是自建自用的, 而不是去转售第三方的方案。

DNS解析功能到底能不能够借助于Anycast这种多节点部署的手段, 来有效地去规避掉那可能出现的单一故障点问题。

请问, 是否会提供免费的DNSSEC签名服务, 并且支持自动续期操作?

06.常见高风险场景与应对

07.实操建议

1. 在您完成注册的那一天，您需要立刻开启账户的双因素认证功能以及域名传输锁定服务。

2. 每年核查一次WHOIS信息是否仍按隐私策略显示；

3. 针对重要的域名这一事项来说, 采取了一种将注册商进行分散并分别持有的策略方式, 其目的是要避免出现对于单一注册商的依赖这种情况。

4. 在像 gname.xin 这样的进行聚合和对比的平台上, 先把那些提供资质的情况, 还有安全方面的记录, 以及价格的高低这三个方面都给筛选清楚了, 然后再去做关于注册的决定, 是可以非常有效地降低掉进坑里的可能性的。

5. 用户在注册协议里, 一定要重点把关于“数据使用”、“服务终止”以及“争议解决”这三节内容读清楚点, 不然要是没注意的话, 就有可能在不知不觉中直接接受了那些对自己不利的条款。

把这五个指标一个一个拿出来仔细打分, 如果发现有任何一项的得分低于及格线。比如说是没有看见ICANN的公示信息、也没有启用Transfer Lock这个功能、或者是过去的一年里发生过没有被披露出来的安全事件。

那么在决定长期的域名托管服务对象时, 就不要去建议选这一家了。大家要明白, 关于安全性的评估工作, 它并不是做一次就可以一劳永逸的。所以对于注册商的状态问题, 建议大家每隔18个月就去重新检查一次。