当域名注册成功以后, Whois这个数据库, 它会默认地向公众开放, 来提供注册人的姓名, 邮箱, 电话, 还有物理地址这些个人信息。任何一个人, 都可以通过免费的查询工具, 来获取到这些数据。这就给垃圾邮件, 社工攻击, 还有电话骚扰, 提供了入口或者说是机会。
那么这个域名隐私保护工具的作用是什么呢。它的作用是会把上述的这些字段替换掉。替换成注册商或者第三方提供的代理信息。这样一来, 真实身份就不会再被公开, 也就不会再被人查到了。这里列出了五类当前主流的解决方案, 同时也提供了选型时需要遵循的具体标准以及在落地执行阶段需要关注的关键配置要点。
5类主流域名隐私保护方案
1. 注册商自带隐私保护（首选）
当前, GoDaddy、Namecheap、阿里云、腾讯云、西部数码这些大家比较熟悉的主流域名注册商, 都在他们的域名下单环节或者管理后台里面, 提供了一个叫做"WHOIS Privacy Protection"的隐私保护开关选项。
具体情况是这样的, Namecheap这家公司对他们所有新注册的域名都会永久性地免费附带这个服务。而另一方面, GoDaddy和阿里云以及腾讯云, 他们则是按照年份来计算费用的, 每个域名每年的收费标准大概在三十八元到七十八元这样一个范围之间。
一旦这个功能被开启, 在Whois记录里面, 针对Name、Email、Phone、Address这四个字段, 它们就会自动被替换成为注册商代理的标识。执行这样的一项操作, 总共只需要花费1分钟的时间就够了。
2. 第三方域名隐私代理服务
在注册商不提供免费隐私保护服务, 或者需要跨不同的注册商来统一管理域名的时候, 用户可以直接选用WhoisGuard、Privacy.com这样的一些第三方代理服务。
这些服务的计费模式是按照具体的域名数量来进行阶梯式的定价, 平均每一个域名每年的费用大约在20元到50元之间。这种方式支持把放置在不同注册商这里的域名隐私集中在一处进行打理, 对于手头持有超过5个域名的独立开发者或者是小型团队来讲, 是一个非常合适的选择。
3. DNS托管与反向查询屏蔽
把域名解析的工作, 移交至Cloudflare、DNSPod这样的域名服务供应商手中之后, 部分网络平台会提供一种反向 Whois 信息关联屏蔽功能, 这种操作能够降低别人依据 DNS 记录来倒推注册人识别码的可能性。
需要注意的是, 这个方案仅仅是在 DNS 层面的范围内起效果, 并不会改变注册局里的 Whois 记录内容, 所以, 一定要和方案1或者方案2这两个当中的某一个配合使用, 共同进行叠加操作, 只有这样才能够达到完全隐藏的完整目的。
4. 注册局级隐私（特定TLD）
. io、 . me以及. info这些后缀是由注册局, 就像是Identity Digital这样的机构, 直接在注册的层面上提供了隐私保护的, 在注册的时候你只要勾选Registry Privacy就可以了, 相关的费用已经包含在了注册费里面了, 用户不需要再去进行任何额外的操作, 你去查询这些后缀的域名的时候, Whois的结果会直接显示出注册局的代理信息。
5. 企业级批量隐私与资产管理
对于拥有超过100个域名的企业来说, 需要批量开启隐私策略, 需要导出合规审计日志, 还需要设置到期自动续期。m.dcqzss.cn域名资产管理系统支持批量隐私策略下发, 支持Whois变更告警与到期提醒, 适用于IT运维团队对多品牌、多子域进行统一管控。
按场景选择
个人博客, 或者是小的网站站点, 可以使用注册商那里自带的免费选项来进行开通, 这样的话就完全可以做到零成本的投入, 并且不需要任何后续的维护和打理工作。
对于拥有5到20个域名的独立开发者来说, 可以选择将注册商提供的隐私保护服务与第三方代理服务结合在一起使用, 这样的话, 所有流量就可以通过一个统一的出口进行传输了。
企业或品牌需要建立一个矩阵系统, 这个系统会涵盖超过二十个域名, 为了能够对企业级别的域名进行大规模的统一管理操作, 所以必须把这些域名的相关信息全部纳入到整个企业的IT资产管理体系的常规操作流程中去。
配置要点与高频踩坑
1. 代理邮箱可达性的意思是, 如果开启了隐私保护功能, 那么和域名转移、续费以及DNS变更相关的验证邮件, 都会被发送到代理邮箱里面去。要是代理邮箱长时间没有进行清理, 邮件就会不断堆积在一起, 这种情况会导致重要的通知信息丢失, 所以建议大家每个月都去检查一次。
2. 根据工信部以及ICANN所提出的相关合规要求, 后缀为.cn的域名在WhoIS信息中的姓名字段和证件号码字段不可以被完全地进行隐藏, 只有邮箱地址和电话号码可以被替换为代理所提供的数值, 使用后缀是.cn的域名用户们需要了解这一种限制情况。
3. DNS指纹仍可追踪: 隐私保护并不隐藏NS、A、AAAA、MX等解析记录。如果解析指向的是特定的IP段, 技术能力较强的攻击者仍然可以通过查看DNS日志来进行关联分析。建议大家同时启用DNSSEC服务, 并且对IP地址实行定期更换的做法。
4. 大多数注册商把隐私保护和域名的有效期绑在一起, 一旦域名过期没有续费, 隐务就会自动停止操作, 导致那些原本不公开的资料重新被大家看到, 这种情况可以通过设置自动续费的办法来避免风险。过期自动关闭。
总结
现在人使用的这个域名隐私保护工具, 它的主要目的, 就是把那些可以让人公开看到的地方, 降到一个最低的水平去, 而不是一种彻底的消失的状态。对于普通的个人用户来说呢, 只要在注册商那里勾选那个免费的选项, 就可以做到这一点, 不需要花任何功夫去弄。
要是涉及到的域名数量比较多, 也就是所谓的多个域名的场景，那我们就需要在前面叠加第三方的代理服务来使用。但是如果是大型企业的话, 就应该把这个事情纳入到统一的资产管理里面去进行系统化的管理, 而且要不定期地去审计Whois字段里面的状态是什么样子。
大家只要选对了适合自身的方案, 然后把这些相关的细节配好、设置妥当, 就可以有效地阻止掉绝大部分依赖于Whois信息来进行的那种针对性的骚扰行为以及社会工程学攻击了。
