# 域名安全防护：5 个防止域名被劫持盗取的措施
2023 年某知名电商创始人因域名被盗导致全站瘫痪 6 小时，直接损失数百万。域名是你的数字资产大门，门被撬了，里面的东西还能安全吗？
域名劫持和盗取比你想象的更常见。攻击者通过社工、钓鱼或漏洞获取你的注册商账号，把域名偷偷转走，然后坐地起价勒索。今天分享 5 条硬核防护措施，每一条都是实际有效的防护手段。
---
## 一、注册商锁（Registrar Lock）
这是第一道也是最有效的防线。
**原理**：开启注册商锁后，域名无法被转移到其他注册商，也无法修改 DNS 和 WHOIS 信息。即使攻击者拿到了你的账号密码，也无法把域名转走。
**如何开启**：
- 阿里云：域名控制台 → 对应域名 → 安全设置 → 开启"禁止转移锁"和"禁止更新锁"
- GoDaddy：域名管理 → 设置 → 域名锁定 → 开启 Transfer Lock
- Namecheap：Domain List → 域名右侧的 Lock 图标 → 确认为锁定状态
**建议**：这两个锁日常保持开启。只有在你真的需要转移域名或修改信息时，才暂时关闭，操作完成后立即恢复。
**注意**：部分注册商（如 Namesilo）默认就开启锁定，但国内注册商有时默认不开启，建议检查一遍。
---
## 二、二次验证（2FA / MFA）
如果你的注册商账号密码在某个数据泄露中被兜售，二次验证就是救命稻草。
**最佳实践**：
- 使用 TOTP 验证器（Google Authenticator、Authy、Microsoft Authenticator），不要用短信验证码（SIM 卡克隆风险）
- 建议用支持云端备份的 TOTP 工具（如 Authy），防止换手机丢失密钥
- 保存备用恢复码在安全的地方（打印出来锁保险柜）
**不要做**：
- 关闭二次验证
- 用同一个邮箱注册托管商和域名注册商（如果邮箱被盗，双重沦陷）
- 把验证码存在聊天记录或云端笔记中
**深度防护**：不光注册商要开 2FA，用来绑定的邮箱也必须开 2FA。攻击链常常是：先拿下邮箱 → 重置注册商密码 → 转走域名。
---
## 三、WHOIS 隐私保护
WHOIS 是一个公开数据库，记录每个域名的注册人姓名、邮箱、电话、地址。如果不做隐私保护，这些信息任何人都能查到。
**风险**：
- 社工攻击：通过 WHOIS 信息收集你的手机号和邮箱，发送钓鱼邮件或短信
- 身份冒充：得知注册人姓名和地址后，伪装成你去申请域名转移
- 垃圾骚扰：域名抢注公司和 SEO 服务商会大量发送推广信息
**开启方式**：
- 阿里云：默认开启 WHOIS 隐私保护（国内注册商因政策要求已全量默认隐藏）
- GoDaddy：购买时勾选"Full Domain Privacy & Protection"
- Cloudflare Registrar：注册的所有域名自动免费隐藏 WHOIS
- Namecheap：第一年免费 WhoisGuard，后续续费约 2.88 美元/年
**注意**：如果用的是 Cloudflare Registrar，完全没有这个烦恼——Cloudflare 从根源上就显示 Cloudflare 自己的信息，而且完全免费。
---
## 四、DNSSEC（域名系统安全扩展）
DNSSEC 是 DNS 的"数字签名"，防止 DNS 劫持和缓存投毒攻击。
**攻击场景**：你在星巴克连了公共 WiFi，要访问 zjunwei.com。如果没有 DNSSEC，中间人可以把 DNS 查询劫持到一个假的 IP，看似是你网站，实际上是个钓鱼页面。
**DNSSEC 如何防护**：它在 DNS 记录上加了加密签名，递归 DNS 服务器可以验证记录是否被篡改。签名对不上 → 拒绝解析。
**开启步骤（以 Cloudflare 为例）**：
1. Cloudflare → 域名 → DNS → Settings → 开启 DNSSEC
2. Cloudflare 会生成 DS 记录
3. 登录域名注册商后台，在 DNS 设置中添加 DS 记录
4. 等待生效（几分钟到 24 小时不等）
**兼容性说明**：DNSSEC 需要注册商、DNS 服务商、递归 DNS 三方都支持。Cloudflare + 主流注册商（阿里云、Namecheap）都支持。开启后对网站访问无任何影响。
---
## 五、续费提醒 + 自动续费
这条看似简单，但每年都有大量域名因忘记续费被释放，然后被抢注公司秒抢。
**真实案例**：Google 曾经忘记续费 google.com，域名短暂落到他人手中，还好对方马上归还。连 Google 这样的公司都能犯这种错，个人就更不用说了。
**防护策略**：
1. **开启自动续费**：注册商后台开启，确保支付方式有效
2. **多设提醒**：到期前 90 天、60 天、30 天、7 天各设一个日历提醒
3. **留一个备用邮箱**：注册商联系邮箱不要只用域名邮箱（万一域名过期你收不到邮件）。建议再多留一个 Gmail 或 QQ 邮箱
4. **域名续费周期**：建议一次续费 3-5 年。不仅防止忘记，Google 也确实把长续费域名当作一个微弱的信任信号
**域名生命周期**：
- 到期日：可正常续费
- 续费宽限期（约 30 天）：可续费，可能加收赎回费
- 赎回期（约 30 天）：需支付高昂赎回费（几百到上千元）
- 删除期（约 5 天）：域名彻底删除，重新开放注册
---
## 总结：安全清单
| 防护措施 | 重要性 | 成本 |
|---------|-------|-----|
| 注册商锁 | ★★★★★ | 免费 |
| 二次验证 | ★★★★★ | 免费 |
| WHOIS 隐私 | ★★★★☆ | 免费或极低 |
| DNSSEC | ★★★☆☆ | 免费 |
| 续费提醒 | ★★★★★ | 免费 |
这 5 项全部免费，配置总时长不超过 30 分钟。花半小时换来域名安全，这笔投资非常划算。
---