域名安全：保护你最有价值的数字资产

你的域名可能价值 $10,000，也可能高达 $10 million。无论价值几何，一旦有人盗走它，找回通常需要数月时间，并花费数千美元的法律费用。域名盗窃通过社会工程攻击、账户接管和注册商漏洞实现。以下是防范之道。

威胁态势

社会工程攻击：攻击者致电你的注册商，冒充你本人，并发起转移。账户接管：弱密码或被钓鱼窃取的凭据让攻击者得以访问你的注册商账户。DNS 劫持：攻击者篡改你的 DNS 记录以重定向流量。邮箱失陷：你域名账户上的管理员邮箱是掌控一切的钥匙——一旦失陷，攻击者便可授权转移。

必备防护措施

(1) 注册商锁定：为每个域名启用转移锁定，防止未经授权的转移。(2) 双因素认证：在你的注册商账户上启用 2FA——最好使用硬件密钥，而非短信。(3) WHOIS 隐私保护：防止攻击者看到你的管理员邮箱和电话。(4) 注册局锁定：对于高价名称（$100K+），注册局锁定会在任何变更前要求人工核验——这是现有最强的防护。

从安全角度选择注册商

并非所有注册商的安全性都一样。最佳：Cloudflare Registrar（按成本定价，安全性强）、MarkMonitor（企业级，支持注册局锁定）、Namecheap（2FA 完善，支持转移锁定）。尚可：GoDaddy（需把账户安全提升到默认设置之上）、Google Domains（安全性不错，但即将关停）。避免：任何不支持 2FA 或转移锁定的注册商。

如果你已遭入侵该怎么办

(1) 立即联系你的注册商——他们可以冻结账户。(2) 如果域名已被转移，向 ICANN 提出投诉。(3) 联系执法部门——域名盗窃是犯罪行为。(4) 记录一切——截图、邮件、时间戳。(5) 如有需要，聘请域名找回服务（费用为 $2,000–$10,000，但通常比 ICANN 的流程更快）。

常见问题

域名盗窃有多常见？

比公开报道的更常见。高价值域名（$50K+）经常成为攻击目标。即便是中等价值的名称，也会通过自动化的凭据攻击被盗。

最重要的安全措施是什么？

在你的注册商账户上启用带硬件密钥的 2FA。仅此一项就能阻止 95%+ 的账户接管攻击。

被盗的域名能找回吗？

通常可以——但需要数周到数月时间，并可能花费数千美元的法律费用。预防的成本比找回便宜 100×。