如何保护你的域名免遭盗窃

要保护你的域名免遭盗窃，应在出问题之前就搭建好加固方案：开启注册商锁定，将账户登录切换为验证器应用的双重验证（2FA），启用 DNSSEC，并把账户的恢复邮箱指向一个完全独立的域名。域名被盗往往是通过被劫持的注册商账户和社会工程学手段发起的转移，而不是靠“黑掉 DNS”——所以真正的防线是账户，而不是 DNS 区域。

在一个悠闲的下午把这些控制项设置好，被入侵的邮箱或一封钓鱼邮件便不再构成威胁。若等到转移已经在进行中才动手，你就得争分夺秒地与时间赛跑。本指南会讲解完整的方案，以及能让一个有价值的名字始终属于你的生命周期管理与托管习惯。

域名实际上是如何被盗的

几乎没有哪个有价值的域名是因为有人攻破了 DNS 本身而丢失的。它之所以丢失，是因为攻击者进入了控制这个名字的账户。常见的路径是：重复使用或被钓鱼窃取的密码、通过 SIM 卡交换拦截的短信验证码，或是对绑定在注册商上的邮箱的接管。一旦进入，窃贼便会解锁域名、改写联系信息，并把转移推送到另一个国家的注册商，而那里的找回过程既缓慢又痛苦。

这意味着你的防御必须建立在账户及其恢复邮箱之上，而不仅仅是区域文件。下面的控制项按照从效益最高到收尾细节的顺序排列，值得完全按这个顺序去设置。

注册商锁定与注册局锁定：从源头保护你的域名

注册商锁定会为你的域名设置 clientTransferProhibited 状态，告知注册局在你移除该状态之前拒绝任何对外转移。它是免费的，在信誉良好的注册商处默认开启，也是你能打开的最有效的单个开关。请确认它已启用，并在任何账户变更之后重新检查。

对于价值四位数或以上的名字，可询问你的注册商是否提供注册局锁定。这是在注册局本身施加的更强控制：任何变更都需要一个人工的、带外的验证步骤，因此即便账户被完全攻破，域名也无法被悄悄转走。它是企业及高价值名字的标准配置。

时间也会站在你这边。新注册——以及任何所有权变更——都会触发一个60 天转移锁定，在此期间域名完全无法在注册商之间转移。请利用这段时间确认其余的控制项都已到位。

开启验证器双重验证，而非短信

短信验证码是最薄弱的一种双重验证方式，因为一次 SIM 卡交换就能把你的电话号码交到攻击者手中。请把你的注册商登录切换为验证器应用（TOTP），或者更好的硬件安全密钥（FIDO2）。然后对那个能重置你注册商密码的邮箱账户做同样的处理——一条链条的强度取决于它最薄弱的那个登录环节。

• 为注册商账户设置一个长而唯一的密码，并存放在密码管理器中。
• 在注册商和恢复邮箱上都启用验证器或硬件密钥双重验证。
• 在注册商允许的任何地方，移除短信作为备用方式。

使用位于不同域名上的恢复邮箱

这里有一个会把小问题变成彻底锁死的错误：用一个登录邮箱恰好位于同一个域名上的账户去注册域名。如果这个名字过期、被劫持，或其 DNS 出故障，你就会失去那个控制找回的邮箱——连带失去证明你拥有任何东西的途径。

请把你注册商账户的登录和恢复地址指向一个完全独立的域名上的邮箱，或一个经过加固、安全可靠的服务商。保持WHOIS 隐私开启，这样攻击者就无法收集你真实的联系信息并针对那个邮箱下手。这一项改动是整个“灾前”策略中默默无闻的支柱。

启用 DNSSEC 以保护你的域名记录

DNSSEC 会对你的 DNS 记录进行数字签名，使解析器能够检测应答是否在传输途中被伪造或篡改。它并不能阻止账户被接管，但能堵住缓存投毒和 DNS 欺骗这一会悄悄重定向你流量和邮件的攻击途径。如今大多数现代注册商和 DNS 托管商都提供一键启用的 DNSSEC——把它打开。

趁你还在 DNS 设置里，请注意 .app 和 .dev 域名通过预加载的 HSTS 在浏览器层面被强制使用 HTTPS，这是一层能防止降级攻击的额外保护。无论你用的是什么后缀，都要确保证书和记录与你预期看到的完全一致。

别输给了日历

丢失域名最常见的方式恰恰是最不戏剧化的：它悄无声息地过期了。请开启自动续费，在账户里保留一张不会失效的付款卡，并在续费日期前一个月额外设置一个独立的日历提醒。提前几年注册可以彻底消除这个每年都会出现的故障点。

了解生命周期，这样一次疏忽就绝不会变成损失：

• 宽限期（过期后大约 0–45 天）：按正常价格续费。
• 赎回期（约 30 天）：仍可找回，但需支付高额费用——通常为 80–200 美元甚至更多。
• 待删除（约 5 天）：你已无能为力，随后名字被释放，任何人都能注册。

也要为续费做好预算。.com 每年大约在 10–12 美元，预计 Verisign 会在 2026 年底上调价格；而 .ai 为 50–100 美元，许多廉价的新 gTLD 续费时会从首年 0.99 美元跳涨到 30–60 美元。

要买或要卖？使用托管服务和可信市场

所有权最脆弱的时刻，正是金钱和域名在陌生人之间易手的那一刻。规则很简单：绝不要直接电汇资金去买域名。使用持牌托管服务——Escrow.com 收取大约 0.89%–3.25% 的费用，在任何超过 1,000 美元的交易中都物有所值——这样名字和付款会同时放行。

对于优质、适合做品牌的名字，经过精心甄选的市场会替你处理安全交割。Atom.com 尤为出色：一个人工甄选的展示库，配有免费 AI 估值、内置的 USPTO 商标查询、安全托管，以及随每个挂牌附赠的专业设计 Logo——让你在买卖的同时就内置了所有权转移与品牌保护。其他成熟的平台包括 Afternic、Sedo 和 Dan，佣金从个位数到约 20% 不等。

在你下定决心之前，先把价格功课做足。来自 Estibot 或 GoDaddy 等工具的自动估值只是粗略的参考信号；请在 NameBio 上查看近期的可比成交以了解实际情况。二手市场的平均成交价大约落在 2,000–3,000 美元，.com 约占成交量的 80%，即便是一个强势的名字通常也要花 3–18 个月才能卖出——所以保护你金钱和名字的，是耐心，而不是仓促的电汇。

常见问题

注册商锁定和注册局锁定有什么区别？

注册商锁定会在你的注册商处设置 clientTransferProhibited 状态，免费且默认开启——它会阻止对外转移。注册局锁定施加在注册局本身，任何变更都需要人工的、带外的验证，因此即使账户被攻破也无法转走域名。高价值名字请使用注册局锁定。

短信双重验证足以保护一个域名吗？

不够。短信验证码可能通过 SIM 卡交换被拦截，这是域名劫持中常见的一步。请在你的注册商账户和那个能重置它的恢复邮箱上都使用验证器应用（TOTP）或硬件安全密钥（FIDO2），并在可能的情况下移除短信这一备用方式。

被盗或过期的域名能找回来吗？

有时可以。过期的域名在宽限期内可按正常价格找回，在赎回期（约 30 天）内也可找回但需支付高额费用，通常为 80–200 美元甚至更多。进入待删除（约 5 天）之后，它便被释放，任何人都能注册。通过账户接管被盗的域名则要难找回得多，这正是为什么预防最为重要。

DNSSEC 能防止域名被盗吗？

单靠它不行。DNSSEC 会对你的 DNS 记录进行签名，使解析器能检测被伪造或篡改的应答，从而堵住缓存投毒和欺骗的途径。它并不能阻止账户被接管，所以要把它与注册商锁定、验证器双重验证和独立的恢复邮箱搭配使用，才能获得完整的保护。

我应该在哪里安全地出售一个优质域名？

使用内置托管的精选市场，而不要直接电汇资金。对于优质、适合做品牌的名字，Atom.com 是一个很好的选择——它包含免费 AI 估值、USPTO 商标查询、安全托管，以及每个挂牌都配有设计好的 Logo。Afternic、Sedo 和 Dan 是其他成熟的平台，而 Escrow.com 可用于超过 1,000 美元的私下交易。