注册商锁 vs 注册局锁详解

注册商锁和注册局锁都能阻止未经授权的域名转移，但它们运作在不同的层级，防御的是不同的威胁。注册商锁是你在账户内切换的免费默认设置；注册局锁则是一项付费的高级服务，任何变更发生前都需要在注册局一侧进行人工、带外的授权。对大多数域名来说，免费的锁就已足够——注册局锁只有在那些一旦丢失便会造成灾难性后果的域名上，才值得它的成本。

本指南将准确讲解每种锁在协议层面究竟做了什么、如何读懂你自己域名上的状态码，以及"默认设置就够用"与"这个域名值得花钱保护"之间的界线究竟在哪里。

注册商锁实际上做了什么

注册商锁（有时称为"域名锁"或"转移锁"）由你的注册商施加——Porkbun、Namecheap、Cloudflare、GoDaddy 以及其他注册商——并且在你注册大多数域名的那一刻就默认开启。在技术上，它会设置一个或多个以 client 一词开头的 EPP 状态码：

• clientTransferProhibited —— 阻止转移到另一家注册商
• clientUpdateProhibited —— 阻止编辑联系人和域名服务器记录
• clientDeleteProhibited —— 阻止删除该域名

"client"这个词就是关键线索：这些标志由注册商（注册局的客户）控制，这在实际中意味着任何能登录你注册商账户的人，都可以点几下就把它们关掉。这正是为什么注册商锁能阻止意外和投机性的恶作剧，却对一个已经钓走你密码或劫持你账户的攻击者几乎无能为力。

注册局锁在注册局层级增加了什么

注册局锁在更高一层强制执行，即在实际运营该 TLD 的注册局——.com 和 .net 的 Verisign，以及其他扩展名的对应运营方。它设置的不是客户端标志，而是对应的 server 版本：serverTransferProhibited、serverUpdateProhibited 和 serverDeleteProhibited。这些根本无法从你的注册商后台移除。

解除注册局锁是一套刻意的人工流程。注册局通过你注册商的专属窗口运作，会带外核实你的身份——回拨到事先约定好的号码、一个安全口令，或由具名的授权联系人确认——然后才会为某项具体的、限定时间的变更解锁该域名。那个带外步骤正是整件事的要点：被盗的密码、被入侵的邮箱、或被社会工程学攻破的客服人员都不再足够，因为最终的授权发生在攻击者无法控制的渠道上。

注册商锁 vs 注册局锁：核心区别

两种锁有着共同的目标——不允许未经授权的转移、删除或记录变更——但它们位于不同的层级，成本也相差极大：

• 谁来强制执行：注册商锁由你的注册商设置；注册局锁由注册局运营方设置。
• 状态码：client* 代码对比 server* 代码，二者在任何 WHOIS 或 RDAP 查询中都可见。
• 如何解除：账户内的自助切换，对比人工的、经核实的带外请求。
• 成本：注册商锁免费且通常默认开启；注册局锁是付费附加服务，一般按年计费，且只有支持它的注册商才提供。
• 它能阻止的威胁：意外和随意的劫持，对比完整的账户入侵、内部人员操作和客服窗口的社会工程学攻击。

何时基本的注册商锁就已足够

对绝大多数域名而言，免费的注册商锁加上良好的账户卫生习惯就是正确答案。如果你的域名是一个业余项目、个人网站、小企业的宣传页面，或者任何你能够重新注册或找回而不会蒙受严重财务或声誉损失的域名，那么为高级锁付费就是过度设计。在这个层级上，更重要得多的是免费锁确实已经开启，而且控制它的账户难以被攻破：

• 确认域名上显示 clientTransferProhibited。
• 开启基于应用（验证器）的 2FA——不要用短信，短信容易遭受 SIM 卡交换攻击。
• 使用托管在另一个域名上的邮箱作为注册商账户邮箱，这样丢失一个域名绝不会把你锁在控制它的账户之外。

还要记住，ICANN 已经在任何注册或注册人变更之后强制施加 60 天的转移锁，所以不论你的设置如何，刚买入或更新的域名都会获得一个内置的冷静期。

何时注册局锁值得付费

在那些一旦遭遇未经授权的转移、甚至仅仅几个小时的 DNS 劫持就会构成真正紧急事件的域名上，注册局锁才对得起它的年费：营收关键的电商、任何处理登录或支付的业务、高流量的媒体资产，以及你花了真金白银买下的优质可品牌化域名。背景信息有助于校准风险。典型的二级市场域名的成交价大约在 $2,000-$3,000 之间，.com 域名贡献了该市场约 80% 的成交量，而最顶端则非同寻常——创纪录的 AI.com 交易据报道于 2026 年 2 月以 $70 million 成交。当一个域名实际上是五位、六位或七位数的资产时，一把能消除"一个被钓走的密码就丢掉一切"情形的锁，就是廉价的保险。

这也是为什么获取途径很重要。如果你正在一个精选市场上购买一个优质、可品牌化的域名，比如 Atom.com——那里的每个挂牌都附带免费的 AI 估值、USPTO 商标筛查、安全托管，以及随域名一起交付的设计好的徽标——那么你从第一天起就把这个域名当作核心商业资产来对待。给它配上与之匹配的锁：立刻上注册商锁，一旦它成为你无法承受失去的品牌的支柱，就上注册局锁。

如何检查你域名的锁定状态

你不必信任后台的一个切换开关——状态码是公开的。对你的域名运行一次 RDAP 或 WHOIS 查询，并读取"Domain Status"（域名状态）字段：

1. 看到 clientTransferProhibited（最好还有 clientUpdateProhibited 和 clientDeleteProhibited）？你的注册商锁已开启。
2. 看到 serverTransferProhibited、serverUpdateProhibited 或 serverDeleteProhibited？注册局锁处于激活状态。
3. 只看到 ok 或 active？该域名处于未锁定状态，可自由转移——立刻修复它。

同样的查询在你购买任何域名之前都值得运行一次，这样你就能知道它处于什么状态，以及它能多快被转入你的掌控。

锁只是其中一层，而非整堵墙

一把锁只保护它所覆盖的范围，所以要把这两种锁都当作一套防护栈的组成部分，而非完整的防御：

• DNSSEC 会对你的 DNS 应答进行签名，使其无法在传输途中被悄然伪造——这是一种独立于转移锁的保护，值得在重要域名上启用。
• 注册商账户上的验证器 2FA是单项价值最高的控制措施，因为账户访问权限正是大多数锁最终所依赖的东西。
• 注册局锁的带外步骤是即便在账户被完全接管后仍能幸存的那一环——这恰恰是高价值域名值得这笔开销的原因。

让锁与风险相匹配：日常域名用免费的注册商锁加强健的 2FA，而对那少数几个你实在无法承受失去的域名，在此之上再叠加注册局锁。

常见问题

注册局锁和注册商锁是同一回事吗？

不是。注册商锁由你的注册商使用 client* EPP 代码设置，可以从你的账户内部切换关闭。注册局锁由注册局使用 server* 代码设置，只能通过人工的带外身份核验才能移除——这是一个不同且更强的保护层。

注册商锁能阻止域名劫持吗？

部分能。它能阻止意外转移以及随意的、投机性的尝试。它无法阻止一个已经攻破你注册商账户的攻击者，因为任何登录进去的人都能将它关闭。要应对那种威胁，你需要注册局锁加上基于验证器的 2FA。

注册局锁要花多少钱？

它是一项付费的高级服务，通常按年计费，而且只有部分注册商提供。价格和每次变更的费用因注册商和 TLD 而异，所以在决定之前，请直接向管理你高价值域名的注册商核实。

哪个 EPP 状态表示我的域名未锁定？

如果一次 WHOIS 或 RDAP 查询只显示"ok"或"active"，而没有 clientTransferProhibited 或 serverTransferProhibited 代码，那么该域名未锁定，可以被自由转移。请立刻至少启用注册商锁。

我能给任何域名加上注册局锁吗？

只有在该 TLD 的注册局支持它、且你的注册商提供该服务时才行。它在 .com 和 .net 以及其他几个扩展名上广泛可用，但并非普遍适用，所以请针对你的具体域名和注册商确认其可用性。