Как защитить доступ к домену и контакты владельца

Захват домена позволяет перенаправить сайт и почту, даже если сервер остаётся цел. Поэтому аккаунт регистратора защищают как доступ к банку или облачной инфраструктуре: владелец должен быть указан верно, вход — подтверждаться вторым фактором, а восстановление — работать без участия случайного подрядчика.

Настройку лучше закончить сразу после регистрации. Во время аварии выяснять, на чью почту приходит код и где лежат документы, уже поздно.

Убедитесь, что владельцем указан нужный человек или организация

Регистрант — лицо или организация, за которыми зарегистрирован домен. Внутренние правила компании и договор с регистратором должны совпадать: если корпоративный сайт оформлен на личный аккаунт разработчика, фактический владелец зависит от его доброй воли и доступности.

Откройте карточку домена и проверьте имя, организацию, почтовый адрес, телефон и электронную почту. Набор полей зависит от зоны и регистратора. Данные должны быть актуальными: через них поставщик подтверждает операции и связывается с владельцем.

Публичная выдача регистрационных данных может скрывать часть сведений, но это не отменяет обязанности хранить точные данные у регистратора. Не заполняйте поля вымышленными значениями ради приватности. Используйте предусмотренную услугу сокрытия или требования конкретной зоны.

Контактная почта не должна зависеть от защищаемого домена

Адрес admin@example.com выглядит логично для домена example.com, но создаёт замкнутый круг. Если DNS домена сломан или аккаунт захвачен, почта тоже может перестать работать. Тогда письмо для восстановления придёт в недоступный ящик.

Для основного контакта используйте защищённый внешний адрес, который контролирует владелец или организация. Для компании это может быть отдельный служебный ящик с документированным доступом нескольких уполномоченных лиц. Он не должен принадлежать уволившемуся сотруднику или агентству.

Защитите саму почту вторым фактором и сохраните способы восстановления. Иначе безопасность регистратора будет ограничена безопасностью одного почтового пароля.

Включите второй фактор и сохраните резервный путь

Двухфакторная аутентификация добавляет к паролю ещё одно подтверждение. Приложение с одноразовыми кодами или аппаратный ключ обычно лучше SMS, если регистратор предлагает выбор: телефонный номер можно перевыпустить, а сообщения зависят от оператора связи. Используйте доступные функции конкретного поставщика и не отключайте второй фактор ради удобства подрядчика.

При включении сервис обычно показывает резервные коды. Каждый такой код позволяет войти без основного устройства. Сохраните их в менеджере паролей или зашифрованном архиве и держите вторую копию отдельно. Не фотографируйте коды в общей галерее телефона и не отправляйте их в рабочий чат.

Проверьте восстановление до аварии. Узнайте, какие документы потребуются, можно ли добавить второй аппаратный ключ и как удалить потерянное устройство. Резервный способ должен быть доступен владельцу, но не превращаться в обход всей защиты через один простой вопрос поддержки.

Пароль должен быть уникальным

Сгенерируйте длинный случайный пароль в менеджере паролей. Не используйте его для почты, хостинга или других сайтов. Если один сервис допустит утечку, повторяющийся пароль откроет злоумышленнику всю цепочку управления.

Менять уникальный пароль каждый месяц без признаков компрометации необязательно. Важнее хранить его в защищённом менеджере, включить второй фактор и немедленно заменить при подозрительном входе, фишинге или утечке. Контрольные вопросы, если сервис всё ещё их использует, тоже не должны иметь ответы, которые легко найти в соцсетях.

Ограничьте права сотрудников и подрядчиков

Для изменения DNS разработчику не всегда нужен полный доступ к регистрации и контактам владельца. Если панель поддерживает роли, создайте отдельную учётную запись с доступом только к нужному домену или DNS-зоне. Укажите срок работы и удалите доступ после завершения задачи.

Когда ролей нет, используйте процесс заявки: подрядчик сообщает точную запись и ожидаемый результат, владелец вносит изменение сам, а оба проверяют сайт. Это медленнее передачи пароля, но сохраняет контроль над переносом и владельцем.

Не создавайте общий аккаунт «для отдела», если можно использовать личные учётные записи. Журнал операции имеет смысл только тогда, когда действие связано с конкретным человеком.

Включите уведомления о критичных изменениях

Письмо должно приходить при входе с нового устройства, смене контактов, отключении второго фактора, изменении NS-серверов, разблокировке переноса и запросе кода передачи. Названия функций различаются, поэтому проверьте настройки уведомлений в панели.

Не переходите к оплате по ссылке из неожиданного письма о срочном продлении. Откройте сохранённый адрес регистратора вручную и проверьте срок в личном кабинете. ICANN отдельно предупреждает о фишинговых письмах, имитирующих регистратора или саму ICANN.

Если пришло уведомление об операции, которую никто не выполнял:

1. откройте панель по известному адресу, не используя ссылку из письма;
2. проверьте активные сессии, контакты, NS и блокировку переноса;
3. завершите посторонние сессии и смените пароль с доверенного устройства;
4. убедитесь, что почта и второй фактор не захвачены;
5. свяжитесь с регистратором по официальному каналу и сохраните время событий.

Подготовьте краткую карточку восстановления

Храните офлайн или в защищённом корпоративном хранилище название регистратора, идентификатор аккаунта, домены, контакт поддержки, дату продления и список уполномоченных лиц. Секреты размещайте отдельно с более строгими правами.

Раз в несколько месяцев проверяйте, что контактная почта открывается, резервные коды доступны, платёжный метод актуален, а бывшие сотрудники удалены. После смены ответственного передавайте доступ по чек-листу и фиксируйте результат.

Поставщика следует выбирать с учётом этих функций; критерии собраны в статье о выборе регистратора. После защиты аккаунта можно переходить к технической части — записям A, AAAA и CNAME. Общая модель связи сервисов описана в уроке о домене, DNS и хостинге.

Источники

• ICANN: Information for Domain Name Registrants
• ICANN: Important Tips to Help Keep Your Domain Name Secure
• ICANN: Registrant Rights and Responsibilities