В США октябрь является Месяцем осведомлённости о кибербезопасности (Cybersecurity Awareness Month), а в ЕС Европейским месяцем кибербезопасности. Кампания 2026 года американского агентства CISA под названием «Securing the Next 250» ставит на первое место среди своих четырёх основных шагов умение избегать фишинговых схем и сообщать о них. В ЕС опрос «Евробарометра», опубликованный Европейской комиссией 30 сентября 2026 года, показал, что трое из четырёх работников в течение шести месяцев до опроса сталкивались на работе с подозрительными письмами, сообщениями или ссылками.
Сайт компании, её электронная почта и вход для клиентов зависят от её доменных имён, а пять настроек определяют, можно ли эти имена угнать, потерять или подделать.
Кто контролирует ваши домены?
Тот, у кого в руках учётная запись у регистратора и данные владельца домена, поэтому проверьте и то и другое: блокировку каждого имени и стоящие за ним контактные данные.
Защищён ли ваш домен от переноса?
Должен быть. Для .com и многих национальных расширений это видно в публичных данных домена: блокировка регистратора отображается как код статуса clientTransferProhibited, который, как поясняет ICANN, предписывает реестру отклонять запросы на перенос домена к другому регистратору. Коды clientUpdateProhibited и clientDeleteProhibited делают то же самое для изменений и удаления.
Некоторые реестры вообще не публикуют статус блокировки, например nic.at для .at и DENIC для .de. В таких случаях спросите у своего регистратора, как подтверждается перенос.
Блокировка на уровне реестра (registry lock) защищает ещё надёжнее. Коды, начинающиеся с server, например serverTransferProhibited, устанавливает реестр, и некоторые реестры предлагают их как услугу блокировки, которую снимают только по запросу регистратора к реестру. Спросите у регистратора, для каких из ваших имён она возможна.
Чтобы проверить, найдите домен с помощью нашего whois-поиска: он показывает коды статуса до 20 имён одновременно, если реестр их публикует. Затем проверьте, кто может снять блокировку: ICANN советует владельцам включить многофакторную аутентификацию в учётной записи у регистратора, если такая возможность есть.
Точны ли данные владельца и административного контакта?
В них должна быть указана компания, которой принадлежит бренд, с адресами и номерами, которые она контролирует. Реестры ЕС начали проверять эти данные в соответствии с национальными законами, принятыми во исполнение Директивы NIS2. EURid опубликовал политику проверки для .eu в октябре 2024 года, а австрийский закон NISG 2026 вступил в силу 1 октября 2026 года: владельцы доменов .at теперь обязаны указывать номер телефона в дополнение к адресу электронной почты и содействовать проверке своих данных по запросу.
Австрийский реестр предупреждает, что отсутствие подтверждений или их несвоевременное представление может привести к удалению домена. Согласно его ответам на частые вопросы о NIS2, домен, данные которого не подтверждены в течение 21 дня, переводится в статус serverHold, из-за чего перестают работать его сайт и почта, а если данные не исправлены в течение ещё 30 дней, регистрация аннулируется.
С 1 октября nic.at также публикует в whois номер телефона и адрес электронной почты владельцев-компаний, которые раньше могли эти данные скрывать, поэтому реестр рекомендует указывать общие адрес и номер вместо личных контактов сотрудника.
Уведомления об истечении срока регистрации и запросы на проверку приходят на эти контакты. Домен, оформленный на бывшего сотрудника, агентство или дочернюю компанию, трудно продлить, перенести или защитить, а контактный адрес на домене, срок регистрации которого истёк, может перейти к тому, кто этот домен зарегистрирует. Чтобы проверить, запросите у регистратора полные данные по каждому домену, поскольку публичный whois часто скрывает данные владельца, и сравните владельца с официальным наименованием компании.
Кто получает уведомления об истечении срока регистрации ваших доменов?
Адрес электронной почты владельца. Для общих расширений политика восстановления истёкших регистраций (ERRP) ICANN обязывает регистраторов отправлять не менее двух напоминаний, примерно за месяц и примерно за неделю до истечения срока, а также ещё одно в течение пяти дней после истечения срока, если имя не было ни продлено, ни удалено. Все они направляются на адрес электронной почты владельца, указанный в контактных данных.
После истечения срока регистратор может предоставить льготный период автоматического продления от 1 до 45 дней. После удаления домена в общей зоне реестр обязан предоставить 30-дневный период восстановления (Redemption Grace Period), в течение которого владелец может восстановить домен через регистратора, возможно, за плату. До удаления и в период восстановления DNS отключается, поэтому сайт и почта перестают работать, включая почтовые ящики на самом домене. Реестры национальных доменов устанавливают собственные правила.
Чтобы проверить, включите автоматическое продление для каждого используемого имени, держите в учётной записи действующий способ оплаты, направляйте уведомления в общий почтовый ящик на другом домене и составьте список дат истечения срока регистрации на ближайшие двенадцать месяцев.
Можно ли подделать ваши домены?
Да, в DNS и в электронной почте, пока зона не подписана с помощью DNSSEC, а каждый домен не публикует записи SPF и DMARC.
Включён ли DNSSEC и по-прежнему ли совпадают ключи?
Он должен быть включён везде, где его поддерживает реестр, а запись DS в реестре должна по-прежнему совпадать с одним из ключей в вашей зоне. Без DNSSEC, как поясняет ICANN, резолвер не может проверить подлинность ответа DNS, и злоумышленник, отравивший его кэш, может направить пользователей на копию вашего сайта.
Наша проверка DNS-зоны считывает запись DS в реестре и ключи в вашей зоне и сообщает, совпадают ли они, не проверяя подписи. Если ключ отсутствует или отличается, домен перестаёт работать у резолверов, проверяющих DNSSEC, поэтому запускайте проверку после каждой смены DNS-провайдера. Не все реестры поддерживают DNSSEC: на нашей странице управления DNS объясняется, как мы с этим работаем.
У корня DNS в этом месяце была своя дата. ICANN планировала, что 11 октября 2026 года подписание возьмёт на себя KSK-2024, новый ключ подписи ключей корневой зоны. Резолвер, который ему не доверяет (тег ключа 38696), считает ответы, подписанные новым ключом, подделанными, и каждый запрос завершается ошибкой, как поясняется в ответах ICANN на частые вопросы. Если ваша компания использует собственные валидирующие резолверы, проверьте, что этот ключ у них есть, как просит ICANN на странице о смене ключа.
Аутентифицируют ли почту все ваши домены, включая те, что её не отправляют?
Должны, потому что домен, который не отправляет почту, подделать так же легко, как и тот, что отправляет. SPF перечисляет серверы, которым разрешено отправлять его почту, DKIM подписывает каждое сообщение, а DMARC сообщает принимающим серверам, что делать с письмами, не прошедшими проверку.
Национальный центр кибербезопасности Великобритании (NCSC) предупреждает, что защитная регистрация сама по себе не защищает домен, и советует в первую очередь защитить домены, которые не отправляют почту, поскольку после этого они не требуют обслуживания. Он перечисляет четыре DNS-записи, которые нужно настроить в следующем порядке:
- SPF без разрешённых отправителей: v=spf1 -all;
- DMARC в _dmarc с политикой отклонения: v=DMARC1; p=reject, а также адрес для отчётов, чтобы видеть злоупотребления;
- нулевая запись MX, 0 ., если у домена есть адресная запись, но нет почтового сервера;
- по желанию, wildcard-запись DKIM с пустым ключом, которая отзывает любые кэшированные ключи.
Для доменов, отправляющих почту, план внедрения NCSC начинает DMARC с политики none, которая только собирает отчёты, переходит к quarantine, когда все легитимные отправители проходят проверку, а затем к reject. Проверка зоны показывает записи SPF и DMARC любого домена. Ключи DKIM находятся под селектором, который задаёт ваша почтовая платформа, поэтому проверяйте их там.
Что делать сейчас?
Выполните пять проверок для всех ваших доменов, а затем определите для каждой, когда её повторять.
| Настройка | Как проверить | Когда проверять снова |
|---|---|---|
| Блокировка переноса и доступ к учётной записи | Коды статуса в whois, если реестр их публикует; пользователи учётной записи у регистратора и многофакторная аутентификация | Когда уходит кто-либо с доступом к учётной записи |
| Контактные данные | Полные данные от регистратора в сравнении с юридическими реквизитами компании | После реорганизации и при любом запросе реестра |
| Продление и истечение срока | Автопродление, способ оплаты, адрес для уведомлений, даты истечения срока | За месяц до каждой даты истечения срока |
| DNSSEC | Проверка зоны: запись DS совпадает с ключом в зоне | После каждой смены DNS-провайдера |
| SPF, DKIM, DMARC | Проверка зоны; почтовая платформа для DKIM; отчёты DMARC | При добавлении или отключении сервиса, отправляющего почту от вашего имени |
Domgate регистрирует и обслуживает национальные домены для владельцев брендов и их консультантов. Компания публикует записи SPF, DKIM и DMARC и поэтапно переводит политику DMARC на reject. Её аудит в рамках глобальной доменной стратегии перечисляет каждое имя с владельцем, контактами и датой истечения срока регистрации, а затем задаёт правила продления и безопасности, включая блокировку на уровне реестра, если расширение её предлагает.
