10月是美国的网络安全意识月（Cybersecurity Awareness Month），也是欧盟的欧洲网络安全月。美国机构 CISA 的2026年宣传活动以“Securing the Next 250”为主题，将防范和举报网络钓鱼诈骗列为其四项核心步骤之首。在欧盟，欧盟委员会于2026年9月30日发布的一项欧洲晴雨表（Eurobarometer）调查显示，四分之三的员工在调查前六个月内曾在工作中遇到可疑的电子邮件、消息或链接。
企业的网站、电子邮件和客户登录都依赖于其域名，而有五项设置决定了这些域名是否可能被劫持、丢失或伪造。
谁控制着您的域名？
谁掌握注册商账户和持有人记录，谁就控制着域名，因此两者都要检查：每个域名的锁定，以及其背后的联系人数据。
您的域名是否已锁定以防止转移？
应当锁定。对于 .com 和许多国家代码后缀，域名的公开记录会显示这一点：注册商锁定显示为状态码 clientTransferProhibited，正如 ICANN 所解释的，该状态码告诉注册局拒绝将域名转移到另一家注册商的请求。状态码 clientUpdateProhibited 和 clientDeleteProhibited 对变更和删除起同样的作用。
有些注册局不公开锁定状态，例如负责 .at 的 nic.at 和负责 .de 的 DENIC。对于这些后缀，请向您的注册商询问转移是如何授权的。
注册局锁定（registry lock）更进一步。以 server 开头的状态码，例如 serverTransferProhibited，由注册局设置；一些注册局将其作为一项锁定服务提供，只有在注册商向注册局提出请求时才会解除。请向您的注册商询问您的哪些域名可以设置注册局锁定。
要进行检查，请使用我们的 Whois 查询工具查找该域名；在注册局公开状态码的情况下，它可一次显示最多20个域名的状态码。然后检查谁可以解除锁定：ICANN 建议持有人在注册商账户上启用多重身份验证（如果提供该功能）。
持有人和管理联系人信息是否准确？
这些信息应当写明拥有该品牌的公司，并使用由公司掌控的地址和号码。欧盟的注册局已开始依据转化 NIS2 指令的各国法律核实这些数据。2024年10月，EURid 发布了一项核实政策，适用于 .eu；奥地利的 NISG 2026 法案已于2026年10月1日生效：.at 持有人现在除电子邮件地址外还必须提供电话号码，并且在被要求核实其数据时必须予以配合。
奥地利注册局警告称，证明材料缺失或迟交可能导致其删除该域名。根据其 NIS2 常见问题解答，数据在21天内未获核实的域名将被置于 serverHold 状态，其网站和电子邮件随之停止运行；如果在此后30天内仍未更正数据，该域名将被撤销。
自10月1日起，nic.at 还会在 whois 中公开公司持有人的电话号码和电子邮件地址，而此前公司可以隐藏这些信息，因此 nic.at 建议使用统一的中央地址和号码，而非员工个人的地址和号码。
到期通知和核实请求都会发送给这些联系人。由前员工、代理机构或子公司持有的域名，难以续费、转移或维权；而如果联系人地址所在的域名失效，任何注册该域名的人都可以接管这个地址。要进行检查，请向您的注册商索取每个域名的完整记录（因为公开的 whois 往往隐藏持有人数据），并将持有人与公司的法定名称进行核对。
谁会收到您域名的到期通知？
由持有人的电子邮件地址接收。对于通用后缀，ICANN 的过期注册恢复政策（Expired Registration Recovery Policy）要求注册商至少发送两次提醒，分别在到期前约一个月和约一周；如果域名既未续费也未删除，还须在到期后五天内再发送一次。所有这些通知都会发送到联系人数据中的注册人电子邮件地址。
到期后，注册商可以提供1至45天的自动续费宽限期。通用域名一旦被删除，注册局必须提供30天的赎回宽限期（Redemption Grace Period），在此期间持有人可通过注册商恢复该域名，可能需要支付费用。在删除之前和赎回期间，DNS 会被切断，因此网站和电子邮件会停止运行，包括该域名本身的邮箱。国家代码注册局则自行制定规则。
要进行检查，请为每个正在使用的域名开启自动续费，保留有效的付款方式，将通知发送到另一个域名下的共享邮箱，并列出未来十二个月内的到期日期。
您的域名会被伪造吗？
会的，在 DNS 和电子邮件中都会，除非区域已使用 DNSSEC 签名，并且每个域名都发布了 SPF 和 DMARC。
DNSSEC 是否已开启，并且仍然匹配？
只要注册局支持，就应当开启，并且注册局的 DS 记录应仍与您区域中的某个密钥相匹配。ICANN 解释说，没有 DNSSEC，解析器就无法验证 DNS 应答是否真实，而对其缓存投毒的攻击者可以将用户引向您网站的仿冒副本。
我们的 DNS 区域检测会读取注册局的 DS 记录和您区域中的密钥，并告诉您两者是否匹配，但不验证签名。密钥缺失或不一致会导致进行 DNSSEC 验证的解析器无法解析该域名，因此每次更换 DNS 服务商后都应运行该检测。并非所有注册局都支持 DNSSEC：我们的 DNS 管理页面介绍了我们的处理方式。
本月，DNS 根区也有自己的重要日期。ICANN 计划让根区新的密钥签名密钥 KSK-2024 于2026年10月11日接管签名。正如 ICANN 的常见问题解答所解释的，不信任该密钥（密钥标签 38696）的解析器会将使用新密钥签名的应答视为已被篡改，因此每次查询都会失败。如果您的公司运行自己的验证解析器，请按照 ICANN 密钥轮换页面的要求，检查这些解析器是否持有该密钥。
您的所有域名，包括不发送电子邮件的域名，是否都进行了电子邮件身份验证？
应当如此，因为不发送电子邮件的域名与发送电子邮件的域名同样容易被伪造。SPF 列出允许为该域名发送邮件的服务器，DKIM 为每封邮件签名，DMARC 则告诉收件服务器如何处理未通过检查的邮件。
英国国家网络安全中心（NCSC）警告说，防御性注册本身并不能保护域名，并建议首先保护不发送电子邮件的域名，因为这些域名一旦受到保护就无需维护。它列出了四条记录，应按以下顺序设置：
- 不允许任何发件方的 SPF：v=spf1 -all；
- 位于 _dmarc、采用拒绝策略的 DMARC：v=DMARC1; p=reject，并加上一个报告地址，以便发现滥用行为；
- 当域名有地址记录但没有邮件服务器时，设置空 MX 记录 0 .；
- 可选：一条密钥为空的通配符 DKIM 记录，用于撤销任何已缓存的密钥。
对于发送电子邮件的域名，NCSC 的实施计划先以 none 策略启用 DMARC（该策略只收集报告），在所有真实发件方都通过检查后改为 quarantine（隔离），然后再改为 reject（拒绝）。区域检测可显示任何域名的 SPF 和 DMARC 记录。DKIM 密钥位于由您的邮件平台设置的选择器（selector）之下，因此请在邮件平台中检查。
您现在应该怎么做？
对您持有的每个域名执行这五项检查，然后为每一项设定重新检查的触发条件。
| 设置 | 检查方法 | 何时再次检查 |
|---|---|---|
| 转移锁定与账户访问 | Whois 状态码（在注册局公开的情况下）；注册商账户的用户和多重身份验证 | 有账户访问权限的人员离职时 |
| 联系人数据 | 从注册商获取完整记录，与公司的法定信息核对 | 公司重组后，以及注册局提出任何要求时 |
| 续费与到期 | 自动续费、付款方式、通知地址、到期日期 | 每个到期日之前一个月 |
| DNSSEC | 区域检测：DS 记录与区域中的某个密钥相匹配 | 每次更换 DNS 服务商后 |
| SPF、DKIM、DMARC | 区域检测；DKIM 在邮件平台中检查；DMARC 报告 | 新增或移除以您的名义发送电子邮件的服务时 |
Domgate 为品牌所有者及其顾问注册和管理国家代码域名。它会发布 SPF、DKIM 和 DMARC 记录，并逐步将 DMARC 策略推进到 reject。其全球域名策略审计会列出每个域名及其持有人、联系人和到期日，然后制定续费和安全规则，包括在后缀提供注册局锁定时设置注册局锁定。
