域名锁定详解：阻止未经授权转移的这一项设置

注册商后台会把域名状态显示为一串听起来很技术的短词——clientTransferProhibited 是其中最常见的一个——大多数所有者看到它都会直接略过，不会多想。这串文字其实是域名所有者拥有的更有用的防护之一，弄懂它的作用只需要两分钟。如果您最近读到过域名被盗的新闻，或者只是在自己的账号里注意到一个"域名锁定"开关，好奇碰一下会发生什么，其实问的都是同一个根本问题：这项设置到底是做什么用的，放着不管安全吗？

"域名锁定"到底是什么

域名锁定（domain lock）——也叫注册商锁定或转移锁定——是注册商设置在域名上的一种状态，用于阻止域名被转移到其他注册商，直到有人主动关闭这项状态为止。它的技术名称，会出现在大多数注册商后台和域名的公开 WHOIS 记录中，叫作 clientTransferProhibited：这是一个 EPP 状态码（EPP 是注册商与域名注册局沟通所使用的协议），意思是注册商按照账号持有人的要求设置了这项锁定，而不是中央注册局出于其他原因限制了这个域名。

有必要弄清楚这项锁定到底阻止了什么，因为很容易误以为它管得更多。域名锁定只影响转出请求——也就是把域名转移到其他注册商的尝试。它不会影响域名续费、更新域名服务器或 DNS 记录、更改联系信息，或通过当前注册商账号在其上运行网站和电子邮箱。已锁定的域名在所有日常操作上，和未锁定的域名完全一样；它关闭的唯一一扇门，就是转出这扇门。

域名劫持到底是如何发生的

域名因未经授权的转移而丢失，听起来似乎需要相当高深的技术手段，但在实际案例中，几乎所有真实事件都可以归结为三种更平常得多的情况之一。搞清楚哪一种才是真正关键——是账号被攻破，而不是域名本身的代码或注册局的系统——就能明白为什么域名锁定这样一项简单的设置，能堵上如此多真实的风险。

• 注册商账号被攻破。这是最常见的途径，而且通常可以追溯到被入侵或在别处重复使用的邮箱地址，而不是注册商自身系统被攻破。如果攻击者能够读取或重置与注册商账号绑定的邮箱，通常也就能重置账号密码，进而像合法所有者一样解锁并转移域名。
• 社会工程手段。攻击者足够以假乱真地冒充域名所有者——通过一通电话、一张工单，或一份伪造的文件——说服注册商客服或所有者本人，解锁域名或批准一次实际上从未被真正提出过的转移请求。虚假域名续费邮件正是这种手法有据可查的一个版本，目的是让所有者在没有意识到自己实际做了什么的情况下解锁域名或交出登录信息；这种模式在我们关于识别虚假域名续费诈骗邮件的指南中有详细介绍。
• 域名恰好处于未锁定状态。有时情况更简单——域名在上一次转移后被遗留在未锁定状态，一次被忽略的重新锁定提醒，或者一时疏忽，恰好就在一次转移请求（无论真假）发生的那一刻。

这三条途径都不涉及任何人直接攻破域名注册系统本身，这正是域名锁定——一项完全由所有者自己掌控的设置——能够如此有效地防范这三种情况的原因。

为什么域名锁定几乎应该始终保持开启

既然域名锁定没有任何弊端，明智的默认做法就很简单：让它一直保持开启，只在真正需要转移域名的那短短几分钟里关闭它。

保持开启不会带来任何成本——锁定的域名照常续费，DNS 和电子邮箱持续正常运行，网站运行的任何方面都不会受影响。锁定唯一会挡住的情况，正是它本来就该挡住的那种：包括攻击者在内的任何人，试图不先经过正确的解锁步骤，就把域名转移到另一家注册商。

唯一需要关闭它的时刻

关闭域名锁定唯一合理的理由，就是主动把域名转移到另一家注册商。大多数注册商的通用流程都差不多：直接登录当前注册商的账号，找到域名的状态或转移设置，关闭锁定，然后申请新注册商会要求的转移授权码——通常称为 EPP 码或 auth 码——用来启动转移。

这段解锁的时间窗口应当尽量缩短。解锁、拿到授权码、尽快在新注册商那边启动转移，并且在整个转移完成之前，把这个域名当作比平时更容易受攻击的对象来对待。大多数注册商会在转移完成后自动重新锁定域名，但事后登录确认新注册商那边确实显示锁定已重新开启，而不是想当然地认为它自动发生了，还是值得的。

如果账号本身被攻破，域名锁定帮不上忙

有必要说清楚域名锁定做不到什么，因为只依赖它会带来一种虚假的安全感。域名锁定是设置在域名上的，而不是设置在账号上的——任何已经登录注册商账号的人，无论是否合法，都可以在尝试转移之前，自己动手把锁定关闭。它无法阻止一个已经掌握账号"钥匙"的人把锁定关掉。

这正是为什么账号本身的安全，比锁定这项设置本身更重要。注册商账号绑定的那个邮箱地址，实际上就是一把万能钥匙：谁掌控了那个收件箱，通常就能重置账号密码并登录进去。为那个邮箱账号设置一个强而独特的密码，并在注册商或邮箱服务商提供的地方开启双重验证，比单靠锁定这项设置更能防止域名被劫持——这两项防护是相辅相成的，而不是彼此的替代品。

域名锁定与其他容易混淆的设置

域名锁定常常和另外几项域名设置一起被提到，这让人很容易以为一个可以替代另一个。实际上每一项防范的都是不同的风险。

这四项没有一个能互相替代，这正是一个保护到位的域名通常会同时开启全部四项，而不是把任何单独一项当成已经足够的原因。可以把它们想象成四扇各自独立的门：一扇防未经授权的转移，一扇防个人信息公开暴露，一扇防密码被猜中，一扇防忘记续费日期——关上其中三扇，第四扇仍然大敞着。

如何检查和更改域名的锁定状态

具体界面因注册商而异，但模式是一致的：直接登录注册商账号（切勿通过邮件里的链接），打开该域名的具体管理页面，找到状态字段或标有"Transfer Lock"或"Domain Lock"的开关。如果状态字段显示的是原始 EPP 代码，clientTransferProhibited 表示已锁定，而没有显示 clientTransferProhibited（或显示"Active"之类且没有锁定代码）则表示未锁定。对该域名做一次公开的 WHOIS 查询，无需登录就能看到同样的状态，如果对后台显示的内容有任何疑问，这是从账号外部快速确认设置的办法。

尝试转移已锁定域名会发生什么

针对已锁定域名提交的转移请求，会在转出注册商那一端立即被拒绝，在大多数系统中甚至连授权码都不会生成——这正是域名锁定在尽职尽责，而不是需要排查的故障。解决办法很简单：先解锁域名，再重新申请转移；我们关于把域名转移到新注册商的指南详细介绍了完整流程，包括开始前值得检查的其他事项。单纯因锁定状态导致的转移被拒，无需联系客服——只要域名一解锁，转移就会成功。

这也是为什么如果不先检查锁定状态，一次真正的转移感觉会比预期更慢：被拒绝的尝试需要先修正再重新提交，而不会自动重试，所以在申请授权码之前先确认域名显示为未锁定，能省下一次往返。

一份简短的检查清单

以下每一项都不需要任何技术背景就能执行：

• 检查域名当前的状态，确认它现在确实显示为已锁定（clientTransferProhibited），而不是只在过去的某个时间点是这样。
• 为注册商账号设置一个强而独特的密码——绝不重复使用其他网站上用过的密码。
• 在注册商账号以及绑定的邮箱账号上开启双重验证，只要对方提供这项功能就启用。
• 把账号邮箱地址当作真正的安全边界，因为掌控它的人通常就能重置其他一切。
• 只在真正要转移域名之前才解锁，并在转移真正完成后确认它已重新锁定。

常见错误

• 在还没真正需要之前就"以防万一"先解锁域名。多解锁一天，就多一天暴露在转移风险下，却没有任何好处。
• 以为域名锁定能防止域名过期。它只阻止转移；即使域名被锁定，只要续费付款失败，它仍会按计划过期。
• 把锁定当成账号安全的替代品。任何已经登录账号的人都能把它关掉，所以密码薄弱或没开双重验证，会让锁定完全失去作用。
• 因为一封邮件要求就解锁域名。解锁请求如果是通过邮件发来、而不是所有者本人在账号内发起的，这是已知的社会工程诈骗模式。
• 忘记在转移后确认是否已重新锁定。并非所有注册商都会自动重新锁定；请查看新注册商的后台，而不要想当然。
• 把域名锁定和 WHOIS 隐私保护混为一谈。两者解决的是互不相关的问题，谁也替代不了谁。

Gotka Technologies 在其中的角色

通过 Gotka 的域名注册服务注册的每个域名，都标配包含域名锁定，还附带免费转入和 WHOIS 隐私保护，起价为 RM10/年——因此上述防护从域名注册的那一刻起就已生效，无需另行申请。及早识别以续费或转移为由的诈骗邮件——这往往是以虚假理由骗取域名解锁的第一步——可以参考我们的相关指南识别虚假域名续费诈骗邮件。

本指南中的关键术语

• 域名锁定：注册商层面的一种状态，在被关闭之前阻止域名转移到其他注册商。
• clientTransferProhibited：域名锁定生效时显示的技术性 EPP 状态码，由注册商按所有者的要求设置。
• EPP：注册商用来与域名注册局通信的协议；EPP 状态码描述域名当前受到的限制。
• WHOIS：域名注册信息的公开记录，隐私保护可以遮蔽其中的信息，但域名锁定对此没有影响。
• 社会工程：通过欺骗而非技术手段，诱使某人或客服团队采取某个行动，例如解锁域名。
• 双重验证：在密码之外增加的登录步骤，例如来自手机应用的一次性代码，能阻止仅凭被盗密码就登录账号。
• 注册商账号：用于管理域名各项设置（包括锁定状态）的登录账号；它自身的安全性比任何单一的域名级设置都更重要。