Что такое Registry Lock и как защитить домен от несанкционированных изменений

Registry Lock — дополнительная услуга безопасности, которая блокирует домен на уровне реестра. Реестр (registry) — это центральный оператор доменной зоны: например, базу данных .com и .net ведёт Verisign. Пока Registry Lock включён, реестр отклоняет любые попытки передать домен другому регистратору, удалить его или изменить такие данные, как NS-серверы и контакты. Провести эти изменения можно только после того, как блокировку снимут в ходе отдельной проверки между регистратором и реестром. Больше всего услуга нужна интернет-магазинам, финансовым компаниям и сайтам с высокой посещаемостью, для которых простой домена сразу оборачивается потерей выручки и доверия.

Главный риск, от которого защищает Registry Lock, — угон домена (domain hijacking). Тот, кто получил доступ к вашему аккаунту у регистратора, может сменить NS-серверы на свои и перенаправить трафик сайта и почту или попытаться перенести домен к другому регистратору. Registry Lock ставит такие изменения в зависимость от подтверждения, которое не связано с паролем от аккаунта.

Как работает Registry Lock?

Registry Lock основан на статусах, которые реестр устанавливает для домена и которые регистратор не может снять самостоятельно. Регистраторы взаимодействуют с реестрами по стандартному протоколу EPP (Extensible Provisioning Protocol), а статусы домена в EPP бывают двух видов:

• Статусы с префиксом «client» устанавливает и снимает регистратор. Блокировка трансфера в панели управления — это, как правило, статус clientTransferProhibited.
• Статусы с префиксом «server» устанавливает и снимает реестр. По стандарту EPP регистратор не может их изменить.

После одобрения заявки реестр добавляет server-статусы, и с этого момента команды регистратора на трансфер, удаление или изменение отклоняются. Чтобы снять блокировку, уполномоченные сотрудники регистратора проходят дополнительную проверку в реестре по заранее согласованному каналу. Verisign описывает этот шаг как аутентификацию вне EPP-соединения.

Некоторые реестры могут блокировать и записи NS-серверов, зарегистрированных под вашим доменом (host-объекты, например ns1.example.com). У Verisign домен и каждый хост блокируются отдельно. Если ваши NS-серверы работают на вашем же домене, уточните этот момент.

Что блокирует Registry Lock?

Обычно Registry Lock — это три EPP-статуса, установленные одновременно:

Точный объём защиты и исключения зависят от правил конкретного реестра. Verisign указывает, что в его зонах домен считается заблокированным, только если установлены все три server-статуса. Однако те же статусы могут появиться и по другим причинам — например, из-за судебного спора или предстоящего удаления. Поэтому сами по себе эти статусы в WHOIS или RDAP не доказывают, что услуга активна: уточните это у своего провайдера.

Продление в эти три статуса не входит. Для запрета продления есть отдельный статус (serverRenewProhibited), и он не относится к стандартному набору Registry Lock. Поэтому заблокированный домен обычно продлевается как обычно, но правила вашей зоны стоит уточнить.

Блокировка NS-серверов — не то же самое, что блокировка DNS-записей

Реестр хранит информацию о том, на какие NS-серверы делегирован домен. А IP-адрес сайта и почтовый сервер задаются в DNS-зоне у вашего DNS-провайдера.

Пример: домен example-store.com делегирован на ns1.dnsprovider.net и ns2.dnsprovider.net. Registry Lock не позволит заменить эти два NS-сервера. Но тот, у кого есть доступ к аккаунту DNS-провайдера, может на тех же серверах направить A-запись на другой IP-адрес, MX-запись — на чужой почтовый сервер или изменить TXT-записи. Такие изменения выходят за рамки Registry Lock.

Registry Lock, блокировка трансфера, DNSSEC и 2FA: сравнение

Эти четыре меры защищают разные уровни, и ни одна не заменяет другую. DNSSEC — расширение DNS, которое позволяет проверять ответы с помощью цифровой подписи; двухфакторная аутентификация (2FA) требует второго подтверждения при входе в аккаунт.

Пример: что изменится, если аккаунт управления доменом взломают?

Сценарий условный и приведён для наглядности. В интернет-магазине через фишинговое письмо похищают пароль от аккаунта управления доменом. Двухфакторная аутентификация не включена.

Без Registry Lock

Злоумышленник меняет в панели NS-серверы на свои. Как только изменение доходит до реестра, посетители сайта и входящая почта постепенно уходят к нему. Контролируя DNS, он может попытаться получить SSL-сертификат для домена или читать письма для сброса паролей. Затем он может снять блокировку трансфера и попробовать перенести домен к другому регистратору. Из-за кэширования DNS даже быстрый откат настроек срабатывает не сразу.

С Registry Lock

Злоумышленник пытается сменить NS-серверы или запустить трансфер, но реестр отклоняет команды. Чтобы снять блокировку, ему пришлось бы пройти через заранее указанных уполномоченных лиц и отдельную проверку между регистратором и реестром. Тем временем компания успевает вернуть доступ к аккаунту и сменить пароли.

Кому нужен Registry Lock?

Registry Lock подходит для доменов, у которых даже несколько часов неверной маршрутизации обернутся серьёзными последствиями, а технические настройки меняются редко. Определиться помогут вопросы:

• Сколько вы потеряете в продажах, доверии клиентов или из-за юридических обязательств, если домен сутки будет указывать на чужой сервер?
• Зависят ли от этого домена корпоративная почта, единый вход (SSO) или платёжные системы?
• Сколько раз в год меняются NS-серверы и контактные данные?
• Сколько человек имеют доступ к аккаунту управления доменом?

Исходя из этого, больше всего пользы услуга приносит интернет-магазинам и платёжным сервисам, банкам и финансовым организациям, госсектору и здравоохранению, SaaS-провайдерам и брендам с большим трафиком. А для тестовых или промодоменов, у которых NS-серверы часто меняются, процедура разблокировки может стать лишней нагрузкой.

Какие доменные зоны поддерживают Registry Lock?

Registry Lock доступен не во всех зонах: услугу предоставляет реестр, а доступ к ней — регистратор. В таблице ниже перечислены основные зоны, где доступен Registry Lock; актуальную информацию по вашему домену можно уточнить в службе поддержки Atak Domain.

Зоны с поддержкой Registry Lock (проверено 8 октября 2026 г.)

Учтите:

• Список не является исчерпывающим. Если зоны вроде .org, .tr или .tv в нём нет, это не значит, что она не поддерживает Registry Lock.
• Из семейства .au в таблице указаны только .au, .com.au, .net.au и .org.au; другие зоны второго уровня .au в неё не входят.
• Наличие зоны в списке не означает, что услугу для неё предлагает любой регистратор. Актуальную информацию по вашему домену уточните у провайдера.
• Verisign в собственной документации также указывает .com, .net, .cc и .name.

Как изменить заблокированный домен?

Блокировку временно снимают, вносят изменения и устанавливают её снова. Детали зависят от реестра и провайдера, но в целом процесс выглядит так:

1. Заявка. Заранее уполномоченное лицо подаёт запрос на изменение по каналу, который определил провайдер.
2. Проверка. Провайдер убеждается, что запрос действительно исходит от уполномоченного лица: например, перезванивает на зарегистрированный номер, запрашивает подписанную форму или заранее согласованную кодовую фразу.
3. Одобрение реестра. Регистратор передаёт запрос в реестр, и тот снимает блокировку после собственной проверки.
4. Изменение. Меняются NS-серверы или контакты либо выполняется трансфер.
5. Повторная блокировка. Блокировку устанавливают снова; некоторые реестры делают это автоматически по истечении заданного срока. Попросите провайдера подтвердить, что блокировка снова активна.

Дополнительная безопасность возникает не за счёт того, что процедура занимает больше времени, а благодаря проверке полномочий, которая проходит отдельно от обычных действий в панели управления. Поскольку в ней обычно участвуют люди, сроки зависят от порядка работы реестра, способа проверки и процедуры провайдера. Если кодовая фраза или код для разблокировки утеряны, применяется отдельная процедура реестра, и процесс может затянуться.

Ограничения Registry Lock и планирование работ

Registry Lock защищает регистрационные данные в реестре. Сам по себе он не предотвращает:

• Атаки на хостинг-сервер или веб-приложение.
• Захват аккаунта у DNS-провайдера.
• Изменения записей в DNS-зоне.
• DDoS-атаки.
• Взлом почтовых аккаунтов.
• Риски, связанные с тем, что никто не следит за сроком регистрации. Блокировка не гарантирует, что непродлённый домен продолжит работать.

Планируйте изменения заранее

Если проект предполагает смену хостинга или DNS-провайдера, переезд в другой дата-центр или обновление NS-серверов, заложите время на разблокировку в план работ. Изменения лучше проводить в спокойный период — так возможная задержка меньше скажется на бизнесе.

Следите за актуальностью контактов и каналов проверки

Список лиц, которые вправе запрашивать разблокировку, и их контактные данные должны быть актуальными; если кто-то уходит из компании, сразу обновите список. Если все контактные адреса работают на защищаемом домене, при проблемах с ним уведомления могут до вас не дойти. Укажите хотя бы для одного контакта адрес на другом домене — это снизит риск.

Сочетайте с другими мерами защиты

Включите 2FA в аккаунтах у регистратора и DNS-провайдера, ограничьте доступ к панели управления теми, кому он действительно нужен, и регулярно проверяйте автопродление и актуальность способа оплаты.

Подходит ли ваш домен для Registry Lock?

Сообщите свой домен службе поддержки Atak Domain — и узнайте о доступности услуги, актуальной цене и условиях.

Частые вопросы

Чем Registry Lock отличается от обычной блокировки трансфера?

Блокировку трансфера можно включить и выключить в панели управления, а значит, это сможет сделать и тот, кто получил доступ к вашему аккаунту. Registry Lock устанавливается на уровне реестра, снимается только после дополнительной проверки и защищает не только от трансфера, но и от удаления и изменений.

Можно ли сменить NS-серверы при включённом Registry Lock?

Пока блокировка активна — нет: это запрещает статус serverUpdateProhibited. Для изменения блокировку временно снимают.

Блокируются ли DNS-записи?

Нет. Записи A, MX, TXT и CNAME хранятся у DNS-провайдера, а Registry Lock распространяется только на данные в реестре.

Можно ли продлить домен с Registry Lock?

Стандартные статусы Registry Lock продление не блокируют — для этого существует отдельный EPP-статус. Как правило, продлить домен можно, но правила вашей зоны и провайдера лучше уточнить заранее.

Доступен ли Registry Lock во всех зонах?

Нет. Услугу должен предлагать реестр, а доступ к ней — обеспечивать ваш регистратор. Уточните у провайдера, как обстоят дела с вашей зоной.

Платная ли услуга Registry Lock?

Обычно реестры взимают за неё отдельную плату; итоговая цена и период оплаты зависят от условий реестра и регистратора. Актуальную стоимость для вашего домена подскажет служба поддержки Atak Domain.

Сколько времени занимает разблокировка?

Фиксированного срока нет: он зависит от реестра и провайдера. Поскольку нужны дополнительная проверка и одобрение реестра, не рассчитывайте на несколько минут и начинайте плановые изменения заранее.

Нужен ли Registry Lock, если у меня уже есть DNSSEC и 2FA?

Эти меры закрывают разные риски. Если простой домена обойдётся вашему бизнесу дорого, Registry Lock станет третьим уровнем защиты, который остановит критичные изменения даже при взломе аккаунта.

Источники

• ICANN – EPP Status Codes: What Do They Mean, and Why Should I Know?
• IETF RFC 5731 – EPP Domain Name Mapping (раздел 2.3: значения статусов)
• Verisign – Registry Lock Service
• Switch (.ch/.li registry) – Security: Registry Lock