域名账户安全的6个必做项

域名被盗的代价远超想象：解析被改、邮箱被劫持、品牌被仿冒，一切都可以从注册商账户失守开始。真实的反面教材并不远——丹麦的一套国家身份登记系统，就因为一家IT供应商的企业账户密码是123456，被黑客轻松访问，880万人信息泄露。国家级系统都能栽在弱密码上，你的域名账户做了几层防护？六个必做项，照着勾——全部做完不超过半小时，却覆盖了绝大多数真实攻击的入口。

必做一：独立密码，绝不复用注册商账户是域名管理的总入口，密码必须独立且难以猜测，与邮箱、社交账号、其他网站一律不共用。泄露数据库里躺着的就是那些「一站注册、处处使用」的密码。记不住就用可信的密码管理器，比记在备忘录或贴在显示器上安全得多。常用密码榜单——123456、password、qwerty——凡是你能在网上搜到的，都不配保护你的资产。密码的最低标准是长度优先于复杂度：12位以上的随机组合，比8位的「P@ssw0rd」安全得多。

必做二：开启多因素验证密码之外加第二道锁。优先用验证器App或硬件安全密钥；只能用短信验证的，重点保护好绑定的手机号——补卡劫持和短信转发是真实的攻击路径。任何情况下，验证码不告诉任何人，包括自称客服的来电。硬件密钥可靠性最高——不可复制、不受钓鱼页欺骗，预算允许的话给核心域名账户配一把，值得的一次性投入。

必做三：加固找回渠道账户安全最薄弱的环节常常是「忘记密码」。注册邮箱本身要有独立强密码加二次验证；绑定手机长期不用了及时更新；安全问题的答案不写真实信息——母亲的娘家姓这种答案，社交工程一问就到手。备用邮箱同样纳入防护：它往往是找回链条的最后一环，却常是最弱的一环。

必做四：开启Transfer锁多数注册商提供域名转移锁（Transfer Lock），开启后域名无法被转出到其他注册商，除非你亲自解锁。盗号者的常用路径就是把域名快速转走——这把锁直接堵死最快的赃物出口。任何转移操作注册商都会发确认邮件——看到自己没做过的操作邮件，第一时间联系客服拦截。

必做五：警惕钓鱼与山寨域名盯紧浏览器的地址栏：只登录https开头的官方地址；输入密码前看清域名拼写——wobble和w0oble这种一字之差的山寨站，是钓鱼的老手艺。收到「账户异常」「域名到期」的邮件，不点邮件里的链接，自己手动输入官网地址核实。电话诈骗的话术也在升级：自称客服、准确报出你的域名信息、催促马上处理——信息是真的，催促是假的，官方客服不会索要密码和验证码。

必做六：定期盘点与监控每季度做一次资产盘点：账户下有哪些域名、解析指向哪里、授权了谁访问。发现异常解析或未知操作立即改密并联系注册商。域名是数字资产里最容易被忽视、又最难追回的一类——被盗后通过仲裁要回来的周期以月计，防范永远比追讨便宜。团队协作用子账号授最小权限，不共享主账号密码；人员变动的离场清单里，域名账户排在第一位。盘点时顺手核对解析记录——陌生解析是账户失守的最早信号。