企业域名管理制度：权限分级/操作审批/到期预警/资产盘点的四步规范
企业域名管理制度的核心不是文档厚度，而是四件事能否落地：权限分级、操作审批、到期预警、资产盘点。四步规范与靠人盯的粗放管理，差别在风险是否可追。
粗放管理与制度化管理，差在三条线上
企业域名出事，多数不是技术难题，而是没人说得清"这个域名归谁管"。粗放做法是：注册邮箱挂在离职员工的私人邮箱，续费看谁想起来，转移密码存在聊天记录里。制度化做法把三条线收紧——账号归公司、变更留痕、到期有人负责。
对比之下，可以用三个问题自检：
- 公司名下到底有多少个域名，能当场列出来吗？
- 谁能改 NS 和解析，改完有记录吗？
- 最近一个到期日是哪天，谁盯？
有一个答不上来，说明四步规范还没建立。
权限分级：共用账号还是角色分权
共用账号的隐患是，有人误删解析，你连操作者是谁都查不到。分级做法按最小权限拆三层：
- 持有者：公司主体账号，掌握所有权、转移与续费，只留一两人，绑公司邮箱并开双因素认证。
- 运维：只能改解析、加子域名，不能转移、不能改注册人。阿里云用 RAM 子账号加授权策略，腾讯云用 CAM，AWS Route 53 用 IAM policy，GoDaddy 可用 Delegate Access 单独授权。
- 只读：财务、法务、品牌部门查询用，不给写权限。
阿里云的落地路径是：控制台 → 访问控制 RAM → 用户 → 创建用户，再自定义策略，把 TransferOut、DeleteDomain 这类高危动作只留给持有者。可授权的动作名称与配额以平台页面为准。同时在注册商侧开启转移锁，也就是域名状态里的 clientTransferProhibited。
操作审批：事后追认还是事前留痕
粗放管理先改再说，出事补记录；制度化要求申请、审批、执行、回滚四栏对得上。不必上 OA，一张共享表单就能跑，字段包含域名、变更类型、申请人、审批人、执行时间、回滚方案。
审批层级随变更类型走：
- 改解析、加子域名：运维主管审批；
- 改 NS、换 DNS 服务商：技术负责人加品牌负责人双签，因为 NS 一换，整站解析随之生效；
- 转移注册商、改注册人：法人或授权人审批，并提前导出 whois 快照留档。
执行时固定留证：变更前后各跑一次 dig example.com NS +short 与 dig example.com A +short，把输出贴进工单。出问题能直接对比，不用靠回忆。
到期预警与资产盘点：Excel 台账还是系统台账
Excel 台账最大的问题是过期。有人手动续费没回填，预警就等于失效。系统化的关键是把到期日变成可查询字段：
- 用注册商自带的批量续费与提醒：阿里云、腾讯云、Namecheap 都支持自动续费和邮件提醒，把阈值设到到期前 60–90 天，收件人填公司邮箱组而不是个人邮箱。
- 自建台账做交叉核对：每季度用 WHOIS 批量查一遍注册商、到期日、DNS 服务器、注册人邮箱，和内部台账比对，对不上的就是风险点。WHOIS 因隐私保护可能不显示完整到期日，这类情况以注册商控制台为准。
盘点不只看数量，还要看四项：已过期却仍在解析的域名、注册在前员工个人名下的域名、不再使用却还在自动续费的域名、与主品牌高度相似却被他人持有的域名。最后一项往往决定要不要走争议或回购流程。
两条路径怎么选
判断标准是域名对业务的可替代性：
- 域名十个以内、只有一个主站的小团队，先做两件事：账号收归公司邮箱，开启自动续费与转移锁。
- 域名到几十上百、有多品牌或多地区站点的企业，四步规范基本是刚需，权限分级和资产盘点尤其重要，因为一个人的失误会同时影响多个站点。
- 集团或上市公司，还要把域名写进 IT 资产台账与采购流程，注册和续费走统一供应商，避免各部门各自开户。
落地顺序建议：先收账号，再分权限，再补审批，最后盘点。反过来做，常因为找不到责任人而卡住。