Чек‑лист, который заряжен на защиту домена

Время от времени мы сталкиваемся со случаями, когда мошенники уводят домены наших клиентов. Происходит это по самым разным причинам: от слабых паролей до искусно подделанных документов. Мы составили чек-лист, следуя которому, вы минимизируете риски потерять контроль над доменом.

Особенно рекомендуем к прочтению тем, чьи крупные проекты напрямую связаны с Интернетом, а значит, и с доменом: владельцам бизнесов, СМИ, важных социальных проектов. Погнали!

1. Регистрируйте домен на юридическое лицо

Конечно, если есть такая возможность. В чём преимущество? Вот несколько реальных и самых распространённых кейсов: 

• Домен .RU зарегистрирован на юридическое лицо. Один из недобросовестных управленцев захотел переоформить домен на себя, как на физическое лицо. При проверке перед операцией мы вправе запросить разрешение о передаче домена от всех собственников либо учредителей компании. 

• Домен зарегистрирован на юридическое лицо в любой доменной зоне, но фактически им управляет системный администратор. В один прекрасный момент он увольняется и не выходит на связь. Компания может обратиться к регистратору, предоставить учредительные документы и восстановить доступы к домену. 

• Домен зарегистрирован на админа как на физлицо, админ пропал вместе с доступами (по злому умыслу или без него). По факту нарушений правил тут нет: ни регистратор, ни даже правоохранительные органы ничего не смогут сделать. 

Убедительно? Идём дальше!

2. Изучите правила доменной зоны 

Правила .RU, .COM и других доменных зон в нюансах могут отличаться, и владельцу домена следует их изучить. Да, это займёт определённое время, но вы поймёте, как всё работает и где «подстелить соломку». 

Например, в международных зонах можно проводить через email большинство операций. Это значит, что если злоумышленники получат доступ к почте, то смогут совершать любые действия с доменом. Это повод усилить защиту email. 

Добавим, что согласно правилам в национальных зонах .RU и .РФ, все критические операции (смена администратора, передача домена и т.д) совершаются только по письменным заявлениям либо через онлайн-форму, если оформлено заявление на безбумажные операции.

3. Вводите корректные данные 

Указывайте только реальные данные при регистрации домена. Те, которые вы можете подтвердить документально. Это важно. Проверяйте данные на опечатки. В случае изменения данных обязательно сообщите регистратору. Если вы поменяли паспорт, не сочтите за труд, сообщите регистратору актуальные данные. 

Да, это может звучать как совет от кэпа, но и такие кейсы, когда указывают фейковые данные, у нас есть.

4. Указывайте актуальный email и телефон или Ещё раз спасибо, Капитан Очевидность

Указывайте актуальный контактный еmail и телефон (желательно мобильный) лица, принимающего решение по домену (не секретаря, который проигнорирует важную информацию!). В зависимости от ситуации это может быть директор компании, админ или ещё кто-то. Если ответственное лицо меняется, важно своевременно сменить контакты.

Не относитесь к этому формально. Например, несколько раз домены крупных компаний были разделегированы (приостановлены) просто потому, что их владельцы не обратили внимание на сообщение регистратора, не отреагировали на звонок и не предоставили документы в рамках верификации. Представьте, какая начинается паника у пользователей и в компании, когда сайт перестаёт работать? СМИ, соцсеть, интернет-магазин — все теряют трафик и деньги из-за простоя. 

5. Защитите email

На электронной почте завязано много критических операций с доменом, поэтому важно максимально её обезопасить. Используйте все возможные методы защиты: сложные пароли, двухфакторную аутентификацию с помощью мобильного приложения, резервные номера телефонов и email. Также не забывайте сохранять резервные коды аутентификации.

6. Подключите дополнительные сервисы 

Крупные регистраторы имеют дополнительные опции и сервисы для защиты доменов. Обратите на них внимание. Например, у нас есть:

— Запрет восстановления пароля по почте. Защитит ЛК в случае взлома вашей почты. 

Настраивается в самом ЛК. Из недостатков: восстанавливать пароль придётся через техническую поддержку, что удлиняет весь процесс. Опция бесплатная.

— Ограничение входа в ЛК по IP-адресам. Если у организации есть постоянный IP-адрес, то можно разрешить вход в ЛК только по определённому IP. Но тут также есть небольшой минус: удалённая работа в ЛК будет невозможна. Опция также бесплатная.

Не игнорируйте платные сервисы по защите. Может, поначалу вам покажется, что это только лишние траты. Но со временем вы поймёте, что это было выгодное и правильное вложение. 

7. Позаботьтесь о персональных данных

В различных доменных зонах могут быть разные требования и правила открытости данных. 

Например, в .RU и .РФ данные физических лиц скрыты по умолчанию, а данные юридических лиц — открыты. 

Проверить статус информации можно с помощью сервиса Whois. Например, если данные открыты, то в выдаче сервис покажет email администратора домена и другие данные. Если у вас так, то советуем воспользоваться услугой «Скрытие персональных данных». 

8. Следите за безопасностью внутри компании

Старайтесь, чтобы доступы к изменению параметров домена были только у вас — владельца компании (особенно если домен зарегистрирован на физлицо). Часто бывает, что фактически доменом управляет программист, системный администратор или другой наёмный сотрудник компании. И если этот человек уволится, то он может забрать с собой все доступы и пароли. Вернуть контроль над вашим веб-адресом будет затруднительно или невозможно. 

9. Берегите документы от посторонних

Не храните копии документов в почте и социальных сетях и никогда не предоставляйте их по сомнительным запросам в каком-либо виде. Если нам, в REG.RU, в рамках разных процедур требуются документы, мы просим загрузить их в форму на нашем сайте или в тикет-систему. 

10. Придумайте сложный пароль

Про это написано много материалов, в том числе в нашем блоге, об этом постоянно говорят эксперты по безопасности, но «QWERTY», «12345» и прочие незамысловатые комбинации из года в год возглавляют рейтинги небезопасных паролей. 

⌘⌘⌘

Не будьте беспечны. Относитесь с вниманием к IT-инфраструктуре вашего дела. Сегодня, чтобы разрушить онлайн-бизнес, достаточно лишь отнять домен. Надеемся, что наш чек-лист поможет избежать подобных неприятных ситуаций.