Blokada transferu domeny. Jak ją włączyć i chronić adres przed przejęciem?

Adres internetowy firmy jest tak naprawdę wpisem w rejestrze, a obsługuje go pośrednik nazywany rejestratorem. Kto przeniesie ten wpis do innego rejestratora i na inne konto, ten decyduje o tym, dokąd prowadzi strona i gdzie trafia poczta firmowa. Blokada transferu domeny jest prostym zabezpieczeniem, które takie przeniesienie zatrzymuje, zanim do niego dojdzie.

Ten tekst jest instrukcją dla właścicieli firm, którzy sami opłacają domenę albo powierzyli ją wykonawcy strony i chcą mieć pewność, że adres jest bezpieczny. Nie wymaga wiedzy technicznej. Wystarczy dostęp do panelu, w którym domena jest opłacana, oraz do skrzynki e-mail podanej przy rejestracji.

Po lekturze czytelnik będzie umiał sprawdzić, czy jego domena jest zablokowana przed transferem, włączyć blokadę w panelu rejestratora, zamówić mocniejszą blokadę w rejestrze, rozpoznać próbę przejęcia adresu i zareagować na nią we właściwej kolejności. Osobno opisuję domeny z końcówką .pl, ponieważ ich ochrona działa inaczej niż ochrona domen .com czy .eu.

Czym jest blokada transferu domeny i przed czym chroni?

Transfer domeny to przeniesienie jej obsługi od jednego rejestratora do drugiego. Sam w sobie jest zwykłą, legalną czynnością: firma zmienia dostawcę, bo woli inny panel albo inne warunki. Kłopot zaczyna się wtedy, gdy transfer zleca ktoś, kto nie ma do tego prawa, a domena po przeniesieniu trafia na cudze konto.

Blokada transferu to ustawienie, przy którym rejestr odrzuca każdą prośbę o przeniesienie domeny do innego rejestratora. Dopóki blokada jest włączona, nie pomoże nawet poprawny kod autoryzacyjny. Żeby domenę przenieść, trzeba najpierw zalogować się do panelu obecnego rejestratora i świadomie blokadę zdjąć.

W dokumentacji i w panelach to samo zabezpieczenie występuje pod kilkoma nazwami: blokada transferu, blokada domeny, ochrona przed transferem, blokada rejestratora, po angielsku Registrar Lock albo Transfer Lock. Technicznie chodzi o status domeny o nazwie clientTransferProhibited. Organizacja ICANN, która ustala zasady dla domen ogólnych, opisuje go jako polecenie dla rejestru, aby odrzucał prośby o przeniesienie domeny od obecnego rejestratora do innego.

Czego blokada transferu nie załatwia?

Blokada transferu zatrzymuje jedną konkretną czynność: przeniesienie domeny do innego rejestratora. Nie chroni przed zmianą serwerów nazw, przed zmianą danych abonenta ani przed usunięciem domeny, jeśli ktoś dostanie się do panelu. Nie przedłuża też domeny, więc nieopłacony adres wygaśnie mimo włączonej blokady.

Blokada nie pomoże również wtedy, gdy domena od początku jest zarejestrowana na kogoś innego. Jeśli abonentem jest wykonawca strony, to on ma prawo zdjąć blokadę i przenieść adres. Taką sytuację trzeba uporządkować osobno, a sposób postępowania opisałem w tekście o tym, jak przepisać na firmę domenę zarejestrowaną na wykonawcę strony.

W jaki sposób dochodzi do przejęcia domeny?

Żeby dobrze dobrać zabezpieczenia, trzeba wiedzieć, którędy domena może wypłynąć. Dróg jest kilka i żadna nie wymaga łamania zabezpieczeń rejestru. Prawie zawsze zaczyna się od dostępu do konta albo do skrzynki pocztowej.

Pierwsza droga to przejęte konto w panelu rejestratora. Osoba, która zna hasło, zdejmuje blokadę, pobiera kod autoryzacyjny i zleca transfer u innego rejestratora. Jeżeli na koncie nie ma weryfikacji dwuetapowej, wystarcza do tego samo hasło, często to samo, którego właściciel używa w kilku innych serwisach.

Druga droga to przejęta skrzynka e-mail abonenta. Na ten adres rejestrator wysyła link do zmiany hasła, kod autoryzacyjny i prośbę o potwierdzenie transferu. Kto czyta tę pocztę, ten może przejść całą procedurę bez znajomości hasła do panelu. Dlatego bezpieczeństwo domeny zależy od bezpieczeństwa skrzynki w takim samym stopniu jak od blokady.

Trzecia droga to wyłudzenie. Na adres firmy przychodzi wiadomość udająca korespondencję od rejestratora: wezwanie do pilnego przedłużenia domeny, do potwierdzenia danych albo do kliknięcia linku, który ma zapobiec wyłączeniu adresu. Link prowadzi do podrobionej strony logowania albo do potwierdzenia transferu, którego właściciel nigdy nie zlecał.

Czwarta droga jest najmniej widowiskowa: spór z byłym wykonawcą, wspólnikiem albo pracownikiem, który zakładał konto i zna hasło. Tu blokada transferu pomaga tylko wtedy, gdy panel i skrzynka są już pod wyłączną kontrolą firmy.

Jak sprawdzić, czy domena ma włączoną blokadę transferu?

Stan blokady da się sprawdzić na dwa sposoby: w panelu rejestratora oraz w publicznej bazie danych o domenach. Polecam wykonać obie czynności, ponieważ panel pokazuje ustawienie, a baza pokazuje to, co rzeczywiście zapisano w rejestrze.

1. Należy ustalić, u którego rejestratora domena jest obsługiwana. Najprościej odszukać ostatnią fakturę za przedłużenie domeny albo wiadomość z przypomnieniem o płatności.
2. Po zalogowaniu do panelu tego rejestratora trzeba otworzyć listę domen i wejść w szczegóły właściwego adresu.
3. W szczegółach domeny należy odszukać część dotyczącą bezpieczeństwa lub przenoszenia. Blokada ma tam postać przełącznika albo ikony kłódki z opisem takim jak „Ochrona przed transferem”, „Blokada domeny” lub „Blokada rejestratora”.
4. Następnie trzeba otworzyć publiczną wyszukiwarkę danych o domenach. Dla adresów z końcówką .pl jest to wyszukiwarka na stronie rejestru dns.pl, w części „WHOIS i RDAP”. Dla domen ogólnych, takich jak .com, służy do tego narzędzie ICANN Lookup.
5. W wyniku wyszukiwania należy odszukać wiersze opisane jako „Domain Status” lub status domeny i porównać je z opisem statusów poniżej.

W publicznej bazie widać także nazwę rejestratora oraz, zależnie od rodzaju abonenta, część jego danych. O tym, jakie informacje są jawne, piszę w tekście o danych abonenta domeny w bazie WHOIS. Przy okazji sprawdzania blokady radzę sprawdzić, czy jako abonent figuruje firma, a nie osoba trzecia.

Co oznaczają statusy widoczne przy domenie?

Statusy zaczynające się od słowa „client” ustawia rejestrator, zwykle na życzenie abonenta z poziomu panelu. Statusy zaczynające się od słowa „server” ustawia rejestr i zdjąć je może tylko rejestr, na wniosek rejestratora. Ta różnica ma duże znaczenie dla bezpieczeństwa, o czym niżej.

Status clientTransferProhibited oznacza włączoną blokadę transferu u rejestratora. Status serverTransferProhibited oznacza blokadę transferu założoną w rejestrze. Statusy clientUpdateProhibited i clientDeleteProhibited blokują odpowiednio zmiany w domenie i jej usunięcie. Sam status ok informuje, że na domenie nie ma żadnych ograniczeń ani oczekujących operacji, czyli że blokada transferu nie jest włączona.

Szczególną uwagę trzeba zwrócić na status pendingTransfer. Oznacza on, że rejestr otrzymał prośbę o przeniesienie domeny do nowego rejestratora i właśnie ją przetwarza. Jeśli firma takiego transferu nie zlecała, należy działać natychmiast, zgodnie z opisem w dalszej części tekstu.

Uwaga dotycząca adresów z końcówką .pl: polski rejestr działa według własnych zasad i nie każdy z opisanych statusów pojawi się w jego wyszukiwarce w takiej samej postaci. Jeżeli wynik z bazy nie daje jasnej odpowiedzi, rozstrzygające jest potwierdzenie od rejestratora, najlepiej pisemne, przez formularz zgłoszeń w panelu.

Jak włączyć blokadę transferu w panelu rejestratora?

U większości rejestratorów blokada jest włączona domyślnie od chwili rejestracji domeny. Wyłączona bywa po niedokończonym transferze, po zmianie dostawcy albo wtedy, gdy ktoś zdjął ją kiedyś „na chwilę” i o tym zapomniał. Włączenie jej z powrotem zajmuje kilka minut i w podstawowej postaci zwykle nie wiąże się z dodatkową opłatą, choć cennik każdego rejestratora trzeba sprawdzić osobno.

Układ paneli różni się między firmami, ale kolejność czynności jest wszędzie podobna:

1. Logowanie do panelu klienta na konto, na którym domena jest opłacana. Powinno to być konto firmy, a nie prywatne konto pracownika lub wykonawcy.
2. Otwarcie listy domen i przejście do ustawień wybranego adresu.
3. Odszukanie części poświęconej bezpieczeństwu, przenoszeniu lub transferowi domeny.
4. Ustawienie przełącznika blokady w pozycji włączonej. Jeżeli panel prosi o potwierdzenie hasłem, kodem z wiadomości SMS lub z aplikacji, należy je podać.
5. Odczekanie, aż panel pokaże nowy stan. Zmiana nie zawsze jest natychmiastowa, bo rejestrator musi przekazać ją do rejestru.
6. Ponowne sprawdzenie statusu w publicznej bazie i zapisanie zrzutu ekranu z datą wykonania jako potwierdzenia.

Jak to wygląda w panelu OVHcloud?

Dokumentacja OVHcloud podaje ścieżkę: „Web Cloud”, następnie „Domeny” i wybór nazwy domeny. W zakładce „Informacje ogólne”, w części „Bezpieczeństwo”, znajduje się suwak „Ochrona przed transferem”. Domyślnie ma on stan „Aktywne”. Jeżeli pokazuje „Wyłączone”, wystarczy go kliknąć i potwierdzić zmianę w oknie, które się pojawi.

Ten rejestrator stosuje dodatkowe zabezpieczenie, które uważam za bardzo rozsądne: po wyłączeniu ochrony domena pozostaje odblokowana przez siedem dni, a potem ochrona włącza się ponownie automatycznie. Dokumentacja zaznacza też, że jeśli suwaka „Ochrona przed transferem” w ogóle nie widać, oznacza to, że dane rozszerzenie domeny nie wymaga kodu transferu, więc ta ochrona nie jest dla niego dostępna w panelu.

Jak to wygląda w panelu GoDaddy?

Według pomocy GoDaddy należy zalogować się do „Portfolio domen”, wybrać jedną domenę, aby otworzyć stronę „Ustawienia domeny”, i odszukać sekcję „Przeniesienie”. Przełącznik w pozycji „Wł.” blokuje domenę, a w pozycji „Wył.” ją odblokowuje. Zmiana zapisuje się sama, a jej wprowadzenie może potrwać do 90 minut.

Jeżeli domena ma wykupioną dodatkową ochronę o nazwie Domain Protection, panel przed zmianą poprosi o potwierdzenie tożsamości kodem z weryfikacji dwuetapowej albo hasłem jednorazowym wysłanym na adres e-mail konta. To dobry przykład tego, jak blokada i ochrona konta wzajemnie się uzupełniają.

A jeśli rejestrator jest inny?

W panelach innych firm nazwy będą inne, ale wystarczy szukać słów „blokada”, „transfer”, „przeniesienie”, „kłódka” albo angielskich „Registrar Lock” i „Transfer Lock”. Jeżeli w panelu nie ma żadnego takiego ustawienia, nie należy zgadywać. Najpewniejsze jest krótkie zgłoszenie do obsługi klienta, na przykład o treści: Proszę o potwierdzenie, czy domena [nazwa domeny] ma włączoną blokadę transferu do innego rejestratora, a jeśli nie, proszę o jej włączenie lub o wskazanie, gdzie znajduje się to ustawienie w panelu.

Kto woli nie zajmować się tym samodzielnie, może zadzwonić pod numer 533 525 168 albo napisać na info@lukaszwudyka.pl, a ja przejmę sprawę. Sprawdzę stan wszystkich domen firmy, włączę blokady tam, gdzie ich brakuje, i przekażę krótkie zestawienie tego, co zostało zabezpieczone.

Jak chronić przed transferem domenę z końcówką .pl?

Domeny .pl obsługuje krajowy rejestr prowadzony przez NASK i mają one własną procedurę zmiany rejestratora. Z tego powodu przełącznik blokady transferu w panelu nie zawsze jest dla nich dostępny. Zależy to od rejestratora, więc jego brak przy adresie .pl nie musi oznaczać błędu ani zaniedbania.

Podstawą ochrony jest tu kod authinfo, czyli hasło do przeniesienia domeny. Zgodnie z opisem na stronie rejestru abonent otrzymuje ten kod bezpośrednio od swojego rejestratora, w trybie przyjętym przez tego rejestratora. Bez kodu nowy rejestrator nie rozpocznie transferu. Rejestr podaje też, że transfer można rozpocząć najwcześniej po upływie 5 dni od rejestracji domeny lub od poprzedniego transferu.

Drugim zabezpieczeniem jest potwierdzenie przez abonenta. Rejestr wysyła na adres e-mail abonenta wiadomość z linkiem, a procedura transferu kończy się dopiero po jego kliknięciu. Wniosek z tego jest prosty: kodu authinfo nie wolno przekazywać nikomu bez potrzeby, a linku w wiadomości o transferze nie należy klikać, jeśli firma transferu nie zlecała. Całą procedurę przenoszenia opisałem osobno w tekście o tym, jak uzyskać kod AuthInfo i przenieść domenę do innego rejestratora.

Czym jest usługa .pl Registry Lock?

Dla firm, którym zależy na najmocniejszej ochronie, rejestr przygotował usługę .pl Registry Lock. Polega ona na zablokowaniu w głównym rejestrze domeny .pl aktualnych danych związanych z domeną. Blokady nie zakłada się w panelu rejestratora, tylko bezpośrednio w rejestrze, więc samo przejęcie hasła do panelu nie wystarczy, aby cokolwiek zmienić.

Według opisu na stronie rejestru usługa blokuje usunięcie opłaconej domeny, zmianę danych abonenta, zmianę abonenta, transfer obsługi do innego rejestratora oraz zmianę delegacji, czyli serwerów nazw. To znacznie szerszy zakres niż zwykła blokada transferu. Chroni także przed sytuacją, w której ktoś nie przenosi domeny, tylko niepostrzeżenie kieruje ją na obcy serwer.

Blokada jest zakładana bezterminowo. Jej włączenie i wyłączenie może zlecić rejestrowi wyłącznie rejestrator domeny, na polecenie abonenta, a zdjęcie blokady odbywa się w wieloetapowej procedurze uwierzytelniającej. Powiadomienia o założeniu i zdjęciu blokady trafiają na adres e-mail abonenta zapisany w rejestrze. Usługa nie zmienia praw ani obowiązków abonenta: domenę nadal trzeba opłacać, a dane utrzymywać w stanie aktualnym.

Jak zamówić .pl Registry Lock?

1. Na stronie rejestru dns.pl należy otworzyć listę rejestratorów i sprawdzić, czy obecny rejestrator jest oznaczony znaczkiem „RL”. Tylko tacy rejestratorzy pośredniczą w tej usłudze.
2. Jeżeli rejestrator ma to oznaczenie, trzeba odszukać usługę w jego ofercie lub w panelu albo zapytać o nią obsługę klienta. Warunki i cenę ustala rejestrator.
3. Przed zamówieniem należy doprowadzić domenę do stanu docelowego: właściwy abonent, aktualny adres e-mail, właściwe serwery nazw. Po założeniu blokady każda z tych zmian będzie wymagała jej zdjęcia.
4. Po złożeniu zamówienia trzeba przejść procedurę potwierdzenia, którą wskaże rejestrator, i zaczekać na powiadomienie z rejestru o założeniu blokady.
5. Na koniec należy zapisać w dokumentach firmy, kto jest uprawniony do zlecenia zdjęcia blokady i jak wygląda ta procedura u danego rejestratora.

Jeżeli obecny rejestrator nie ma tej usługi, rejestr wskazuje jedno rozwiązanie: przeniesienie domeny do rejestratora, który ją oferuje. Trzeba też znać ograniczenie opisane przez rejestr. Gdy domena korzysta z serwerów nazw utworzonych w innej domenie, blokada nie obejmuje wszystkich elementów, bo usunięcie takiego serwera lub zmiana jego adresu IP pozostają możliwe. Bezpieczeństwo domeny, w której działają serwery nazw, trzeba więc ocenić osobno.

Co poza blokadą trzeba zabezpieczyć, żeby adres był naprawdę bezpieczny?

Blokada transferu w panelu jest tak mocna, jak hasło do tego panelu. Osoba, która się zaloguje, zdejmie ją jednym kliknięciem. Dlatego blokadę traktuję jako jedną z kilku warstw, a nie jako zamknięcie tematu.

• Konto w panelu rejestratora. Długie hasło używane tylko w tym jednym miejscu oraz weryfikacja dwuetapowa, jeśli panel ją udostępnia. Konto powinno być założone na firmę i jej adres e-mail.
• Skrzynka e-mail abonenta. Osobne hasło i weryfikacja dwuetapowa. Adres nie powinien znajdować się w chronionej domenie na serwerze, nad którym firma nie ma kontroli, bo utrata domeny odcina wtedy także pocztę potrzebną do jej odzyskania.
• Dane abonenta. Jako abonent powinna figurować firma z aktualną nazwą, adresem i numerem identyfikacyjnym. W sporze to te dane przesądzają o tym, kto ma prawo do domeny.
• Termin opłacenia. Blokada nie chroni przed wygaśnięciem. Pomaga automatyczne odnawianie domeny i aktualna karta płatnicza na koncie.
• Lista osób z dostępem. Trzeba wiedzieć, kto zna hasło do panelu i do skrzynki. Po zakończeniu współpracy z pracownikiem lub wykonawcą hasła należy zmienić tego samego dnia.
• Powiadomienia od rejestratora. Wiadomości o logowaniu, zmianie danych i transferze powinny trafiać na adres czytany codziennie, a nie na skrzynkę, do której nikt nie zagląda.

Do tej listy dopisałbym jeszcze ostrożność wobec korespondencji. Wiadomości z wezwaniem do pilnego działania w sprawie domeny należy sprawdzać w panelu, do którego wchodzi się z własnej zakładki w przeglądarce, a nie przez link z wiadomości. Prawdziwy rejestrator pokaże w panelu każdą sprawę, o której pisze.

Osobną warstwą jest zabezpieczenie strefy DNS. Blokada transferu chroni własność domeny, a DNSSEC chroni odpowiedzi serwerów nazw przed podmianą. To dwa różne zagadnienia i jedno nie zastępuje drugiego.

Po czym poznać, że blokada działa, i co zrobić, gdy nie da się jej włączyć?

Skuteczność blokady potwierdzają trzy rzeczy. Panel pokazuje przełącznik w pozycji włączonej. Publiczna baza pokazuje status zakazujący transferu. Rejestrator, zapytany o kod autoryzacyjny, informuje, że przed jego użyciem trzeba zdjąć blokadę. Nie radzę testować blokady przez zlecanie próbnego transferu u innego rejestratora, bo taka próba bywa płatna i niepotrzebnie komplikuje historię domeny.

Jeżeli po włączeniu blokady status w publicznej bazie się nie zmienia, zwykle wystarczy poczekać. Rejestrator przekazuje zmianę do rejestru z opóźnieniem, a wyszukiwarki danych o domenach pokazują czasem zapamiętany wcześniej wynik. Gdy stan nie zmieni się do następnego dnia, należy wysłać zgłoszenie do rejestratora.

Przełącznika nie ma w panelu

Możliwe są trzy przyczyny. Rozszerzenie domeny nie korzysta z blokady u rejestratora, co dotyczy części domen krajowych. Rejestrator włącza blokadę tylko na wniosek do obsługi klienta. Albo konto, na które zalogował się użytkownik, nie ma uprawnień do zarządzania domeną, bo jest na przykład kontem technicznym, a nie kontem administratora.

W każdym z tych przypadków rozstrzyga pytanie zadane rejestratorowi. Jeśli okaże się, że dla danej domeny blokady nie ma wcale, cała ochrona opiera się na koncie, skrzynce i kodzie autoryzacyjnym, więc te trzy elementy trzeba zabezpieczyć szczególnie starannie. Przy domenie .pl dochodzi możliwość zamówienia blokady w rejestrze.

Panel odmawia zmiany

Komunikat o braku uprawnień oznacza najczęściej, że zalogowana osoba nie jest kontaktem administracyjnym domeny. Trzeba wtedy ustalić, kto nim jest, i zalogować się na właściwe konto albo zmienić przypisanie kontaktów. Jeżeli właściwe konto należy do byłego wykonawcy, sprawę należy zacząć od uporządkowania danych abonenta, a dopiero potem wracać do blokady.

Zdarza się też, że domena ma status ustawiony przez rejestr, którego firma nie zamawiała. ICANN zaleca w takiej sytuacji niezwłoczny kontakt z rejestratorem, ponieważ status założony po stronie rejestru może wskazywać na problem z domeną, na przykład na toczący się spór albo zaległą płatność.

Co zrobić, gdy ktoś rozpoczął transfer domeny bez zgody firmy?

Sygnałem ostrzegawczym jest wiadomość z prośbą o potwierdzenie transferu, którego nikt w firmie nie zlecał, powiadomienie o wydaniu kodu autoryzacyjnego, informacja o zdjęciu blokady albo status oczekującego transferu w publicznej bazie. Liczy się czas, ponieważ część rejestratorów uznaje brak reakcji abonenta za zgodę. Dokumentacja OVHcloud podaje na przykład, że transfer wychodzący, na który nikt nie odpowie, jest zwykle finalizowany automatycznie po około 5 dniach.

1. Nie należy klikać żadnego linku z otrzymanej wiadomości. Do panelu rejestratora trzeba wejść, wpisując adres ręcznie w przeglądarce.
2. W panelu należy odrzucić oczekujący transfer, jeśli jest tam taka możliwość, i od razu włączyć blokadę transferu.
3. Równocześnie trzeba zmienić hasło do panelu oraz do skrzynki e-mail abonenta i włączyć weryfikację dwuetapową w obu miejscach.
4. Do rejestratora należy wysłać zgłoszenie, najlepiej przez formularz w panelu i telefonicznie, o treści: Nie zlecałem transferu domeny [nazwa domeny]. Proszę o natychmiastowe odrzucenie transferu, włączenie blokady transferu i informację, kto oraz kiedy pobrał kod autoryzacyjny.
5. Trzeba zabezpieczyć dowody: otrzymane wiadomości wraz z nagłówkami, zrzuty ekranu z panelu i z publicznej bazy, faktury za domenę oraz dokumenty potwierdzające, że abonentem jest firma.
6. W panelu należy przejrzeć dane abonenta, adresy kontaktowe i serwery nazw. Każdą zmianę, której firma nie wprowadzała, trzeba cofnąć i zgłosić rejestratorowi.

Przy domenie .pl kluczowe jest to, żeby nikt z firmy nie kliknął linku potwierdzającego w wiadomości od rejestru, bo właśnie to kliknięcie kończy procedurę. Jeżeli wiadomość dotarła, a transferu nikt nie zlecał, oznacza to, że ktoś obcy zna kod authinfo. Trzeba poprosić rejestratora o jego unieważnienie i wydanie nowego dopiero wtedy, gdy będzie rzeczywiście potrzebny.

Domena została już przeniesiona

Gdy transfer się zakończył, należy od razu powiadomić dotychczasowego rejestratora i poprosić go o wszczęcie procedury wyjaśniającej z nowym rejestratorem. Rejestratorzy mają między sobą tryb postępowania w sprawach transferów spornych, ale abonent nie uruchomi go sam. Pomagają dowody na to, kto opłacał domenę i kto figurował jako abonent.

Jeżeli doszło do włamania na konto lub skrzynkę, uzasadnione jest zawiadomienie policji lub prokuratury, a przy sporze o prawo do domeny rozmowa z prawnikiem. Spory o domeny .pl mogą rozstrzygać sądy polubowne wskazane w zasadach rejestru albo sąd powszechny. Nie da się z góry przewidzieć wyniku ani czasu trwania takiej sprawy, dlatego tak wiele zależy od zabezpieczeń ustawionych wcześniej.

Kiedy i jak bezpiecznie zdjąć blokadę transferu?

Blokadę zdejmuje się tylko w jednym celu: gdy firma sama chce przenieść domenę do innego rejestratora. Nie ma potrzeby jej wyłączać przy zmianie serwerów nazw, edycji rekordów, przedłużaniu domeny ani przy zmianie hostingu. Jeśli ktoś prosi o zdjęcie blokady „do konfiguracji strony”, trzeba dopytać, do czego dokładnie jest mu to potrzebne.

1. Najpierw należy sprawdzić, czy domenę w ogóle można przenieść. Według dokumentacji rejestratorów domen ogólnych transfer nie jest możliwy w ciągu 60 dni od rejestracji lub od poprzedniego transferu, a zmiana danych abonenta może uruchomić kolejną blokadę na 60 dni.
2. Domena powinna być opłacona z zapasem, tak aby termin wygaśnięcia nie przypadł w trakcie przenoszenia.
3. Dopiero mając przygotowane zamówienie u nowego rejestratora, należy wyłączyć blokadę w panelu i pobrać kod autoryzacyjny.
4. Kod trzeba skopiować i wkleić, a nie przepisywać, i podać wyłącznie w formularzu nowego rejestratora. Nie należy przesyłać go zwykłą wiadomością e-mail osobom trzecim.
5. Po zakończeniu transferu należy zalogować się do panelu nowego rejestratora i sprawdzić, czy blokada jest tam włączona. Jeżeli nie, trzeba włączyć ją od razu.
6. Jeśli firma zrezygnowała z transferu, blokadę u dotychczasowego rejestratora należy włączyć ponownie tego samego dnia.

Przy domenie objętej blokadą w rejestrze kolejność jest inna. Najpierw rejestrator, na zlecenie abonenta, zdejmuje blokadę w rejestrze, a dopiero potem możliwe są zmiana danych, zmiana serwerów nazw lub transfer. Trzeba na to przewidzieć dodatkowy czas, więc pilnych zmian nie należy planować na ostatnią chwilę.

Jakich błędów unikać przy zabezpieczaniu domeny?

Do utraty domeny rzadko prowadzi wyrafinowany atak. Znacznie częściej zawodzą zwykłe zaniedbania, które da się usunąć w jedno popołudnie.

• Zdjęcie blokady „na chwilę” i pozostawienie domeny odblokowanej na miesiące.
• Jedno hasło do panelu rejestratora, do poczty i do kilku innych serwisów.
• Konto u rejestratora założone na prywatny adres pracownika, który już w firmie nie pracuje.
• Adres e-mail abonenta, który dawno nie istnieje, przez co powiadomienia o transferze nie docierają do nikogo.
• Przekazanie kodu autoryzacyjnego wykonawcy „na zapas”, bez planowanego transferu.
• Klikanie linków w wiadomościach o domenie bez sprawdzenia sprawy w panelu.
• Przekonanie, że blokada transferu chroni przed wszystkim, w tym przed wygaśnięciem i zmianą serwerów nazw.

Radzę też raz na kilka miesięcy poświęcić kwadrans na przegląd: status domeny w publicznej bazie, dane abonenta, termin opłacenia, lista osób z dostępem. Firma, która ma kilka adresów, powinna prowadzić ich prosty spis z nazwą rejestratora i stanem blokady przy każdym.

Najczęstsze pytania

Czy włączenie blokady transferu wpływa na działanie strony i poczty?

Nie. Blokada dotyczy wyłącznie przeniesienia domeny do innego rejestratora. Strona, poczta, rekordy DNS i certyfikat działają tak samo jak przed jej włączeniem, a odwiedzający i wyszukiwarka niczego nie zauważą.

Czy przy włączonej blokadzie da się zmienić hosting albo serwery nazw?

Tak, zwykła blokada transferu u rejestratora nie przeszkadza w zmianie serwerów nazw ani rekordów. Inaczej jest przy blokadzie w rejestrze, takiej jak .pl Registry Lock, która obejmuje także zmianę delegacji. Wtedy przed zmianą serwerów nazw trzeba zlecić rejestratorowi zdjęcie blokady.

Czym różni się blokada u rejestratora od blokady w rejestrze?

Blokadę u rejestratora włącza i wyłącza się w panelu klienta, więc chroni ona tak długo, jak długo bezpieczne jest konto. Blokadę w rejestrze zakłada i zdejmuje rejestr na wniosek rejestratora, po dodatkowym uwierzytelnieniu. Jest mniej wygodna przy zmianach, ale samo przejęcie hasła do panelu nie wystarcza, żeby ją obejść.

Czy blokada chroni przed wygaśnięciem domeny?

Nie. Nieopłacona domena wygasa niezależnie od blokady, a po upływie okresów przewidzianych przez rejestr może ją zarejestrować ktoś inny. Przed tym chroni pilnowanie terminu i automatyczne odnawianie, a nie blokada transferu.

Ile trwa włączenie blokady i czy trzeba za nią płacić?

Samo kliknięcie zajmuje chwilę, a zmiana w rejestrze jest widoczna zwykle po kilku minutach, choć część rejestratorów zastrzega dłuższy czas. Podstawowa blokada transferu jest u wielu rejestratorów częścią obsługi domeny. Blokada w rejestrze jest osobną, płatną usługą, a jej cenę ustala rejestrator.

Rejestrator odmawia wydania kodu authinfo. Co wtedy?

Najpierw trzeba sprawdzić, czy spełnione są warunki rejestratora, na przykład czy wniosek złożył abonent i czy domena jest opłacona. Jeżeli mimo spełnienia warunków rejestrator domeny .pl nie wydaje kodu, rejestr przewiduje możliwość złożenia skargi do NASK. Wskazówki w tej sprawie znajdują się na stronie rejestru w części o prawach abonenta.

Czy blokadę trzeba włączać ponownie po przeniesieniu domeny?

Trzeba to sprawdzić. Blokada jest ustawieniem u konkretnego rejestratora, więc po transferze o jej stanie decyduje nowy rejestrator. Wielu włącza ją domyślnie, ale pewność daje dopiero zajrzenie do panelu i do publicznej bazy.

Czy do ochrony domeny wystarczy sama blokada transferu?

Nie wystarczy. Blokada zatrzymuje przeniesienie domeny, ale nie zastąpi mocnego hasła, weryfikacji dwuetapowej, aktualnych danych abonenta i opłaconego terminu. Dopiero te elementy razem dają rozsądny poziom bezpieczeństwa adresu firmy.

Brak czasu albo ochoty, żeby zająć się tym samodzielnie?

Rozumiem, że mało kto ma ochotę przeglądać panele rejestratorów i czytać statusy w bazach domen, zwłaszcza gdy firma ma kilka adresów u różnych dostawców. Chętnie zajmę się tym w całości: ustalę, gdzie i na kogo zarejestrowane są domeny, sprawdzę stan blokad, włączę je tam, gdzie ich brakuje, pomogę zamówić blokadę w rejestrze, zabezpieczę konta i przekażę prosty spis z informacją, co zostało zrobione. Gdy ktoś próbuje właśnie przejąć adres, pomogę przejść przez zgłoszenia do rejestratora krok po kroku.

Wystarczy zadzwonić pod numer 533 525 168 albo napisać na adres info@lukaszwudyka.pl i podać nazwę domeny. Odpowiem, co da się zrobić i od czego zacząć.