Domain locked vs unlocked: gestione registrar

Cosa significa "dominio bloccato"

Il "lock" di un dominio e un meccanismo di sicurezza fondamentale che impedisce trasferimenti, modifiche o cancellazioni non autorizzate del dominio stesso. Operativamente si traduce in uno o più status EPP impostati sul dominio nel registry attraverso comandi dal registrar autorizzato. Quando questi status sono attivi, qualsiasi tentativo di transfer ICANN o modifica dati viene rifiutato a livello registry, indipendentemente da chi lo richieda. I lock sono fondamentali per evitare il "domain hijacking": un'attaccante che riesce a ottenere l'Auth Code (es. via phishing, social engineering o data breach) NON puo comunque trasferire il dominio finché il lock e attivo, fornendo una protezione critica.

Tipi di lock EPP

I principali status di lock previsti dal protocollo EPP:

• clientTransferProhibited: impostato dal registrar, impedisce qualsiasi transfer del dominio.
• clientUpdateProhibited: impedisce modifiche ai dati WHOIS (contatti, nameserver).
• clientDeleteProhibited: impedisce cancellazione anticipata del dominio.
• clientRenewProhibited: impedisce rinnovo (raramente usato).
• serverTransferProhibited: impostato dal registry, livello superiore al lock client.
• serverUpdateProhibited: come sopra ma per le modifiche.
• serverDeleteProhibited: come sopra ma per la cancellazione.
• serverHold: dominio sospeso a livello registry (non risolve DNS).
• clientHold: dominio sospeso a livello registrar (non risolve DNS).

Status "client*" sono gestibili dal registrar e dal registrante tramite pannello. Status "server*" sono applicati dal registry direttamente e tipicamente per ragioni gravi (dispute UDRP in corso, frode confermata, dominio di alto valore con Registry Lock attivo).

Locked di default

La maggioranza dei registrar accreditati ICANN impostano automaticamente clientTransferProhibited al momento della registrazione, come misura di sicurezza di default. Il registrante puo rimuoverlo dal pannello self-service quando necessario (es. per avviare un transfer legittimo). Questo comportamento e considerato best practice di settore ed e raccomandato anche da ICANN nelle linee guida sulla sicurezza.

Come vedere lo stato lock

Per verificare lo stato attuale di lock di un dominio:

• Comando CLI: whois dominio.tld, cerca la riga "Status:" o "Domain Status:".
• Servizi web di lookup: whois.icann.org, who.is, viewdns.info.
• Pannello del registrar: sezione "Sicurezza" o "Stato Dominio" o "Transfer Lock".
• API EPP per query strutturate da automazioni.

Esempio output WHOIS con lock attivo:

Domain Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited
Domain Status: clientUpdateProhibited https://icann.org/epp#clientUpdateProhibited

Come sbloccare per il transfer

Procedura standard per sbloccare un dominio:

1. Login al pannello del registrar di partenza con credenziali e 2FA se attivo.
2. Vai in "Sicurezza Dominio" o "Transfer Lock" o "Domain Lock".
3. Disattiva "Lock" / "Registrar Lock" / "Theft Protection" / il toggle di sicurezza.
4. Conferma la disattivazione (alcuni richiedono 2FA aggiuntivo o codice via email).
5. Lo status clientTransferProhibited viene rimosso entro pochi minuti.
6. Procedi con il transfer entro tempi brevi.
7. RICORDA: riattiva il lock una volta completato il transfer presso il nuovo registrar per ripristinare la protezione.

Best practice di sicurezza

Per la massima protezione contro hijacking applica questa configurazione di sicurezza:

• Mantieni lock sempre attivo: disattivalo SOLO durante il transfer effettivo, riattiva subito dopo.
• Abilita 2FA sul pannello del registrar (TOTP, SMS, hardware key).
• Notifiche email attivate per ogni modifica WHOIS, transfer in uscita, modifica nameserver.
• Registry Lock: per domini critici (e-commerce, brand globali, banking) attiva il Registry Lock (serverTransferProhibited + serverUpdateProhibited) che richiede procedura manuale registry per rimozione.
• Auto-renew + carta valida: evita scadenze accidentali che esporrebbero a hijacking via drop catching.
• Monitoraggio WHOIS: tool come DNS Spy per alerting su modifiche non autorizzate.
• Email admin dedicata: monitorata, con sue credenziali sicure separate.
• DNSSEC: protezione aggiuntiva contro DNS hijacking a livello cache.

Registry Lock per domini high-value

Il Registry Lock (chiamato anche MarkMonitor Lock, CSC Lock, Domain Vault o nomi simili a seconda del provider) e un servizio premium offerto da alcuni registrar e supportato direttamente dai registry per i domini ad altissimo valore strategico:

• Status serverTransferProhibited + serverUpdateProhibited + serverDeleteProhibited applicati a livello registry.
• Le modifiche richiedono procedura out-of-band: telefono con codice, fax con firma, codice secret aggiuntivo, video-identification.
• Costi: 50-500 euro/anno extra a seconda del servizio.
• Tipicamente disponibile per .com/.net Verisign, .org PIR, e alcuni ccTLD principali.
• Usato da grandi brand globali (Google, Amazon, Microsoft, JPMorgan) per evitare hijack catastrofici.
• Tempi di sblocco volutamente lunghi (24-72 ore) per esporre tentativi fraudolenti.

Riconoscere un dominio compromesso

Segnali di possibile compromissione del dominio:

• Lock disattivato senza tua azione esplicita o conoscenza.
• Nameserver cambiati a tua insaputa rilevati dal monitoraggio.
• Email admin WHOIS modificata senza autorizzazione.
• Notifiche di transfer in uscita non richiesti dal registrar.
• Dati registrant modificati con info sospette.
• Login alert su pannello da geografia anomala.
• Email "password reset" non richieste.

In questi casi, contatta IMMEDIATAMENTE il registrar tramite canali ufficiali (telefono, supporto chat) e attiva la procedura di Domain Recovery ICANN se necessario. Cambia password, abilita 2FA se non già attivo, audit completo di tutti i domini gestiti dallo stesso account.

Lock vs sicurezza pratica

Considerazioni operative:

• Lock attivo + 2FA su account = protezione molto buona contro hijacking comune.
• Lock attivo + Registry Lock = protezione enterprise per domini critici.
• Account compromesso senza Registry Lock = rischio di hijacking via disattivazione lock + transfer.
• Phishing del registrante = puo bypassare ogni lock se le credenziali vengono fornite all'attaccante.

Audit periodico

Best practice di audit periodico per gestione corretta dei lock:

• Audit trimestrale di tutti i domini con stato lock verificato.
• Verifica che status EPP siano consistenti con policy aziendale.
• Per portafogli grandi: script automatici di WHOIS check periodici.
• Alert su domini con lock disattivato non autorizzato.
• Review annuale dei privilegi account registrar.

Hai bisogno di aiuto?

Se vuoi affidare il trasferimento dominio a G Tech Group, scrivici tramite il modulo di contatto.