Locked vs Unlocked dominio
Il "Domain Lock" è una protezione fondamentale contro trasferimenti non autorizzati e modifiche fraudolente. Capire quando è attivo, quando va disattivato e quali tipi esistono è cruciale per la sicurezza del tuo dominio. Vediamo le differenze tra client lock e server lock, le best practice e come gestire correttamente questo importante meccanismo.
Cosa è il Domain Lock
Il Domain Lock è un flag impostato a livello di registrar o registro che impedisce modifiche o trasferimenti senza espressa rimozione del lock stesso. Protegge da: trasferimenti non autorizzati a registrar terzi, modifiche ai nameserver da malintenzionati, cambi di contatti registrante per furto identità, social engineering attacks contro il supporto registrar.
Il furto di domini di alto valore è stato fenomeno serio negli anni 2010-2020: domini come twitter.com sono stati hackerati temporaneamente attraverso social engineering del registrar. Il Domain Lock e specialmente Registry Lock premium sono stati introdotti come risposta a questi attacchi documentati.
Tipi di lock
Client lock (impostato dal registrar): rimovibile dal proprietario dal pannello di gestione. Server lock (impostato dal registro): rimovibile solo per richiesta motivata, usato per dispute o frode. Registry lock (servizio premium): blocco massimo che richiede autenticazione multi-fattore per essere rimosso, usato da aziende per domini critici (banche, e-commerce major).
Il Registry Lock è offerto come servizio premium dai registry stessi (Verisign Registry Lock per .com, EnComm per .eu) e richiede autenticazione multi-fattore plus contatto telefonico verificato per qualsiasi modifica. Costo 100-500 euro/anno ma livello di sicurezza enterprise-grade adatto a brand bancari o governativi.
Stati EPP corrispondenti
"clientTransferProhibited": client lock standard. "clientUpdateProhibited" / "clientDeleteProhibited": protezioni ulteriori. "serverTransferProhibited": server lock dal registro. Combinazioni di lock offrono protezione granulare contro diversi tipi di abuso.
Combinazioni tipiche di lock: clientTransferProhibited + clientUpdateProhibited + clientDeleteProhibited assicurano blocco totale di modifiche, trasferimenti e cancellazioni dal lato registrar. Aggiungere serverTransferProhibited dal registry rende necessario coinvolgere il registry stesso per qualsiasi operazione.
Procedura passo-passo
- Accedi al pannello del registrar.
- Naviga nella sezione di sicurezza o gestione dominio.
- Verifica gli stati EPP attualmente attivi.
- Attiva sempre almeno clientTransferProhibited.
- Per domini molto importanti considera registry lock.
- Per trasferimento legittimo, disattiva temporaneamente i lock.
- Riattiva i lock immediatamente dopo modifiche o trasferimenti.
- Audita periodicamente gli stati di tutti i tuoi domini.
Implementazione tecnica del lock
Tecnicamente i lock client sono attributi nello stato EPP del dominio gestiti dal registrar. I lock server sono attributi gestiti dal registry. Il Registry Lock premium è procedimento out-of-band: per qualsiasi modifica serve contatto telefonico autenticato, multi-factor authentication, verifica identità multipla. Usato da banche centrali, governi, brand di alto profilo.
Scenari di attacco prevenuti
Scenari reali prevenuti dai lock: social engineering del supporto registrar per modificare nameserver (lock impedisce), phishing per ottenere credenziali registrar (anche con credenziali, modifica impossibile senza disattivare lock), account hijacking massivo (lock rallenta rilevamento), DNS hijacking per dirottare email/web. La combinazione di lock multipli offre difesa in profondità.
Errori comuni e come risolverli
- Lock disattivato e dimenticato: dopo modifiche dimentichi di riattivare, esponendo il dominio a furti.
- Confondere client e server lock: solo il client lock è disattivabile dal proprietario.
- Pensare che il lock prevenga scadenze: il lock blocca modifiche, non le scadenze; serve sempre rinnovo.
- Lock impedisce DNS legittimi: alcuni lock estesi bloccano anche update nameserver, valuta livello necessario.
Scenari di sicurezza enterprise
Per organizzazioni enterprise con domini di alto valore (banche, e-commerce major, brand globali): considera Registry Lock come standard, MFA hardware (YubiKey) sull'account registrar, separazione di ruoli (solo specifici amministratori possono modificare dominio), monitoring 24/7 di modifiche WHOIS via servizi come DomainTools, processo formalizzato di change management per qualsiasi modifica dominio. Casi storici di domain hijacking di alto profilo (Twitter, Naoki Hiroshima @N) dimostrano che social engineering del registrar è vettore di attacco reale. La sicurezza dei domini critici richiede investimento serio in policy e tecnologia.
Domande frequenti
D: Il Domain Lock costa?
R: Il client lock standard è gratuito. Il registry lock premium può costare 100-500 euro/anno.
D: Devo disattivare il lock per cambiare nameserver?
R: Dipende dal tipo. clientTransferProhibited no, clientUpdateProhibited sì.
D: Cosa è il registry lock?
R: Servizio di alta sicurezza con processo manuale di sblocco, usato da banche e siti critici.
D: Posso bloccare in modo permanente un dominio?
R: Tecnicamente lock può essere mantenuto a tempo indefinito. Per protezione massima Registry Lock premium è raccomandato per domini critici.
D: Lock impedisce anche rinnovo?
R: clientRenewProhibited blocca anche il rinnovo. Generalmente non si attiva a meno di scenari specifici (es. dispute). I lock standard non bloccano rinnovo.
D: Lock può essere bypassato in emergenza?
R: Solo da titolare autenticato via pannello (client lock) o da Registry Lock dopo procedura di autenticazione multi-fattore. Nessun bypass non autorizzato.
D: Lock viene segnalato visivamente nel pannello registrar?
R: Sì, la maggior parte dei registrar mostra chiaramente lo stato di lock attivo con icone o badge nella sezione gestione dominio. Verifica regolarmente lo stato dei tuoi domini critici per assicurarti che il lock sia mantenuto attivo. Un'audit trimestrale di tutti gli stati EPP dei domini critici è buona pratica per organizzazioni serie.
Hai bisogno di aiuto?
Se vuoi gestione domini affidata a G Tech Group, scrivici tramite il modulo di contatto.