Registrar lock

Registrar lock è uno stato di protezione applicato a un dominio presso il registrar per impedire determinati trasferimenti o modifiche non autorizzati. Per molte estensioni generiche è rappresentato da uno stato EPP come clientTransferProhibited, anche se nomi e procedure variano. Il blocco riduce il rischio che un soggetto avvii il trasferimento a un altro registrar senza approvazione, ma non è una protezione completa contro compromissione dell’account, modifiche DNS, errori amministrativi o ogni tipo di attacco. La funzione concreta dipende dal TLD e dalle impostazioni del provider.

Come si attiva

Il lock si abilita dal pannello del registrar o tramite il supporto. Alcuni provider lo attivano per impostazione predefinita; altri consentono di scegliere ulteriori livelli di verifica. Per trasferire il dominio, il titolare può dover sbloccarlo, ottenere un codice Auth-Code e approvare la richiesta. Il processo dovrebbe essere svolto solo quando il trasferimento è pianificato e verso un registrar verificato. Un messaggio inatteso che chiede di disattivare il lock o fornire il codice è un possibile tentativo di phishing.

È importante distinguere il registrar lock dal registry lock. Il primo è amministrato dal registrar attraverso l’account del cliente; il secondo può aggiungere un controllo a livello del registry e richiedere verifiche fuori banda. Le funzionalità disponibili e i costi differiscono. Nessun lock sostituisce credenziali forti e protezione della casella email, perché un attaccante che controlla l’account o il canale di recupero potrebbe rimuovere la protezione.

Limiti e incident response

Il registrar lock può proteggere principalmente da trasferimenti, ma non necessariamente impedisce di modificare nameserver, contatti, record DNS o altri dati. Alcuni provider offrono blocchi separati per operazioni diverse. Il titolare dovrebbe consultare la documentazione per capire esattamente quali stati vengono applicati. Se il dominio appare bloccato, il trasferimento potrebbe essere rifiutato finché non si completa la procedura prevista; ciò non significa che il nome sia scaduto o non controllato.

Se si sospetta un tentativo di hijacking, si contatta il registrar dai canali ufficiali, si richiede il mantenimento del lock e si controllano log e notifiche. Si cambia la password dell’account e dell’email associata da un dispositivo sicuro, si attiva MFA e si revocano sessioni. Non si invia l’Auth-Code a intermediari non verificati. Se un trasferimento autorizzato è in corso, si documentano le approvazioni e si definisce chi verificherà la destinazione dopo il passaggio.

Gestione operativa

Per domini strategici, una policy dovrebbe richiedere lock permanente salvo una finestra di trasferimento approvata. Le notifiche di sblocco e trasferimento dovrebbero raggiungere più responsabili, e l’inventario deve indicare dove il lock è gestito. La verifica periodica serve perché cambi di account o rinnovi possono alterare le impostazioni. Il trasferimento va testato con procedure documentate senza lasciare il dominio sbloccato più a lungo del necessario.

In sintesi, registrar lock è una protezione amministrativa utile contro trasferimenti non approvati, con limiti specifici. Va combinato con MFA, accessi minimi, monitoraggio e una procedura chiara per sbloccare e trasferire in sicurezza. Per nomi critici, la verifica dello stato dovrebbe essere periodica e attribuita a un responsabile nominato.