Il Registry Lock è una protezione applicata a livello di registro, normalmente richiesta tramite il registrar, che può impedire trasferimenti, aggiornamenti o cancellazioni fino a una procedura di sblocco. È diverso dal normale Registrar Lock e ha senso soprattutto per domini ad alto impatto.
Indice dei contenuti
In sintesi
Il Registry Lock è una protezione applicata a livello di registro, normalmente richiesta tramite il registrar, che può impedire trasferimenti, aggiornamenti o cancellazioni fino a una procedura di sblocco. È diverso dal normale Registrar Lock e ha senso soprattutto per domini ad alto impatto.
Registry Lock e Registrar Lock: differenze
Il normale registrar lock viene spesso rappresentato dallo stato EPP clientTransferProhibited e può impedire un trasferimento non autorizzato. Il Registry Lock opera invece con vincoli gestiti dal registro, spesso visibili come stati serverTransferProhibited, serverUpdateProhibited o serverDeleteProhibited, secondo il servizio e il TLD.
Poiché il controllo coinvolge il registro, lo sblocco può richiedere una richiesta del registrar, verifiche fuori banda o tempi superiori rispetto a un semplice toggle nel pannello. Proprio questa frizione è il vantaggio per un dominio critico: compromettendo il solo account registrar, un attaccante dovrebbe comunque superare un ulteriore processo.
Quando vale la pena usarlo
- Dominio principale dell’azienda, dal quale dipendono sito, email, VPN o autenticazione.
- Domini di e-commerce, banche, servizi pubblici o piattaforme con forte rischio di phishing.
- Nameserver o domini infrastrutturali la cui modifica interromperebbe molti altri servizi.
- Marchi ad alto valore per i quali una modifica DNS non autorizzata avrebbe impatto operativo e reputazionale elevato.
Per domini temporanei o ambienti che richiedono modifiche frequenti, il costo operativo del Registry Lock può superare il beneficio. La decisione va quindi collegata alla criticità e alla frequenza prevista delle modifiche.
Procedura operativa consigliata
- Chiedi al registrar se il TLD supporta un vero servizio Registry Lock e quali stati EPP applica.
- Definisci chi è autorizzato a chiedere lock e unlock, con almeno due contatti interni per continuità.
- Abilita MFA e protezioni forti anche sull’account registrar: il Registry Lock è un livello aggiuntivo, non un sostituto.
- Documenta la procedura di emergenza e i tempi attesi per lo sblocco prima di averne bisogno.
- Dopo l’attivazione verifica con RDAP o gli strumenti del registrar gli stati EPP effettivi.
- Prima di una modifica programmata, apri la finestra di change, richiedi lo sblocco, esegui la modifica, verifica DNS e servizi e riattiva subito il lock.
Errori da evitare
- Confondere
clientTransferProhibitedcon un servizio Registry Lock completo. - Attivare il lock senza sapere come sbloccarlo in emergenza.
- Proteggere il dominio ma lasciare deboli email di recupero, account registrar o DNS provider.
- Dimenticare che un cambio urgente di nameserver o DNS può richiedere più tempo quando sono presenti stati server-side.
- Verificare soltanto il pannello: controlla anche gli stati pubblicati e conserva la conferma del registrar.
Verifica finale
Per un dominio critico la configurazione ideale combina Registry Lock, MFA, contatti aggiornati, rinnovo automatico con metodo di pagamento controllato e monitoraggio delle modifiche. Esegui almeno una prova documentata della procedura di unlock/relock in un momento non critico, così il team conosce tempi, persone coinvolte e verifiche da eseguire.
Guide Xlogic correlate
- Domini IDN con accenti: vantaggi e rischi
- Registrar lock: cos’è e quando rimuoverlo
- Punycode: leggere un dominio xn--
Fonti
Domande frequenti
Registry Lock e Registrar Lock sono la stessa cosa?
No. Il Registrar Lock è gestito dal registrar; il Registry Lock aggiunge restrizioni a livello di registro e può richiedere una procedura più rigorosa per lo sblocco.
Quali domini dovrebbero usare Registry Lock?
Soprattutto domini aziendali o infrastrutturali la cui modifica non autorizzata avrebbe un impatto elevato su sito, email, autenticazione o reputazione.
Il Registry Lock sostituisce MFA e sicurezza del registrar?
No. È un livello aggiuntivo. Account registrar, email di recupero e provider DNS devono comunque essere protetti con controlli forti.