Три замка домена: registrar lock, registry lock и clientHold

Слово «заблокирован» в разговоре о доменах означает три разных вещи. Registrar lock — замок, который регистратор ставит по умолчанию, чтобы домен нельзя было увести: сайт работает, запрещён только перенос. Registry lock — платная услуга реестра для тех, кому нужна защита уровнем выше: любое изменение проходит ручную проверку. clientHold и serverHold — не защита, а отключение: домен убран из зоны DNS, и всё на нём перестаёт работать. Первые два ставят, чтобы домен был цел. Третий ставят, когда к домену есть претензии или не подтверждены данные владельца.

Все три видны в публичной записи домена, и путать их дорого: от того, какой именно замок стоит, зависит, кому писать и сколько ждать.

	Кто ставит	Что запрещено	Сайт работает?	Как снять
Registrar lock	регистратор, по умолчанию	перенос, иногда изменение и удаление	да	в панели регистратора или через поддержку, за минуты
Registry lock	реестр по заявке регистратора	любые изменения без ручного подтверждения	да	ручная процедура с проверкой личности, часы или дни
clientHold	регистратор	работа домена: нет DNS, нет почты	нет	устранить причину: контакты, оплата, ответ на жалобу
serverHold	реестр	то же	нет	только через реестр, обычно руками регистратора

Registrar lock: замок, который стоит у всех

Технически это три статуса в реестре: clientTransferProhibited (запрещён перенос к другому регистратору), clientUpdateProhibited (запрещено изменение данных) и clientDeleteProhibited (запрещено удаление). Приставка client означает, что статус поставил регистратор, то есть «клиент» реестра. Большинство регистраторов ставят как минимум запрет переноса сразу при регистрации. Это защита от угона: даже если кто-то получил код авторизации, перенос не пройдёт, пока замок стоит.

Снимает его владелец: кнопкой в панели регистратора или запросом в поддержку сервиса, через который куплен домен. Снятие занимает минуты. Снимать замок имеет смысл только перед переносом, в остальное время он должен стоять.

Отдельный случай — 60-дневный замок переноса. По политике ICANN домен нельзя перенести к другому регистратору 60 дней после регистрации, 60 дней после предыдущего переноса и 60 дней после смены владельца. В записи домена этот замок не отображается отдельным статусом и регистратор не может снять его по просьбе: это правило, а не настройка. Если вы меняете данные владельца, считайте, что ближайшие два месяца домен закреплён за текущим регистратором.

Registry lock: ручная проверка каждого изменения

Это услуга реестра, то есть организации, которая ведёт саму зону (кто такие реестр и регистратор — в глоссарии). Домен получает статусы serverTransferProhibited, serverUpdateProhibited и serverDeleteProhibited: приставка server говорит, что их поставил реестр, и регистратор своими средствами их не снимет. Любое изменение — NS-серверов, контактов, перенос — требует отдельной заявки с подтверждением личности по заранее согласованной процедуре: телефонный звонок, кодовое слово, письмо с подписью.

Registry lock предлагает Verisign для .com и .net и ряд национальных реестров; цена и порядок у каждого свои, оформляется через регистратора. Нужен он проектам, для которых угон домена дороже неудобства ручных процедур: бренды, платёжные сервисы, крупные биржи. Для обычного сайта достаточно registrar lock и двухфакторной защиты аккаунта.

Важная оговорка: те же статусы server*Prohibited реестр ставит и без заявки владельца — по решению суда, регулятора или собственных правил. Тогда это уже не услуга, а ограничение, и снять его сможет только тот, кто поставил.

clientHold и serverHold: домен выключен

Это третий тип, и он не про защиту. Домен со статусом hold исключён из зоны DNS: браузер не находит адрес, почта на домене не доставляется, при этом регистрация остаётся за владельцем, домен никому не освобождается. Подробно статусы разобраны в глоссарии, здесь главное.

clientHold ставит регистратор. Типичные причины:

1. Не подтверждены контакты владельца. По соглашению ICANN с регистраторами после регистрации, переноса или смены данных на почту владельца приходит письмо с просьбой подтвердить контакт. Если за 15 дней подтверждения нет, регистратор обязан приостановить домен. Это самая частая причина hold у честных владельцев, и самая обидная: письмо ушло в спам, домен лёг.
2. Не оплачено продление. Домен уходит в hold, затем в льготный период и дальше по жизненному циклу.
3. Решение по жалобе. Регистратор рассмотрел претензию и приостановил домен до выяснения.

serverHold ставит реестр: по решению регулятора, суда, по собственным правилам зоны или по запросу регистратора, когда нужен уровень выше. Снять его может только реестр, обычно по заявке регистратора.

Отличить hold от защитного замка просто: в записи домена слово Hold означает «выключен», слово Prohibited означает «защищён». Домен может одновременно иметь clientHold и clientTransferProhibited: он выключен и перенести его нельзя.

Как прочитать запись домена

Откройте запись через любой RDAP-сервис, например rdap.org, и найдите поле со статусами. Что там может стоять:

Статус	Значение	Повод для беспокойства
ok / active	ограничений нет	нет замка переноса — стоит включить
clientTransferProhibited	перенос запрещён регистратором	нет, это норма
clientUpdateProhibited, clientDeleteProhibited	изменение или удаление запрещено регистратором	нет
serverTransferProhibited и другие server*Prohibited	то же, но на уровне реестра	нет, если вы заказывали registry lock; да, если не заказывали
clientHold	домен выключен регистратором	да
serverHold	домен выключен реестром	да
pendingTransfer	идёт перенос к другому регистратору	да, если вы его не начинали
autoRenewPeriod, redemptionPeriod, pendingDelete	этапы после окончания срока регистрации	да: домен не продлён
inactive	у домена нет NS-серверов	сайт не заработает, пока не указаны NS

Если в записи нет ни одного Hold и ни одного этапа удаления, а сайт не открывается, проблема не у регистратора — это хостинг, DNS или CDN. Что проверять в этом случае, разобрано в статье «Домен не открывается».

Как это устроено в Riki Domains

Статусы каждого домена видны в списке доменов в боте и в веб-панели, и это та же информация, что в публичной записи реестра. Домены регистрируются через аккредитованных регистраторов-партнёров, замок переноса у них включён по умолчанию.

Если на домене появился clientHold по жалобе, переписку с регистратором ведёт поддержка сервиса: запрашивает у регистратора суть претензии, передаёт ваши ответы и доказательства, следит за сроками. Как именно это происходит и чего сервис не делает, описано в статье «Реселлер или регистратор». В зонах тарифов Platinum и Titan домен оформлен на данные сервиса, поэтому письма о подтверждении контактов приходят не вам, а в сервис, и hold «за неподтверждённые контакты» обрабатывается поддержкой без вашего участия. В стандартных зонах контакты — ваши, и письмо с подтверждением нужно открыть в первые дни после покупки.

Если вашему проекту нужен registry lock, спросите в поддержке: доступность и цена зависят от реестра конкретной зоны.

Если домен взломали

Отдельный сценарий, с которого начинается заметная доля hold-статусов у честных владельцев: взломан сайт или аккаунт хостинга, на домене появился чужой контент, на него пришла жалоба, регистратор поставил clientHold. Порядок действий:

1. Сменить пароли хостинга, панели регистратора и почты, включить двухфакторную защиту.
2. Убрать чужой контент и закрыть дыру, через которую он попал. Сохранить скриншоты и логи: они понадобятся для ответа.
3. Ответить регистратору по существу: что произошло, что сделано, когда. Регистратор не устанавливает факт взлома, он проверяет, устранено ли нарушение, поэтому ответ должен быть конкретным.
4. После снятия статуса проверить запись домена через неделю: hold иногда возвращается, если регистратор получил повторную жалобу на старую ссылку.

Клиентам Riki Domains этот путь проходит поддержка: сообщите в чат поддержки, что домен взломан, и приложите доказательства устранения.

Чек-лист владельца

• Замок переноса (clientTransferProhibited) стоит всегда, снимается только перед переносом.
• Письмо о подтверждении контактов открыто и подтверждено в первые дни после регистрации или смены данных.
• Автопродление включено, на балансе есть сумма на год вперёд.
• После смены владельца или переноса — 60 дней без переноса, планируйте заранее.
• Двухфакторная защита включена на аккаунте регистратора и на почте, к которой привязан домен.
• Раз в квартал — взгляд на запись домена в RDAP: статусы, NS-серверы, дата окончания.

Если проект не терпит даже короткого простоя — registry lock, и отдельная процедура на случай, когда изменение всё-таки понадобится срочно.