域名是企业在互联网上的核心入口，网站访问、邮件收发、业务系统登录都依赖域名正常工作。域名一旦被恶意转移或解析被篡改，将直接导致业务中断和品牌受损。域名转移锁和域名解析锁是两种常见的安全防护手段，分别从不同层面限制域名的高风险操作。
一、什么是域名转移锁
域名转移锁是域名注册商或注册局针对域名权属设置的一种锁定状态。开启后，域名处于禁止转移状态，任何尝试把域名转到其他注册商、办理过户或删除的操作都会受到限制。
从技术角度看，转移锁通过在域名注册记录中写入特定的状态码来实现。最常见的状态码是clientTransferProhibited，表示注册商禁止转移。该状态码会同步到全球域名系统中，各注册商和注册局都会遵守。
转移锁按照管理层级分为两种：
注册商锁。由域名注册商在自身管理平台上设置，对应clientTransferProhibited、clientUpdateProhibited、clientDeleteProhibited等状态码，分别用于阻止转移、更新和删除操作。
注册局锁。由域名注册局在顶级域名服务器层面设置，对应serverTransferProhibited、serverUpdateProhibited、serverDeleteProhibited等状态码。注册局锁的安全层级更高，解锁和再次加锁需要经过邮件指令和人工授权认证。
按照ICANN的现行转移政策，常规域名转移并没有强制锁定的要求。注册商锁和注册局锁都由域名持有人根据自身需要决定是否开启。不过，新注册的域名或刚完成注册人信息变更的域名，会触发60天的转移限制，在此期间域名暂时无法转移。这项规定由ICANN的转移政策确立，目的在于降低域名在信息变更后被恶意转走的风险。
二、什么是域名解析锁？
域名解析锁针对的是DNS解析记录的安全。域名注册完成后，需要通过DNS解析把域名指向具体的服务器IP地址，用户才能访问到对应的网站或应用。常用的域名解析记录主要包括A记录（指向IPv4地址）、AAAA记录（指向IPv6地址）、CNAME记录（别名记录指向另外一个主机名）、NS记录（指定域名由哪个DNS解析）。
开启域名解析锁后，NS记录、A记录、CNAME记录等常见的解析配置不能随意修改，这就保障了攻击者即便拿到了域名管理账号的权限，也无法篡改解析，避免域名被劫持到钓鱼网站或恶意服务器。
解析锁的防护对象和转移锁不同。转移锁保护的是域名的所有权归属，解析锁保护的是域名解析结果的正确性。两者在技术实现上也有差异：转移锁主要通过EPP状态码在域名注册系统中生效，解析锁则作用于DNS解析管理层面，限制对解析记录的增删改操作。
需要区分的是，解析锁和DNSSEC不是一回事。DNSSEC通过数字签名验证DNS数据的来源真实性，防止DNS缓存投毒等攻击，但它不阻止账号层面的解析修改。解析锁从操作权限上限制解析变更，两者配合使用效果更完整。
此外，域名状态中还有clientHold和serverHold两种状态码，它们表示域名解析已被暂停。clientHold由注册商设置，serverHold由注册局设置，这两种状态通常出现在域名涉及纠纷、未完成实名认证或存在违规内容时，和主动开启的解析锁不是同一个概念。
三、两者之间的关系和区别
域名转移锁和域名解析锁在防护目标、管理层级和操作方式上都有明确区别。
防护目标不同。转移锁保护的是域名的权属安全，防止域名被转出、过户或删除。解析锁保护的是域名的解析安全，防止解析记录被篡改导致流量被劫持。
管理层级不同。转移锁可以设置在注册商层面，也可以设置在注册局层面。解析锁通常由DNS解析服务商或注册商在解析管理系统中设置。
解除方式不同。转移锁无论是注册商锁还是注册局锁都需要经过人工审核，多次验证才能解锁，从而在最大限度上确保域名权属安全。解析锁的解锁方式取决于具体的解析服务商，部分平台支持自助操作，部分需要人工审核。
两者之间也存在配合关系。转移锁解决了域名权属被恶意变更的问题，但如果攻击者通过其他途径获得了DNS管理权限，仍然可以修改解析记录。解析锁补上了这个缺口。国科云面向政企客户提供的域名转移锁和域名解析锁双重锁定服务，就是分别针对域名权属和域名解析记录两大风险点进行防护。【点击试用】
四、域名转移锁和解析锁是否需要开启？
从实际安全需求出发，企业域名建议同时开启转移锁和解析锁。
域名转移锁的必要性体现在多个方面。域名一旦被转移到他人控制的注册商账户下，找回过程涉及多方协调，周期长、难度大。转移锁独立于域名账户的登录凭据发挥作用，即使账号密码泄露，攻击者也无法直接完成转移操作。当前域名劫持和非法转移事件时有发生，域名锁是安全防护中最基础也非常必要的一项措施。
解析锁的重要性同样不容忽视。域名解析被篡改后，用户访问企业官网会被引导到仿冒页面，导致用户信息泄露和品牌信任受损。开启解析锁后，未经授权情况下域名解析配置无法变更，从而杜绝了解析篡改、DNS劫持的风险，确保了解析链路的准确性。
结语
域名转移锁和解析锁分别从权属和解析两个层面为域名提供安全防护，是提升域名资产安全防护的基础防护手段。转移锁阻止域名恶意转出和过户，解析锁阻止解析记录被篡改。企业可根据自身业务场景，选择合适的域名锁定方案，并配合多因素认证、操作审计、域名监测、解析安全防护等措施，形成完善的域名安全防护体系。
推荐阅读：
