Bảo vệ tài khoản registrar hiệu quả cần nhiều lớp cùng lúc: MFA, phân quyền, recovery, registrar/transfer lock, audit log và change approval. Nếu chỉ bật một setting rồi coi domain đã an toàn, tổ chức vẫn có thể bị chiếm account, gỡ lock hoặc thay nameserver qua một đường truy cập khác.
Bài này là playbook triển khai thực tế cho đội vận hành. Phần giải thích sâu về account security xem Bảo mật tài khoản Domain Registrar; phần dưới tập trung vào thứ tự cấu hình và cách kiểm chứng sau khi bật.
Trước khi cấu hình Registrar Security cần chuẩn bị gì?
Xác định owner và account đang quản domain
Ghi registrar, domain, business owner, technical owner, recovery contact và các user có quyền. Nếu đang dùng shared account, cần biết ai thực sự truy cập trước khi chuyển sang mô hình multi-user.
Lưu baseline trước khi thay đổi
Ghi nameserver, EPP status, transfer lock, contact và security setting hiện tại. Baseline giúp rollback khi cấu hình access hoặc transfer control gây lỗi ngoài ý muốn.
Bước 1: Bật MFA cho mọi user đặc quyền
Ưu tiên phishing-resistant MFA nếu provider hỗ trợ
Passkey, WebAuthn hoặc security key thường chống phishing tốt hơn OTP nhập thủ công. Nếu registrar chỉ hỗ trợ TOTP hoặc SMS, vẫn nên bật MFA nhưng cần tăng cường recovery và monitoring. Failure mode cần đối chiếu là Domain Hijacking do tài khoản Registrar không có MFA, vì chỉ một privileged account không được bảo vệ đúng có thể làm thay đổi toàn bộ control plane của domain.
Không dùng chung một MFA seed
Nếu registrar hỗ trợ nhiều user, mỗi admin nên có authenticator riêng. Shared TOTP seed làm audit log khó truy trách nhiệm và tăng blast radius khi seed bị lộ.
Bước 2: Phân quyền registrar theo nhiệm vụ
Tách quyền billing, DNS và domain transfer nếu có thể
Không phải mọi operator cần quyền thay contact, nameserver hoặc unlock transfer. Dùng role/scope tối thiểu mà provider cho phép.
Review vendor và account cũ
Thu hồi user của agency, vendor hoặc nhân sự không còn nhiệm vụ. Quyền cũ là một trong các dạng access drift dễ bị bỏ qua.
Bước 3: Khóa recovery path
Bảo vệ recovery email
Recovery mailbox cần MFA, owner rõ và không phụ thuộc vào một cá nhân duy nhất. Với domain critical, nên có kênh escalation độc lập với chính domain đang bảo vệ.
Quản lý backup code và recovery key
Không để recovery material trong chat hoặc ticket rộng quyền. Lưu ở secret store phù hợp, có owner và quy trình truy cập khẩn cấp.
Chi tiết thiết kế tại MFA & Recovery cho Domain Registrar.
Bước 4: Bật Registrar/Transfer Lock phù hợp
Giữ transfer lock khi không có kế hoạch chuyển registrar
ICANN mô tả domain lock như cơ chế giúp bảo vệ chống thay đổi hoặc transfer không được phép. Trong EPP, trạng thái thường gặp là clientTransferProhibited.
Kiểm soát thao tác unlock
Lock chỉ hữu ích khi người có quyền gỡ lock được kiểm soát. Với domain quan trọng, thao tác unlock nên gắn với ticket/change window và approval phù hợp.
Xem chi tiết Domain Transfer Lock là gì?.
Bước 5: Bật audit log và notification
Ưu tiên event có blast radius cao
- Login từ thiết bị/vị trí mới.
- Thay recovery contact.
- Nameserver change.
- Unlock hoặc transfer request.
- AuthInfo request nếu provider expose.
- Thay MFA/security setting.
Alert phải có owner xử lý
Notification không có người chịu trách nhiệm chỉ tạo noise. Mỗi alert quan trọng cần có runbook xác minh và escalation.
Bước 6: Thiết lập change approval cho thao tác quan trọng
Không cần biến mọi thay đổi thành quy trình nặng nề, nhưng nameserver change, transfer, recovery change và ownership update nên có change record. Với domain critical, có thể áp dụng second-person review.
Read-back sau mọi thay đổi
Sau khi chỉnh registrar setting, kiểm tra lại EPP status, nameserver, user/role và notification. API/UI báo thành công chưa đủ nếu state thực tế khác intended.
Kiểm tra nhanh cấu hình Registrar Security
| Control | PASS khi | FAIL khi |
|---|---|---|
| MFA | Mọi admin đều có MFA | Còn admin password-only |
| Recovery | Owner rõ, mailbox/phone còn kiểm soát | Phụ thuộc cá nhân/đường cũ |
| Role | Quyền theo nhiệm vụ | Shared super-admin không cần thiết |
| Transfer lock | Lock phù hợp trạng thái vận hành | Unlocked ngoài change window |
| Logging | Privileged change được ghi/alert | Không biết ai vừa đổi setting |
Nếu nghi registrar account đã bị chiếm
Đừng chỉ đổi password rồi kết thúc. Cần bảo toàn log, revoke session/token, kiểm tra recovery, user/role, transfer status, nameserver và DNS. Nếu domain đã bị mất quyền kiểm soát, xem Domain Hijacking là gì?.
Checklist triển khai Registrar MFA, Lock và phân quyền
- Inventory domain và registrar.
- Gắn business/technical owner.
- Tạo user riêng nếu provider hỗ trợ.
- Bật MFA cho admin.
- Thiết lập backup authenticator/recovery.
- Thu hồi user/vendor cũ.
- Giảm quyền không cần thiết.
- Bật transfer lock phù hợp.
- Quản lý AuthInfo như secret.
- Bật login/security notification.
- Lưu baseline nameserver/EPP status.
- Có approval cho privileged change.
- Read-back sau cấu hình.
- Test recovery runbook ở mức an toàn.
Để kiểm tra rộng hơn toàn bộ registrar, DNS, subdomain và TLS, dùng Domain & DNS Security Checklist.
Nguồn kỹ thuật tham khảo
Kết luận
Bảo vệ registrar không phải chọn giữa MFA hay lock. Cần kết hợp identity security, least privilege, recovery, transfer control, logging và change governance.
Nếu triển khai theo thứ tự owner → MFA → role → recovery → lock → monitoring → read-back, đội vận hành sẽ có một baseline rõ ràng hơn để ngăn takeover và xử lý sự cố nhanh hơn.