Доменди каттоочу же DNS камсыздоочу үзгүлтүккө учурады: Доменди сатып алуу мөөнөтү аяктаган, DNSSEC SERVFAIL Тузак жана өзгөчө кырдаалдагы аталыш серверинин миграциясы¶

Компанияңыздын негизги веб-сайты API акыркы чекиттери (api.example.com) жана корпоративдик электрондук почта (MX Google Workspace же Microsoft 365 үчүн жазуулар бүткүл дүйнө боюнча жеткиликсиз (DNS_PROBE_FINISHED_NXDOMAIN же SERVFAIL) инфраструктуранын толук өчүрүлгөн кризиси. Бир кызматка таасир эткен бир бузулган веб-серверден айырмаланып, домендик аталыштар системасы (DNS) же доменди каттоонун бузулушу сиздин түпкү домениңиздин астындагы ар бир кызматты бир эле убакта үзөт, анын ичинде Бир жолу кирүү (SSO), кардарларды колдоо порталдары жана келген инциденттерге жооп берүү электрондук каттары. Иш жүзүндө, глобалдык домендин өчүрүлүшү үч түрдүү триггерден келип чыгат: (1) **кокустан домендин мөөнөтү , файлдагы кредиттик картанын мөөнөтү бүтүп, регистратор сиздин картаңызды басып алган. NS бир чыкылдатуу үчүн төлөө үчүн паркинг бетине көрсөтүү үчүн жазуулар 24 to 48 hours иш жүзүндө жарактуулук мөөнөтү аяктаганга чейин; (2) авторитеттүү DNS провайдериңизде DDoS чабуулу же башкаруу учагынын үзгүлтүккө учурашы (Route 53, Cloudflare, GoDaddy, Namecheap, DNSimple, NS1); же (3) ** сынган DNSSEC (DS жазуу) ишеним чынжыр атын серверди шашылыш которуштуруу учурунда, текшерүүчү чечүүчүлөрдү (8.8.8.8, 1.1.1.1, ISP чечүүчүлөрү) менен трафиктин 100 пайызын төмөндөтүү SERVFAIL. Эгер чабуулчу сиздин каттоочуңуздун кирүү эсептик дайындарын бузуп, домениңизди зыяндуу түрдө өткөрүп же өзгөртсө, домендик аталышты уурдоо, мөөнөтү бүткөн DNS жана веб-сайтты басып алуу; DNS калыбына келтирилгенден кийин TLS сертификатыңыздын мөөнөтү бүтсө же бузулса, караңыз SSL/TLS тастыктамасынын мөөнөтү өндүрүштө бүттү, HSTS алдын ала жүктөө кулпусу жана шашылыш жаңыртуу жана Google Workspace же Microsoft 365 ыңгайлаштырылган домен администраторунун кулпусу жана DNS текшерүүсү. Эгерде бул өчүрүү оорукананын клиникалык байланышын, 911/112 тез жардам жөнөтүү маршрутун же маанилүү коомдук кызматтарды иштен чыгарса, жергиликтүү тез жардам номерине чалыңыз (911 Кошмо Штаттарда жана Канадада, 112 Европа Биримдиги боюнча, 999 Улуу Британияда) же биздин каталогдон кайрылыңыз тез жардам номерлери.

Муну азыр кыл¶

1. ** 10 секунданын ичинде бузулуу мөөнөтү бүткөн/токтолуп калган домен экендигин аныктаңыз (EPP Status), ыйгарым укуктуу DNS провайдеринин үзгүлтүккө учурашы же а DNSSEC Текшерүү катасы**:
2. чурка whois yourdomain.com | grep -iE "Status|Expiry|Name Server" жана dig +trace yourdomain.com.
3. Кыйгап өтүп жатканын текшериңиз DNSSEC текшерүү (+cd = Текшерүү Өчүрүлгөн) домениңизди кайра чечет:

   dig @8.8.8.8 yourdomain.com A
   dig @8.8.8.8 yourdomain.com A +cd
   

   Биринчи буйрук кайтып келсе status: SERVFAIL экинчи буйрук жатканда (+cd) дароо кайтып келет status: NOERROR сервериңиздин IP дареги менен, ** сиздин DNS сервериңиз ЭМЕС: сиздин DNSSEC (DS регистрдеги жазуу) бузулган**. Эскиргенди жок кылуу үчүн дароо 3-фазага өтүңүз DS каттоочуга жазыңыз.
4. Эгер домениңиздин мөөнөтү бүтсө (Auto-Renew Grace Period же Redemption Grace Period), учурдагы регистриңизге дароо кириңиз жана узартуу/сатып алуу акысын төлөңүз; Домендин "түшүп кетишин" күтпөңүз, андыктан аны кайра арзан баада каттата аласыз:
5. Мөөнөтү бүткөндөн кийинки биринчи 1 күндөн 45 күнгө чейин (Auto-Renew Grace Period), регистратордун башкаруу панелиңизде жаңылоо баштапкы аттар сервериңизди стандарттык жаңыртуу баасы менен калыбына келтирет ($10 to $30).
6. 30 кундун ичинде Redemption Grace Period (RGP / redemptionPeriod), милдеттүү реестрди сатып алуу акысын төлөшүңүз керек ($80 to $250) учурдагы каттоочу аркылуу. Эгер сиз домендин 5-күндүн аягына чыгышын күтсөңүз Pending Delete сактоо үчүн фазасы $100, автоматташтырылган түшүрүүчү снайпер боттору (DropCatch, SnapNames, NameJet) ичиндеги домениңизди тартып алат 5 milliseconds чыгаруу жана аны миңдеген долларга аукционго коюу.
7. ** ЭЧ КАЧАН ысымдарыңыздын серверлерин алмаштырбаңыз (NS) DNSSEC иштетилген DNS провайдеринен (мисалы, Cloudflare, Route 53 же Google Cloud DNS) жок кылбастан DS адегенде каттоочуга жазыңыз**: Эгерде DNSSEC иштетилген жана сиз өзүңүздү алмаштырасыз NS ата-энени жок кылбастан, өчүрүү учурунда DNS провайдерине жазууларды берет DS (Delegation Signer) жазыңыз .com / .org TLD зонасы биринчиден, Жердеги ар бир валидациялык чечүүчү жаңы DNS провайдеринин кол коюлбаган жоопторун криптографиялык спуфинг чабуулу катары четке кагат (SERVFAIL).
8. Эгер сиз компанияңызга кирбей калсаңыз @yourdomain.com электрондук почта, анткени сиздин домениңиз MX жазуулар иштебей калды, "Сырсөздү кайра коюу кодун жөнөтүү admin@yourdomain.com" регистриңизде: домениңиздикинде NS же MX жазуулар оффлайнда, текшерүү электрондук почтасына жөнөтүлгөн @yourdomain.com секирип же кезекке жок болуп кетет. Каттоочуңуздун SMS/Authenticator MFA, диапазондон тышкаркы резервдик электрондук почтасын колдонуңуз (@gmail.com / @proton.me), же телефондун өздүгүн тастыктоо агымы.
9. Мөөнөтү өтүп кеткен доменди жаңырткандан кийин, Сиздин Каттоочуңуз сиздин баштапкы Ыңгайлаштырылган ысым серверлериңизди калыбына келтиргенин кол менен текшериңиз (NS) доменди калтыруунун ордуна sedoparking.com / renewyourname.net: Домендин мөөнөтү бүткөндө, каттоочулар сиздин салтыңызды кайра жазат NS паркинг аты серверлери менен жазуулар (ns1.parklogic.com, dns1.name-services.com). Кээде жаңыртуу үчүн төлөө мөөнөтүн кийинки жылга жаңыртып, паркингдин аталышы серверлерин кол менен кайра котормоюнча активдүү калтырат.
10. Дүйнөлүк коомдук рекурсивдүү DNS кэштерин тазалоо (Google 8.8.8.8, Cloudflare 1.1.1.1, OpenDNS) экинчиси сиздин NS же DS жазуулар калыбына келтирилет: кэшке 24 сааттан 48 саатка чейин күтүүнүн ордуна NXDOMAIN же паркинг-бет NS жазуулар табигый түрдө бүтөт, Google Public DNS'де тез глобалдык кэш тазалоону ишке киргизетdevelopers.google.com/speed/public-dns/cache) жана Cloudflare 1.1.1.1 (one.one.one.one/purge-cache/).

Чечим дарагы: глобалдык домен же DNS өчүрүлгөн өзгөчө кырдаал¶

DNS иерархиясынын так катмарын аныктоо үчүн бул схеманы колдонуңуз (TLD Registry, Registrar EPP Status, DNSSEC DS Chain, же Authoritative Nameserver) чечилбей калса:

flowchart TD
    Start["Глобалдык үзгүлтүк: Домен желе жана электрондук почта чечилбей жатат (NXDOMAIN / SERVFAIL)"] --> RunDiag["Иштетүү: whois domain.com ЖАНА dig @8.8.8.8 domain.com +cd"]

    RunDiag --> CheckCD{"Kazı @8.8.8.8 domain.com ишке ашпайбы, ал эми + CDди кошуу ийгиликтүү болобу?"}

    CheckCD -->|"Ооба: + CD менен иштейт, + CDсиз иштебейт"| DnssecBreak["Бузулган DNSSEC ишеним чынжырчасы: Эскирген DS жазуусун каттоочудан жок кылыңыз ЖЕ кайра кол коюңуз -> Flush 8.8.8.8 & 1.1.1.1"]

    CheckCD -->|"Жок: Экөө тең иштебей калды же паркинг IP кайра кайтарылды"| CheckWhois{"WHOIS EPP доменинин абалын жана жарактуулук мөөнөтүн текшерүү"}

    CheckWhois -->|"Статусу: clientHold же serverHold"| HoldState["Каттоочу / Реестрдин убактылуу токтотулушу: ICANN RAA электрондук почта текшерүүсүн же кыянаттык менен пайдалануу/эсептөө билетин дароо бүтүрүңүз"]

    CheckWhois -->|"Жарамдуулук мөөнөтү өттү (статусу: autoRenewPeriod)"| GraceRenew["Мөөнөтү аяктагандан кийин 1-45-күн: Регистр порталында стандарттык жаңылоону төлөңүз -> Ыңгайлаштырылган NS калыбына келтирилгенин текшериңиз"]

    CheckWhois -->|"Статусу: redemptionPeriod (RGP)"| RgpRestore["Мөөнөтү аяктагандан кийин 45-75-күн: Шашылыш каттоочу колдоо билетин ачыңыз / RGP калыбына келтирүү акысын (80-250 доллар) дароо төлөңүз"]

    CheckWhois -->|"Статусу: жок кылуу күтүүдө"| PendingDel["Акыркы 5 күндүк кулпу: Каттоочуда жаңыртуу мүмкүн эмес -> Бардык негизги Drop-Catchers боюнча заказдарды азыр жайгаштырыңыз"]

    CheckWhois -->|"Статусу: макул / clientTransferProhibited ЖАНА Келечекте мөөнөтү бүтөт"| AuthDown["Доменди каттоо дени сак -> Ыйгарым укуктуу DNS камсыздоочу үзгүлтүккө учураган же жок аймак"]

    AuthDown --> MigrateNS["Аймактык файлды (`BIND` / Terraform) экинчилик DNS провайдерине импорттоо -> DNSSEC күйүк болсо, DS жазуусун алып салуу -> Каттоочуда NSти жаңыртуу"]

1-фаза: ICANN доменинин жарактуу мөөнөтү (Auto-Renew vs. Redemption vs. Pending Delete)¶

Жалпы жогорку деңгээлдеги домен болгондо (gTLD сыяктуу .com, .net, .org, .io, .ai, .co, .app, .dev) автоматтык түрдө жаңыртылган кредиттик карта иштебей калгандыктан же кызматкер кеткенден кийин каржы картасы жокко чыгарылгандыктан, домен ICANNнын Мөөнөтү бүткөн Каттоону калыбына келтирүү саясаты менен жөнгө салынган көп баскычтуу жашоо циклинен өтөтERRP) жана реестр операторунун келишимдери (Verisign үчүн .com/.net, PIR үчүн .org, Identity Digital).

Домен кантип өлөт жана эмне үчүн ал жарактуулук мөөнөтү аяктаганга АЛДЫНДА же 1-КҮНДӨ оффлайнга өтөт¶

+-------------------------------------------------------------------------+
| ICANN gTLD EXPIRATION TIMELINE (.com / .net / .org example)             |
|                                                                         |
| [Active Domain]                                                         |
|       |                                                                 |
|       v  (Expiration Date Reached: Day 0)                               |
| +---------------------------------------------------------------------+ |
| | STAGE 1: Auto-Renew Grace Period (Day 1 to Day 30-45)               | |
| | - EPP Status: ok or clientHold (Registrar swaps your NS to parking) | |
| | - Production Impact: 100% OFFLINE within 0 to 48 hours of expiry    | |
| | - Recovery: Log into registrar & pay normal renewal ($10-$30).      | |
| +---------------------------------------------------------------------+ |
|       |  (Registrar sends Delete command to Registry at Day 30-45)      |
|       v                                                                 |
| +---------------------------------------------------------------------+ |
| | STAGE 2: Redemption Grace Period [RGP] (Exactly 30 Calendar Days)   | |
| | - EPP Status: redemptionPeriod (Domain removed from TLD Root Zone)  | |
| | - Recovery: Still 100% guaranteed to original owner, MUST pay       | |
| |   Registry RGP Redemption Fee ($80-$250) + renewal via registrar.   | |
| +---------------------------------------------------------------------+ |
|       |  (30-Day RGP expires without redemption payment)                |
|       v                                                                 |
| +---------------------------------------------------------------------+ |
| | STAGE 3: Pending Delete (Exactly 5 Calendar Days)                   | |
| | - EPP Status: pendingDelete                                         | |
| | - Recovery: IMPOSSIBLE to renew or redeem at any price. Registry    | |
| |   rejects all registrar commands until public drop at Day 5 (~18:00 | |
| |   UTC for Verisign .com/.net).                                      | |
| +---------------------------------------------------------------------+ |
+-------------------------------------------------------------------------+

Так укуктарыңызды, чыгымдарыңызды жана калыбына келтирүү аракеттериңизди жарактуулуктун ар бир этабында, анын ичинде өлкөнүн коду Жогорку деңгээлдеги домендерди (ccTLDs сыяктуу .uk, .de, .eu, .ca, .au), ICANNге эмес gTLD эрежелер:

2-этап: Мөөнөтү өткөн же этап-этабы менен калыбына келтирүү RedemptionPeriod домен¶

Мөөнөтү бүткөн доменди мүмкүн болушунча кыска убакытта кайра онлайнга алып келүү үчүн ушул так ырааттуулукту аткарыңыз:

1-кадам: Каттоо эсебиңизге качан кирүү мүмкүнчүлүгүн калыбына келтириңиз @yourdomain.com электрондук почта өлдү¶

Бул жерде мөөнөтү бүткөн домендин классикалык Catch-22: - Сиздин домениңиз (company.com) мөөнөтү бүттү, ошондуктан MX үчүн жазуулар company.com чечүүнү токтотту. - Сиз домен регистриңизге кирүүгө аракет кылып жатасыз (GoDaddy, Namecheap, Cloudflare, Porkbun, Hover, Network Solutions, Gandi), жана каттоочу мындай дейт: "Биз 6 орундуу текшерүү кодун жөнөттүк admin@company.com." - Анткени company.com мөөнөтү бүтсө, ал электрондук почта эч качан келе албайт.

Мөөнөтү бүткөн домендик электрондук почта циклинен кантип дароо чыгуу керек: 1. Азырынча эч нерсени өткөрбөңүз же өзгөртпөңүз: эгер домендин мөөнөтү бүтө элек болсо ГАНА (эгерде домендин өзүнүн TLD деңгээлинде мөөнөтү бүтсө,) убактылуу шашылыш почта кармагычты иштете аларыңызды текшериңиз. MX жаңыртылганга чейин эч жерде чече албайт). 2. Каттоочунун "Электрондук почтага кирүү мүмкүнчүлүгүн жоготту / Домендин мөөнөтү бүттү" Каттоо эсебин калыбына келтирүү каналын колдонуңуз: - Дээрлик бардык ICANN аккредитацияланган каттоочулар логин электрондук почтасы жайгашкан кардарлар үчүн атайын телефон же мамлекеттик ID / корпоративдик-инкорпорация-документти текшерүү иш процессин камсыз кылат. @ эсептин ичиндеги мөөнөтү бүткөн домен. - Каттоочунун колдоосуна чалаардан мурун үч нерсени даярдап коюңуз: (a) кредиттик картанын акыркы 4 саны же мурунку жаңыртуу эсеп-фактурасында колдонулган PayPal транзакциясынын идентификатору, (б) Каттоочунун аккаунтунун идентификатору/Кардардын PIN коду жана (в) өкмөттүн сүрөт ID + Корпорациянын Статьясы / Уюмдун каттоосу (WHOIS) дал келгенTech / Admin / Registrant). 3. ** Киргенден кийин, дароо Каттоо эсебиңиздин электрондук почта дарегин тышкы доменге өзгөртүңүз (@gmail.com, @proton.me, же сизге таандык өзүнчө өзгөчө кырдаал домени) жана Аппараттык коопсуздук ачкычын иштетиңиз (FIDO2) же TOTP Authenticator App MFA, андыктан кирүү эч качан көз каранды эмес @company.com кайра электрондук почта.

2-кадам: Жаңыртуу же RedemptionPeriod (RGP) Калыбына келтирүү¶

1. Эгер домен 1-этапта болсо (Auto-Renew Grace Period, 1-күндөн 30/45ке чейин):
2. Эсеп коюу -> Жаңыртуу же Домендик тизме -> Мөөнөтү бүткөн чыпкага өтүп, жаңыртуу эсеп-фактурасын төлөңүз.
3. Критикалык текшерүү төлөгөндөн кийин 60 секунддан кийин: Домендин Аты серверлерин ачыңыз (NS) регистр тактасындагы орнотуулар. Регистратор сиздин чыныгы аттар сервериңизди автоматтык түрдө артка кайтарып алабы же жокпу текшериңиз (мисалы, ns-123.awsdns-15.com же ada.ns.cloudflare.com) же доменди анын мөөнөтү бүтүп калган паркинг серверлерин көрсөтүп таштап (ns1.sedoparking.com / dns1.registrar-servers.com). Эгерде паркинг серверлери дагы эле тизмеде болсо, өндүрүштүк аталыш серверлериңизди кол менен кайра киргизиңиз жана сактаңыз.
4. Эгер домен 2-этапта болсо (Redemption Grace Period / redemptionPeriod, 30/45 - 75) күндөрү:
5. Каттоочуңуздун жеке тактасын карап көрүңүз, көбүнчө Мөөнөтү бүткөн домендер -> Redemption, Таштандылар / Калыбына келтирүү же Grace/Redemption Биллинг деп белгиленген.
6. RGP калыбына келтирүү акысын + 1 жылдык узартууну төлөңүз.
7. Реестрде RGP калыбына келтирүү кандай иштейт (Verisign / PIR)? RGP акысын төлөгөнүңүздө, регистраторуңуз ** жөнөтөтEPP <update><restore op="request">** TLD реестрине буйрук. Реестр домендин статусун дароо өзгөртөт redemptionPeriod чейин pendingRestore жана сиздин домениңизди коет NS 15-60 мүнөттүн ичинде TLD тамыр зонасына кайра жазат, ал эми регистраторуңуз restore op="report" шайкештикти ырастоо.

3-кадам: Тазалоо аркылуу жергиликтүү ISP кэшинин кечигүүлөрүн айланып өтүңүз 8.8.8.8 жана 1.1.1.1¶

Домениңиздин мөөнөтү бүткөндө, бүткүл дүйнө боюнча рекурсивдүү DNS чечүүчүлөрү паркингдин аталыш серверлерин же терс NXDOMAIN жооп (TLD тарабынан башкарылат SOA Minimum TTL, адатта 900 чейин 3,600 секунд, же 86,400 секунд үчүн NS жазуулар). учур dig @a.gtld-servers.net yourdomain.com NS (суроо .com Түздөн-түз тамыр сервери) чыныгы өндүрүштүк ат серверлериңизди кайрадан көрсөтөт: 1. Google Public DNS Flush Cache ачуу (https://developers.google.com/speed/public-dns/cache): - Аюу түрү NS биринчи үчүн yourdomain.com, анан жуу SOA, A, AAAA, MX, жана TXT. 2. Cloudflare 1.1.1.1 Кэшти тазалоо ачыңыз (https://one.one.one.one/purge-cache/): - Тазалоо NS, A, AAAA, жана MX үчүн yourdomain.com.

3-фаза: Өзгөчө кырдаалдардын аты сервери (NS) DNS провайдери үзгүлтүккө учураганда миграция (жана DNSSEC Тузак)¶

Эгер доменди каттоо 100 пайыз жарактуу жана мөөнөтү бүтө элек болсо, бирок Ыйык DNS Провайдериңиз (Route 53, Cloudflare, GoDaddy DNS, DigitalOcean DNS, Azure DNS, DNSimple, Dyn) катастрофалык үзгүлтүккө учурап жатат же DDoS чабуулу болуп жатат жана сиз домениңиздин Nameservers (NS) азыр камдык DNS провайдерине?

№1 Миграция өлтүргүч: Которуу NS Ал эми DNSSEC (DS Жазуу) Иштетилген¶

Сингди алмаштыруудан мурун NS регистриңизге жазыңыз, текшерүү үчүн бул буйрукту иштетиңиз DNSSEC негизги TLD реестринде домениңизде иштетилген:

dig +short yourdomain.com DS @8.8.8.8

+-------------------------------------------------------------------------+
| WHY CHANGING NS RECORDS WITH AN ACTIVE DS RECORD BREAKS THE INTERNET    |
|                                                                         |
| 1. Parent TLD (.com) holds your old DNS provider's DS Record (Key #2371)|
| 2. Old DNS Provider goes down. You import zone to New DNS Provider      |
|    (unsigned, or signed with a brand-new Key #9910) and swap NS.        |
| 3. Validating Resolver (8.8.8.8 / 1.1.1.1 / Comcast / ISP) queries      |
|    New DNS Provider, sees signature does NOT match DS Key #2371.        |
| 4. Resolver assumes an active MITM Spoofing Attack -> Returns SERVFAIL  |
| 5. RESULT: Your domain stays 100% dead worldwide even though the new    |
|    DNS servers are up and answering cleanly.                            |
+-------------------------------------------------------------------------+

Коопсуз өзгөчө кырдаалдардын аталышы серверинин миграциясын текшерүү тизмеси (Нөл SERVFAIL Процедура)¶

1. Адегенде жаңы DNS провайдеринде толук DNS зона файлыңызды кайра түзүңүз же импорттоңуз:
2. Сиздин DNS жазууларыңызды эс тутумдан эч качан ойлобоңуз (@, www, жана api сейрек гана жазуулар; унутуу MX, SPF/TXT, DKIM, _dmarc, autodiscover, же CAA электрондук почтаны жеткирүү жана TLS жаңыртууларын үзөт).
3. Негизги DNS камсыздоочуңуздун башкаруу тактасы иштебей турганда, толук DNS аймагыңызды кайдан тапса болот:
   • Инфраструктураны код катары текшерүү (Terraform, Pulumi, OctoDNS, DNSControl) Git репозиторийиңизде.
   • ** Акыркы зонанын экспортун текшерүү (BIND .zone файлдар)** же тарыхый DNS маалыматтар базасын издөө (SecurityTrails, ViewDNS.info, DNSDumpster, же Censys / crt.sh субдомендер үчүн).
   • Кэштелген жазууларды сурамдар дагы эле коомдук рекурсивдүү чечүүчүлөрдүн ичинде отурат (dig @8.8.8.8 yourdomain.com MX, dig @1.1.1.1 yourdomain.com TXT, dig @9.9.9.9 api.yourdomain.com A) алардын TTL мөөнөтү аяктаганга чейин.
4. Каттоочуңузга тийүүдөн мурун жаңы DNS провайдери ар бир критикалык жазууга авторитеттүү түрдө жооп берип жатканын текшериңиз: Жаңы провайдериңиз сизди дайындады дейли ns1.rescuedns.com жана ns2.rescuedns.com. Аларды түздөн-түз сынап көрүңүз dig:

   dig @ns1.rescuedns.com yourdomain.com SOA +norecurse
   dig @ns1.rescuedns.com yourdomain.com A +norecurse
   dig @ns1.rescuedns.com yourdomain.com MX +norecurse
   

   чейин күтө тур flags: линиядагы dig аталышы ачык ** камтыйтaa** (Authoritative Answer) жана кайтып келет status: NOERROR.
5. Эгер dig +short yourdomain.com DS кайтты а DS жазуу, колго алуу DNSSEC каттоочуда:
6. Эски DNS провайдерине толук жетүүгө мүмкүн болбогон жигердүү өчүрүү учурунда: Домен каттоочуга (доменди сатып алган жерден) кириңиз, DNSSEC / DS Records бөлүмүнө өтүңүз жана баарын өчүрүңүз DS жаздырат, ошондуктан домен кол коюлбаганга кайтарылат (InsecureTLD аталык зонасында ) режими. чейин күтө тур dig +short yourdomain.com DS @a.gtld-servers.net бош кайтат (жана флеш DS ичинде 8.8.8.8 / 1.1.1.1), же жаңы DNS провайдерин кошуңуз DS пландаштырылган көп кол коюучу миграцияны аткарып жаткан болсо, эскинин жанына жазыңыз.
7. Аты серверлерин жаңыртуу (NS) сиздин домен каттоочуңузда: Өлгөн ысым серверлерин алмаштырыңыз ns1.rescuedns.com жана ns2.rescuedns.com Сиздин каттоочуңуздун Custom Nameservers панелинде (эскертүү: өзгөртүү NS зоналык редактордун ичиндеги жазуулар эски серверлер өлүп калганда *эч нерсе кылбайт; Каттоочунун деңгээлинде Клей / Ата-эне өкүлчүлүгүнүн ат серверлерин өзгөртүшүңүз керек).
8. Тазалоо NS жана DS Google'дагы кэштер (8.8.8.8) жана Cloudflare (1.1.1.1): Жаңы ат серверлерин дароо кабыл алууга мажбурлоо үчүн 2-кадам 3-фазасынан жалпы кэш тазалоо куралдарын колдонуңуз.

4-фаза: өзгөчө кырдаал учурунда 60 күндүк ICANN регистратордун өткөрүп берүү кулпусун сактап калуу¶

Эгер домениңизди жаңы каттоочуга өткөрүп беришиңиз керек болсо, эмне кылуу керек (ICANN Inter-Registrar Transfer), ** тарабынан бөгөттөлүш үчүн ганаDomain Status: clientTransferProhibited** жана билдирүү: "Бул домен 60 күндүк ICANN Transfer Lock астында, анткени байланыш маалыматы жакында жаңыртылган"?

1. Эмне үчүн 60 күндүк кулпу иштетилди: ICANN өткөрүп берүү саясатына (II.C.1-бөлүм) ылайык, домен жаңы катталганда, регистраторлордун ортосунда өткөндө же **"Каттоочунун өзгөрүшүнө" дуушар болгондо, каттоочулар 60 күндүк өткөрүп берүү кулпусун коюшат.
2. Каттоочунун 60 күндүк кулпусун кантип айланып өтүүгө же андан чыгууга болот:
3. WHOIS байланыш маалыматтарын түзөтүүдөн мурун: Дээрлик бардык негизги каттоочулар байланышты түзөтүү экранында төмөнкү кутучаны белгилешет: "Бул байланышты жаңырткандан кийин 60 күндүк өткөрүп берүү кулпусунан баш тартыңыз." Бул кутучаны белгилөө администраторуңуздун/каттоочуңуздун электрондук почта дарегин жаңыртууга жана дагы эле түзүүгө мүмкүндүк берет. EPP Auth-Code (Transfer Secret) ошол эле күнү доменди өткөрүп берүү.
4. DNS провайдерлерин өзгөртүү үчүн доменди каттоону өткөрүп берүүнүн кереги жок экенин унутпаңыз: домен Регистрлердин которууларына каршы 60 күнгө кулпуланган болсо да (clientTransferProhibited), сиз дагы эле анын Аты серверлерин өзгөртө аласыз (NS жазуулар) учурдагы каттоочуда нөлдүк күтүү мөөнөтү менен каалаган убакта; DNS которуштуруу бир нече мүнөттү талап кылат, ал эми толук регистрдик өткөрүп берүү 5-7 күнгө чейин созулат, эгерде жоголгон регистр заматта чыкылдатпаса Чыгуучу которууну бекитүү (FOa) баскычы.

5-фаза: Домендерди каттоону жана DNSти келечектеги үзгүлтүккө каршы катаалдаштыруу¶

Домениңиз жана DNS резолюциясы 100 пайызга калыбына келтирилгенден кийин, бул туруктуулукту текшерүү тизмесин толтуруңуз:

• Иштетүү Registry Lock (serverDeleteProhibited, serverUpdateProhibited, serverTransferProhibited) миссиясы үчүн маанилүү өндүрүш тармактары боюнча: Стандарт Registrar Lock (clientTransferProhibited) бир чыкылдатуу менен өчүрүп койсо болот, эгерде чабуулчу сиздин регистриңиздин логиниңизди уурдап алса. Registry Lock (Verisign, PIR, Cloudflare, CSC, MarkMonitor, Gandi жана Porkbun/Namecheap тарабынан ишкана домендери үчүн сунушталат) доменди түздөн-түз TLD реестринин деңгээлинде кулпулап, бир нече адамдын үн/криптографиялык текшерүүсүн талап кылат. NS жазуу өзгөртүлүшү же домен жок кылынышы мүмкүн.
• Өндүрүш домендерин 5 жылдан 10 жылга чейин жаңыртыңыз (ICANN maximum horizon is 10 years): Эч качан бизнес үчүн маанилүү доменди жыл сайын жаңыртууда калтырбаңыз, мында бир гана мөөнөтү бүтүп калган корпоративдик кредиттик карта мөөнөтү бүтүшүнө алып келиши мүмкүн. 5 жылдан 10 жылга чейин алдын ала төлөө.
• ** Эч качан колдонбоңуз @yourdomain.com каттоочу башкаруучу логин же эсеп-кысап билдирүү байланышы катары электрондук почта дареги yourdomain.com**: Көз карандысыз административдик доменде же катаалданган тышкы каттоо эсебинде атайын коопсуздук бөлүштүрүү тизмесин колдонуңуз жана көзөмөлдөңүз RDAP / WHOIS Автоматташтырылган тышкы Prometheus/Uptime мониторлору аркылуу жарактуулук мөөнөтү (domain_expiry_days < 60).
• ** Төмөнкү NS жана DS TTLs (300 чейин 3600 секунд) ар кандай пландаштырылган DNS миграциясына 48 саат калганда**: TTLлерди алдын ала төмөндөтүү чечүүчүлөрдү пландаштырылган өчүрүүдөн 5 мүнөттүн ичинде алмаштырууну камсыздайт.

Аймактык тез жардам номерлери жана агенттик протоколдору¶

Домен же DNS үзгүлтүккө учурашы саламаттыкты сактоо мекемелерине, шашылыш кызматтарга, муниципалдык кызматтарга же мамлекеттик инфраструктурага таасир эткенде, бул аймактык эскалация каналдарын аткарыңыз:

• Америка Кошмо Штаттары жана Канада: терүү 911 эгерде домен/DNS үзгүлтүккө учураса, клиникалык оорукананын телеметриясы, тез жардам жөнөтүү же өмүр коопсуздугу тутумдары иштен чыкса. DNS инфраструктурасына DDoS чабуулдары же BGP/DNS уурдалышы тууралуу кабарлаңыз CISA (1-844-Say-CISA / cisa.gov/report), FBI IC3 (ic3.gov), же Канада кибер коопсуздук борбору (1-833-CYBER-88). үчүн .gov домендер, CISA менен байланышыңыз .gov Каттоочунун жардам кызматы.
• Улуу Британия: терүү 999 өмүргө коркунуч же NHSдин кескин үзгүлтүккө учурашы үчүн. Критикалык DNS үзгүлтүктөрү же доменди басып алуулар тууралуу кабарлаңыз NCSC (ncsc.gov.uk), жана байланыш Nominet (01865 332244) түздөн-түз шашылыш үчүн .uk / .gov.uk / .nhs.uk реестр маселелери.
• Европа Биримдиги: терүү 112 бардык ЕБ мүчө мамлекеттеринде. DNS кызмат көрсөтүүчүлөрү жана TLD аталышынын реестрлери EU NIS2 Директивасына ылайык жөнгө салынат (Directive 2022/2555) жана 24 сааттын ичинде улуттук CSIRTке жеткиликтүүлүктүн олуттуу инциденттери жөнүндө кабарлашы керек.
• Австралия жана Жаңы Зеландия: терүү 000 Австралияда же 111 Жаңы Зеландияда; маанилүү DNS же домен инциденттерин ACSCге кабарлаңыз (1300 CYBER1), auDA (үчүн .au), же Домендик аталыш комиссиясы NZ (үчүн .nz).
• Индия жана Азия-Тынч океан: терүү 112 өзгөчө кырдаалдарга жооп берүү үчүн Индияда; DNS/домен инфраструктурасынын чабуулдары жөнүндө CERT-In (incident@cert-in.org.in) 6 сааттын ичинде же NIXI үчүн .in реестрди кеңейтүү.

Көп берилүүчү суроолор¶

Эмне үчүн менин доменим расмий WHOIS мөөнөтү аяктаганга чейин 24 саат мурун иштебей калды?¶

Биринчиден, убакыт алкактарын текшериңиз: WHOIS `Registry Expiry Date` ар дайым **UTC менен басылып чыгат (`Z`)**, бул Түндүк Американын убакыт алкактарынан 4-8 саатка алдыда (домендин мөөнөтү аяктайт дегенди билдирет) `2026-11-01T04:00:00Z` иш жүзүндө мөөнөтү бүтөт `8:00 PM PDT` 31-октябрда). Экинчиден, эгерде сиздин `NS` жазуулар болгон `24-hour` же `48-hour` TTL жана каттоочу аларды алмаштырышты `00:00 UTC` жарактуулук күнү, чечүүчүлөрү эрте жаңыланган колдонуучулар токтоо баракчасына дароо киришет, ал эми башкалар бир нече саат бою кэште турушат.

Менин каттоочум иштебей калды же жооп бербей жатат (Dead / De-accredited Registrar) жана менин доменимдин мөөнөтү бүтүп жатат. Аны кантип куткарам?¶

ICANN **Аккредитациядан өтпөгөн регистрге өтүү процедурасы боюнча (`DARTP`)**, ICANN автоматтык түрдө бардык домендерди каттоочулар үчүн нөлдүк баада ээ болгон кастодиан реестрине өткөрүп берет. Текшерүү `whois yourdomain.com` (же `lookup.icann.org`) учурда сиздин домениңизди кайсы **Каттоочу** жана **IANA ID** кармап турганын көрүү үчүн же шашылыш **Доменди жаңыртуу/өткөрүү даттануусун** түз **ICANN Келишимге ылайык келүүсүнө (`icann.org/compliance/complaint`)**.

Эмне үчүн менин веб-сайтым кээ бир кардарлар үчүн уюлдук Интернетте иштеп жатат, бирок доменди жаңырткандан кийин 6 сааттан кийин да кеңсебиздин Wi-Fi тармагында мөөнөтү бүткөн паркинг барагын көрсөтүп турат?¶

Кеңсе тармагыңыз же жергиликтүү ISP рекурсивдүү DNS чечүүчү регистратордун паркинг барагын кэштеди `NS` жана `A` домендин мөөнөтү аяктаганда жазууларды сактайт, ал эми паркинг аттар серверлери жогорку TTLs (`3,600` чейин `86,400` секунда / 24 саат), андыктан жарнама баракчалары кэште узакка сакталат. Google'ду тазалоо (`8.8.8.8`) жана Cloudflare (`1.1.1.1`) алардын веб тазалоо куралдарын колдонуп, андан кийин жергиликтүү компьютериңизде иштетиңиз `ipconfig /flushdns` (Windows), `sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder` (macOS), же `sudo resolvectl flush-caches` (Linux).

Жөнөтүлгөн электрондук почталарга эмне болот @yourdomain.com Биздин домендин же DNSтин мөөнөтү 18 саатка бүттү беле? Алар түбөлүккө жоголдубу?¶

Көпчүлүк учурларда, DNS үзгүлтүккө учураган алгачкы 12 сааттан 48 саатка чейин жөнөтүлгөн мыйзамдуу электрондук каттар ЖОГОЛБОЙТ: алар жөнөтүүчүнүн почта серверинде кезекте турат жана кийинки бир нече сааттын ичинде автоматтык түрдө келет. ** астында`RFC 5321` (Жөнөкөй почта өткөрүп берүү протоколу, Бөлүм 4.5.4.1)**, почта сервери жөнөтүлгөндө (`Gmail`, `Microsoft Exchange Online`, `Postfix`) убактылуу DNS издөө катасын алат (`SERVFAIL`) же анга туташа албайт `MX` хост, ал билдирүүнү кайра аракет кылуу кезегинде **4 күндөн 5 күнгө чейин (`96 to 120 hours`)**, экспоненциалдык артка кайтаруу менен кайра аракет кылуу. Бирок, эгерде каттоочунун мөөнөтү өтүп кеткен унаа токтотуучу бетинде **жооптуу белги нөл болсо `MX` рекорд (`0 .`)** же катты катты четке каккан паркинг почта сервери `550 5.1.1 User Unknown` туруктуу секирүү, ал жөнөтүүчүлөр дароо секирүү эскертмесин алышты жана электрондук каттарын кайра жөнөтүшү керек.

Мен бир эле учурда эки DNS провайдерин орното аламбы (Cloudflare + Route 53) жөн гана эки Cloudflare тизмеси менен NS рекорддор жана эки Маршрут 53 NS менин регистрдеги жазуулар?¶

Ооба, ошондой эле `DNSSEC` өчүрүлгөн (же туура конфигурацияланган `RFC 8901` Multi-Signer DNSSEC) жана эки провайдер бирдей DNS жазууларын тейлейт. Рекурсивдүү чечүүчүлөр тизмедеги бардык ата-энени сурайт `NS` round-robin/RTT кечиктирүү тандоосу менен жазуулар (`SRTT`). Тизмеге келсе `ns1.providerA.com`, `ns2.providerA.com`, `ns1.providerB.com`, жана `ns2.providerB.com` реестриңиздин Ыңгайлаштырылган ысым серверлеринде жана эки зонаны **OctoDNS**, **DNSControl**, **Terraform** аркылуу синхрондоштурууну сактаңыз же `AXFR / IXFR` зоналык которуулар менен, сиздин домениңиз автоматтык түрдө DNS провайдеринин 100 пайыз үзгүлтүккө учурашынан аман калат.

ортосунда кандай айырма бар clientHold жана serverHold КИМде?¶

** менен башталган EPP статус коддору`client...`** (`clientHold`, `clientTransferProhibited`) сиздин **Домен регистраторуңуз** ( Namecheap же GoDaddy сыяктуу каттоо эсебиңизди башкарган чекене сатуучу) тарабынан орнотулган жана каттоочуңуздун колдоосу же эсеп системасы аркылуу дароо өчүрүлүшү мүмкүн. ** менен башталган абал коддору`server...`** (`serverHold`, `serverTransferProhibited`) түздөн-түз **TLD реестр оператору** тарабынан орнотулган (`Verisign`, `PIR`, `Nominet`) соттун буйруктарына, UDRP талаштарына, реестр деңгээлиндеги кыянаттык менен пайдаланууну убактылуу токтотууга же аппараттык **Регистр кулпусуна** байланыштуу жана алып салуу үчүн каттоочу аркылуу Реестрге кайрылууну талап кылат.

Тиешелүү гиддер¶

• Домен аталышын уурдоо, мөөнөтү бүткөн DNS жана веб-сайтты басып алуу
• SSL/TLS тастыктамасынын мөөнөтү бүттү, HSTS алдын ала жүктөө кулпусу, CA CAA жазуу блогу жана шашылыш жаңыртуу
• Google Workspace же Microsoft 365 ыңгайлаштырылган домен администраторунун кулпусу, DNS TXT текшерүүсү жана ижарачыны куткаруу
• DNS уурдоо, ISP роутерин WAN кайра конфигурациялоо жана туткун порталдын спуфинги
• Веб хостинг кризиси, миграция жана резервдик көчүрмөнү калыбына келтирүү
• Өлкөлөр боюнча шашылыш номерлер

Булактар жана расмий жетекчилик¶

• Белгиленген ысымдар жана номерлер үчүн Интернет корпорациясы (ICANN): Мөөнөтү бүткөн Каттоону калыбына келтирүү саясаты (ERRP), Мөөнөтү бүткөн доменди жок кылуу саясаты (EDDP), Каттоочулар аралык которуу саясаты (Каттоочунун 60 күндүк өзгөртүү кулпусу) жана EPP статусунун коддорунун маалымдамасы (clientHold, redemptionPeriod, pendingDelete).
• Интернет инженериясы боюнча жумушчу топ (IETF): RFC 6781 (DNSSEC Операциялык практикасы: Ачкычтын оодарылышы жана өзгөчө кырдаалдар DS Алып салуу) & RFC 8901 (Көп провайдерлердин ыйгарым укуктуу DNS үчүн көп кол коюучу DNSSEC моделдери).
• Улуттук стандарттар жана технология институту (NIST) (Америка Кошмо Штаттары): Атайын жарыялоо 800-81-2: Коопсуз домендик аталыштар системасы (DNS) Жайгаштыруу боюнча колдонмо.
• Киберкоопсуздук жана инфраструктуралык коопсуздук агенттиги (CISA) (Америка Кошмо Штаттары): * Өзгөчө кырдаалдар Директивасы 19-01: DNS инфраструктурасын бузууну азайтуу*.
• Киберкоопсуздук боюнча Европа Биримдигинин Агенттиги (ENISA): NIS2 DNS кызмат көрсөтүүчүлөрү жана TLD аталыштарынын реестрлери үчүн техникалык жетекчилик.