Domain Registrar o DNS Provider Outage: Nag-expire na Domain Redemption Grace Period, DNSSEC SERVFAIL Trap, at Emergency Nameserver Migration¶

Paggising upang matuklasan na ang pangunahing website ng iyong kumpanya, ang mga endpoint ng API (api.example.com), at corporate email (MX mga tala para sa Google Workspace o Microsoft 365) ay ganap na hindi maabot sa buong mundo (DNS_PROBE_FINISHED_NXDOMAIN o SERVFAIL) ay isang total-blackout na krisis sa imprastraktura. Hindi tulad ng isang nag-crash na web server na nakakaapekto sa isang serbisyo, isang Domain Name System (DNS) o pagkabigo sa pagpaparehistro ng domain ay naghihiwalay sa bawat solong serbisyo sa ilalim ng iyong root domain nang sabay-sabay, kabilang ang Single Sign-On (SSO), mga portal ng suporta sa customer, at mga papasok na email ng pagtugon sa insidente. Sa pagsasagawa, ang global domain blackouts ay nagmumula sa tatlong natatanging trigger: (1) isang aksidenteng domain expiration kung saan nag-expire ang isang credit card sa file at na-hijack ng registrar ang iyong NS mga tala upang tumuro sa isang pay-per-click na pahina ng paradahan 24 to 48 hours bago ang aktwal na petsa ng pag-expire; (2) isang DDoS attack o control-plane outage sa iyong authoritative DNS provider (Route 53, Cloudflare, GoDaddy, Namecheap, DNSimple, NS1); o (3) isang nasira DNSSEC (DS record) chain of trust habang nagmamadaling lumipat ng nameserver na nagdudulot ng pagpapatunay ng mga solver (8.8.8.8, 1.1.1.1, mga solver ng ISP) upang ibagsak ang 100 porsyento ng iyong trapiko SERVFAIL. Kung nakompromiso ng isang attacker ang iyong mga kredensyal sa pag-log in sa registrar at inilipat o binago ang iyong domain nang may masamang hangarin, lumipat sa pag-hijack ng domain name, nag-expire na DNS, at pagkuha ng website; kung nag-expire o nasira ang iyong TLS certificate pagkatapos mabawi ang DNS, tingnan Nag-expire ang SSL/TLS certificate sa produksyon, HSTS preload lockout, at emergency renewal at Google Workspace o Microsoft 365 custom domain admin lockout at pag-verify ng DNS. Kung hindi pinapagana ng outage na ito ang mga klinikal na komunikasyon sa ospital, 911/112 emergency dispatch routing, o mga kritikal na pampublikong kagamitan, tawagan ang iyong lokal na emergency number (911 sa Estados Unidos at Canada, 112 sa buong European Union, 999 sa United Kingdom) o kumonsulta sa aming direktoryo ng mga numerong pang-emergency.

Gawin ito ngayon¶

1. Mag-diagnose sa loob ng 10 segundo kung ang kabiguan ay Expired/Suspended Domain (EPP Status), isang Authoritative DNS Provider Outage, o a DNSSEC Pagkabigo sa Pagpapatunay:
2. Takbo whois yourdomain.com | grep -iE "Status|Expiry|Name Server" at dig +trace yourdomain.com.
3. Subukan kung bypassing DNSSEC pagpapatunay (+cd = Checking Disabled) ginagawang muling malutas ang iyong domain:

   dig @8.8.8.8 yourdomain.com A
   dig @8.8.8.8 yourdomain.com A +cd
   

   Kung ang unang utos ay bumalik status: SERVFAIL habang ang pangalawang utos (+cd) agad na bumalik status: NOERROR sa IP address ng iyong server, HINDI down ang iyong mga DNS server: ang iyong DNSSEC (DS record sa registrar) ay nasira. Tumalon kaagad sa Phase 3 para tanggalin ang lipas DS record sa iyong registrar.
4. Kung nag-expire ang iyong domain (Auto-Renew Grace Period o Redemption Grace Period), mag-log in sa iyong kasalukuyang registrar at bayaran ang renewal/redemption fee; HUWAG hintayin na "i-drop" ang domain para maiparehistro mo itong muli nang mura:
5. Sa unang 1 hanggang 45 araw pagkatapos mag-expire (Auto-Renew Grace Period), ang pag-renew sa iyong dashboard ng registrar ay nagpapanumbalik ng iyong orihinal na mga nameserver sa karaniwang gastos sa pag-renew ($10 to $30).
6. Sa loob ng 30-araw Redemption Grace Period (RGP / redemptionPeriod), dapat mong bayaran ang mandatoryong bayad sa redemption sa pagpapatala ($80 to $250) sa pamamagitan ng iyong kasalukuyang registrar. Kung hihintayin mong matapos ng domain ang 5-araw Pending Delete yugto upang i-save $100, mga awtomatikong drop-catching sniper bots (DropCatch, SnapNames, NameJet) ay aagawin ang iyong domain sa loob 5 milliseconds ng paglabas at pag-auction nito para sa libu-libong dolyar.
7. ** HUWAG palitan ang iyong mga Nameserver (NS) malayo sa DNSSEC-enabled DNS provider (tulad ng Cloudflare, Route 53, o Google Cloud DNS) nang hindi inaalis ang DS itala muna sa iyong registrar**: Kung DNSSEC ay pinagana at pinagpalit mo ang iyong NS nagre-record sa isang rescue DNS provider sa panahon ng outage nang hindi tinatanggal ang magulang DS (Delegation Signer) itala sa .com / .org TLD zone muna, tatanggihan ng bawat validating resolver sa Earth ang mga hindi napirmahang tugon ng bagong DNS provider bilang isang cryptographic spoofing attack (SERVFAIL).
8. Kung ikaw ay naka-lock out sa iyong kumpanya @yourdomain.com email dahil sa iyong domain MX ang mga tala ay down, HUWAG i-click ang "Ipadala ang code sa pag-reset ng password sa admin@yourdomain.com" sa iyong registrar: Habang ang iyong domain NS o MX ang mga tala ay offline, anumang email sa pagpapatunay na ipinadala sa @yourdomain.com tumalbog o nawawala sa isang pila. Gamitin ang SMS/Authenticator MFA ng iyong registrar, out-of-band backup na email (@gmail.com / @proton.me), o daloy ng pag-verify ng pagkakakilanlan ng telepono.
9. Pagkatapos mag-renew ng nag-expire na domain, manu-manong i-verify na naibalik ng iyong Registrar ang iyong orihinal na Custom Nameservers (NS) sa halip na iwanang naka-on ang domain sedoparking.com / renewyourname.net: Kapag nag-expire ang isang domain, ino-overwrite ng mga registrar ang iyong custom NS mga talaan na may mga nameserver ng paradahan (ns1.parklogic.com, dns1.name-services.com). Minsan ang pagbabayad sa pag-renew ay nag-a-update ng petsa ng pag-expire sa susunod na taon habang iniiwan ang mga nameserver ng paradahan na aktibo hanggang sa manu-mano mong ibalik ang mga ito.
10. I-flush ang pandaigdigang pampublikong recursive DNS cache (Google 8.8.8.8, Cloudflare 1.1.1.1, OpenDNS) ang pangalawa iyong NS o DS naibalik ang mga talaan: Sa halip na maghintay ng 24 hanggang 48 oras para sa naka-cache NXDOMAIN o paradahan-pahina NS mga tala upang natural na mag-expire, mag-trigger ng instant global cache purge sa Google Public DNS (developers.google.com/speed/public-dns/cache) at Cloudflare 1.1.1.1 (one.one.one.one/purge-cache/).

Decision tree: pandaigdigang domain o DNS blackout emergency triage¶

Gamitin ang flowchart na ito upang matukoy ang eksaktong layer ng DNS hierarchy (TLD Registry, Registrar EPP Status, DNSSEC DS Chain, o Authoritative Nameserver) kung saan nabigo ang resolusyon:

flowchart TD
    Start["Global Outage: Hindi Nalutas ang Domain Web at Email (NXDOMAIN / SERVFAIL)"] --> RunDiag["Patakbuhin: whois domain.com AT humukay @8.8.8.8 domain.com +cd"]

    RunDiag --> CheckCD{"Nabigo ba ang paghuhukay ng @8.8.8.8 domain.com, Habang Nagtagumpay ang Pagdaragdag ng +cd?"}

    CheckCD -->|"Oo: Gumagana sa +cd, Nabigo Nang walang +cd"| DnssecBreak["Sirang DNSSEC Chain of Trust: Tanggalin ang Stale DS Record sa Registrar OR Re-Sign Zone -> Flush 8.8.8.8 & 1.1.1.1"]

    CheckCD -->|"Hindi: Parehong Nabigo o Bumalik sa IP paradahan"| CheckWhois{"Siyasatin ang Katayuan ng Domain at Petsa ng Pag-expire ng WHOIS EPP"}

    CheckWhois -->|"Katayuan: clientHold o serverHold"| HoldState["Registrar / Registry Suspension: Kumpletuhin ang ICANN RAA Email Verification O Abuse/Billing Ticket Kaagad"]

    CheckWhois -->|"Lumipas ang Petsa ng Pag-expire (Status: autoRenewPeriod)"| GraceRenew["Araw 1 hanggang 45 Post-Expiry: Magbayad ng Standard Renewal sa Registrar Portal -> I-verify ang Custom NS Restored"]

    CheckWhois -->|"Katayuan: redemptionPeriod (RGP)"| RgpRestore["Araw 45 hanggang 75 Post-Expiry: Buksan ang Urgent Registrar Support Ticket / Magbayad ng RGP Restore Fee ($80-$250) Kaagad"]

    CheckWhois -->|"Katayuan: nakabinbing Tanggalin"| PendingDel["Panghuling 5-Day Lock: Hindi Mai-renew sa Registrar -> Maglagay ng Mga Backorder sa Lahat ng Pangunahing Drop-Catchers Ngayon"]

    CheckWhois -->|"Status: ok / clientTransferProhibited AT Expiry in Future"| AuthDown["Domain Registration Healthy -> Authoritative DNS Provider Outage o Missing Zone"]

    AuthDown --> MigrateNS["Mag-import ng Zone File (`BIND` / Terraform) sa Pangalawang DNS Provider -> Alisin ang DS Record kung Naka-on ang DNSSEC -> I-update ang NS sa Registrar"]

Phase 1: Ang ICANN Domain Expiration Lifecycle (Auto-Renew vs. Redemption vs. Pending Delete)¶

Kapag ang isang generic na Top-Level Domain (gTLD tulad ng .com, .net, .org, .io, .ai, .co, .app, .dev) ay mag-e-expire dahil nabigo ang isang auto-renew na credit card o nakansela ang isang finance card pagkatapos umalis ang isang empleyado, ang domain ay dumaan sa isang mahigpit na multi-stage na lifecycle na pinamamahalaan ng **Patakaran sa Pagbawi ng Expired Registration ng ICANN (ERRP) at mga kasunduan sa registry operator (Verisign para sa .com/.net, PIR para sa .org, Identity Digital).

Paano namatay ang isang domain at kung bakit ito nag-o-offline BAGO o SA Araw 1 ng pag-expire¶

+-------------------------------------------------------------------------+
| ICANN gTLD EXPIRATION TIMELINE (.com / .net / .org example)             |
|                                                                         |
| [Active Domain]                                                         |
|       |                                                                 |
|       v  (Expiration Date Reached: Day 0)                               |
| +---------------------------------------------------------------------+ |
| | STAGE 1: Auto-Renew Grace Period (Day 1 to Day 30-45)               | |
| | - EPP Status: ok or clientHold (Registrar swaps your NS to parking) | |
| | - Production Impact: 100% OFFLINE within 0 to 48 hours of expiry    | |
| | - Recovery: Log into registrar & pay normal renewal ($10-$30).      | |
| +---------------------------------------------------------------------+ |
|       |  (Registrar sends Delete command to Registry at Day 30-45)      |
|       v                                                                 |
| +---------------------------------------------------------------------+ |
| | STAGE 2: Redemption Grace Period [RGP] (Exactly 30 Calendar Days)   | |
| | - EPP Status: redemptionPeriod (Domain removed from TLD Root Zone)  | |
| | - Recovery: Still 100% guaranteed to original owner, MUST pay       | |
| |   Registry RGP Redemption Fee ($80-$250) + renewal via registrar.   | |
| +---------------------------------------------------------------------+ |
|       |  (30-Day RGP expires without redemption payment)                |
|       v                                                                 |
| +---------------------------------------------------------------------+ |
| | STAGE 3: Pending Delete (Exactly 5 Calendar Days)                   | |
| | - EPP Status: pendingDelete                                         | |
| | - Recovery: IMPOSSIBLE to renew or redeem at any price. Registry    | |
| |   rejects all registrar commands until public drop at Day 5 (~18:00 | |
| |   UTC for Verisign .com/.net).                                      | |
| +---------------------------------------------------------------------+ |
+-------------------------------------------------------------------------+

Ihambing ang iyong eksaktong mga karapatan, gastos, at pagkilos sa pagbawi sa bawat yugto ng pag-expire, kabilang ang country-code Top-Level Domains (ccTLDs parang .uk, .de, .eu, .ca, .au), na hindi sumusunod sa ICANN gTLD mga tuntunin:

Phase 2: Step-by-step na pagbawi ng isang nag-expire na o RedemptionPeriod domain¶

Sundin ang eksaktong pagkakasunud-sunod na ito upang maibalik ang isang nag-expire na domain sa online sa pinakamaikling posibleng panahon:

Hakbang 1: Mabawi ang access sa iyong Registrar Account kapag @yourdomain.com patay ang email¶

Narito ang klasikong Catch-22 ng isang nag-expire na domain: - Ang iyong domain (company.com) nag-expire, kaya MX mga tala para sa company.com tumigil sa pagresolba. - Subukan mong mag-log in sa iyong domain registrar (GoDaddy, Namecheap, Cloudflare, Porkbun, Hover, Network Solutions, Gandi), at sinabi ng registrar: "Nagpadala kami ng 6-digit na verification code sa admin@company.com." - kasi company.com ay nag-expire na, hindi na makakarating ang email na iyon.

Paano agad na maalis sa nag-expire na domain na email loop: 1. HUWAG maglipat o magbago ng anuman: tingnan kung maaari mong paikutin ang isang pansamantalang pang-emergency na tagahuli ng mail LAMANG kung ang domain ay hindi nag-expire (kung ang domain mismo ay nag-expire sa antas ng TLD, MX hindi malulutas kahit saan hanggang sa ma-renew). 2. Gamitin ang "Nawalang Access sa Email / Nag-expire na Domain" na Channel ng Pagbawi ng Account ng Registrar: - Halos lahat ng ICANN-accredited registrar ay nagbibigay ng dedikadong telepono o government-ID / corporate-incorporation-document verification workflow partikular para sa mga customer na may email sa pag-log in. @ ang nag-expire na domain sa loob ng account. - Maghanda ng tatlong item bago tumawag sa suporta sa registrar: (a) ang huling 4 na digit ng credit card o PayPal transaction ID na ginamit sa nakaraang renewal invoice, (b) iyong Registrar Account ID / Customer PIN, at © isang government photo ID + Articles of Incorporation / utility bill na tumutugma sa WHOIS Registrant Organization (Tech / Admin / Registrant). 3. Sa sandaling naka-log in, agad na baguhin ang iyong email address ng Registrar Account sa isang panlabas na domain (@gmail.com, @proton.me, o isang hiwalay na pang-emerhensiyang domain na pagmamay-ari mo) at paganahin ang Hardware Security Key (FIDO2) o TOTP Authenticator App MFA kaya hindi nakadepende ang login @company.com email ulit.

Hakbang 2: Isagawa ang Pag-renew o RedemptionPeriod (RGP) Ibalik¶

1. Kung ang domain ay nasa Stage 1 (Auto-Renew Grace Period, Mga Araw 1 hanggang 30/45):
2. Pumunta sa Billing -> Renewals o Domain List -> Expired Filter at bayaran ang renewal invoice.
3. Critical Check 60 segundo pagkatapos magbayad: Buksan ang Nameservers ng domain (NS) mga setting sa registrar dashboard. Suriin kung awtomatikong ibabalik ng registrar ang iyong mga tunay na nameserver (halimbawa, ns-123.awsdns-15.com o ada.ns.cloudflare.com) o iniwan ang domain na tumuturo sa mga expired-parking server nito (ns1.sedoparking.com / dns1.registrar-servers.com). Kung nakalista pa rin ang mga server ng paradahan, manu-manong muling ipasok ang iyong mga nameserver ng produksyon at i-save.
4. Kung ang domain ay nasa Stage 2 (Redemption Grace Period / redemptionPeriod, Mga Araw 30/45 hanggang 75):
5. Tumingin sa isang hiwalay na tab sa loob ng iyong registrar dashboard na kadalasang may label na Expired Domains -> Redemption, Trash / Restore, o Grace/Redemption Billing.
6. Bayaran ang RGP Restore fee + 1 taong pag-renew.
7. Paano gumagana ang pagpapanumbalik ng RGP sa Registry (Verisign / PIR)? Kapag binayaran mo ang RGP fee, magpapadala ang iyong registrar ng EPP <update><restore op="request"> utos sa TLD Registry. Agad na binago ng Registry ang katayuan ng domain mula sa redemptionPeriod sa pendingRestore at inilalagay ang iyong domain NS nagre-record pabalik sa TLD Root Zone sa loob ng 15 hanggang 60 minuto habang isinusumite ng iyong registrar ang restore op="report" pagkumpirma ng pagsunod.

Hakbang 3: I-bypass ang mga pagkaantala sa cache ng lokal na ISP sa pamamagitan ng paglilinis 8.8.8.8 at 1.1.1.1¶

Noong nag-expire na ang iyong domain, na-cache ng mga recursive DNS resolver sa buong mundo ang mga nameserver ng paradahan o ang negatibo NXDOMAIN tugon (pinamamahalaan ng TLD's SOA Minimum TTL, kadalasan 900 sa 3,600 segundo, o 86,400 segundo para sa NS mga tala). Ang sandali dig @a.gtld-servers.net yourdomain.com NS (pagtatanong ng .com direkta sa root server) ay muling ipinapakita ang iyong tunay na production nameserver: 1. Buksan ang Google Public DNS Flush Cache (https://developers.google.com/speed/public-dns/cache): - Uri ng flush NS una para sa yourdomain.com, pagkatapos ay i-flush SOA, A, AAAA, MX, at TXT. 2. Buksan ang Cloudflare 1.1.1.1 Purge Cache (https://one.one.one.one/purge-cache/): - Purge NS, A, AAAA, at MX para sa yourdomain.com.

Phase 3: Emergency Nameserver (NS) Migration Sa panahon ng DNS Provider Outage (At ang DNSSEC bitag)¶

Paano kung ang pagpaparehistro ng iyong domain ay 100 porsiyentong wasto at hindi pa nag-expire, ngunit ang iyong Authoritative DNS Provider (Route 53, Cloudflare, GoDaddy DNS, DigitalOcean DNS, Azure DNS, DNSimple, Dyn) ay dumaranas ng isang sakuna o pag-atake ng DDoS, at kailangan mong i-migrate ang mga Nameserver ng iyong domain (NS) sa isang backup na DNS provider ngayon?

Ang #1 Migration Killer: Lumipat NS Habang DNSSEC (DS Record) Ay Pinagana¶

Bago magpalit ng single NS record sa iyong registrar, patakbuhin ang command na ito upang suriin kung DNSSEC ay pinagana sa iyong domain sa parent TLD registry:

dig +short yourdomain.com DS @8.8.8.8

+-------------------------------------------------------------------------+
| WHY CHANGING NS RECORDS WITH AN ACTIVE DS RECORD BREAKS THE INTERNET    |
|                                                                         |
| 1. Parent TLD (.com) holds your old DNS provider's DS Record (Key #2371)|
| 2. Old DNS Provider goes down. You import zone to New DNS Provider      |
|    (unsigned, or signed with a brand-new Key #9910) and swap NS.        |
| 3. Validating Resolver (8.8.8.8 / 1.1.1.1 / Comcast / ISP) queries      |
|    New DNS Provider, sees signature does NOT match DS Key #2371.        |
| 4. Resolver assumes an active MITM Spoofing Attack -> Returns SERVFAIL  |
| 5. RESULT: Your domain stays 100% dead worldwide even though the new    |
|    DNS servers are up and answering cleanly.                            |
+-------------------------------------------------------------------------+

Checklist ng Ligtas na Pang-emergency na Nameserver Migration (Zero SERVFAIL Pamamaraan)¶

1. Muling buuin o i-import ang iyong kumpletong DNS Zone File sa bagong DNS provider muna:
2. Huwag kailanman hulaan ang iyong mga tala ng DNS mula sa memorya (@, www, at api ay bihira lamang ang mga talaan; nakakalimot MX, SPF/TXT, DKIM, _dmarc, autodiscover, o CAA sinisira ang paghahatid ng email at pag-renew ng TLS).
3. Saan mahahanap ang iyong buong DNS zone kapag ang dashboard ng iyong pangunahing DNS provider ay naka-down:
   • Suriin ang Infrastructure-as-Code (Terraform, Pulumi, OctoDNS, DNSControl) sa iyong Git repository.
   • Suriin ang mga kamakailang pag-export ng zone (BIND .zone file) o maghanap sa mga makasaysayang DNS database (SecurityTrails, ViewDNS.info, DNSDumpster, o Censys / crt.sh para sa mga subdomain).
   • Ang mga naka-cache na tala ng query ay nakaupo pa rin sa loob ng mga pampublikong recursive na solver (dig @8.8.8.8 yourdomain.com MX, dig @1.1.1.1 yourdomain.com TXT, dig @9.9.9.9 api.yourdomain.com A) bago mag-expire ang kanilang mga TTL.
4. I-verify na ang bagong DNS provider ay sumasagot nang may awtoridad para sa bawat kritikal na tala BAGO hawakan ang iyong registrar: Ipagpalagay na itinalaga ka ng iyong bagong provider ns1.rescuedns.com at ns2.rescuedns.com. Subukan ang mga ito nang direkta sa dig:

   dig @ns1.rescuedns.com yourdomain.com SOA +norecurse
   dig @ns1.rescuedns.com yourdomain.com A +norecurse
   dig @ns1.rescuedns.com yourdomain.com MX +norecurse
   

   Maghintay hanggang sa flags: linya sa dig tahasang kasama sa header ang aa (Authoritative Answer) at nagbabalik status: NOERROR.
5. Kung dig +short yourdomain.com DS ibinalik a DS itala, hawakan DNSSEC sa registrar:
6. Sa panahon ng isang aktibong outage kung saan ang lumang DNS provider ay ganap na hindi maabot: Mag-log in sa iyong Domain Registrar (kung saan mo binili ang domain), pumunta sa DNSSEC / DS Records na seksyon, at tanggalin ang lahat DS records kaya bumalik ang domain sa unsigned (Insecure) mode sa TLD parent zone. Maghintay hanggang dig +short yourdomain.com DS @a.gtld-servers.net nagbabalik na walang laman (at flush DS sa 8.8.8.8 / 1.1.1.1), o idagdag ang bagong DNS provider DS itala sa tabi ng luma kung gagawa ng nakaplanong multi-signer migration.
7. I-update ang mga Nameserver (NS) sa iyong Domain Registrar: Palitan ang mga patay na nameserver ng ns1.rescuedns.com at ns2.rescuedns.com sa Custom Nameservers panel ng iyong registrar (tandaan: nagbabago NS ang mga tala sa loob ng zone editor ay *walang ginagawa kapag ang mga lumang server ay patay na; dapat mong palitan ang Glue / Parent Delegation Nameservers sa antas ng Registrar).
8. Purge NS at DS mga cache sa Google (8.8.8.8) at Cloudflare (1.1.1.1): Gamitin ang mga tool sa pampublikong pag-purge ng cache mula sa Phase 2 Step 3 para pilitin ang agarang pag-adopt ng mga bagong nameserver.

Phase 4: Nakaligtas sa 60-Araw na ICANN Registrar Transfer Lock sa panahon ng emergency¶

Paano kung kailangan mong ilipat ang iyong domain sa isang bagong registrar (ICANN Inter-Registrar Transfer), para lang ma-block ni Domain Status: clientTransferProhibited at isang mensahe na nagsasabing: "Ang domain na ito ay nasa ilalim ng 60-araw na ICANN Transfer Lock dahil kamakailang na-update ang impormasyon sa pakikipag-ugnayan"?

1. Bakit nag-trigger ang 60-araw na lock: Sa ilalim ng ICANN Transfer Policy (Seksyon II.C.1), ang mga registrar ay naglalagay ng 60-araw na transfer lock sa tuwing ang isang domain ay bagong rehistro, inilipat sa pagitan ng mga registrar, o sumasailalim sa isang "Pagbabago ng Registrant" (ina-update ang Pangalan, Apelyido, Pangalan ng Organisasyon, o Email Address ng contact).
2. Paano mag-bypass o mag-opt out sa Change-of-Registrant 60-day lock:
3. Bago i-edit ang mga detalye ng contact sa WHOIS: Halos lahat ng pangunahing registrar ay nagbibigay ng checkbox sa mismong screen ng pag-edit ng contact na may label na: "Mag-opt out sa 60-araw na lock ng paglipat pagkatapos ng update sa contact na ito." Ang paglalagay ng check sa kahon na iyon ay nagbibigay-daan sa iyong i-update ang iyong admin/registrant email address at makabuo pa rin ng isang EPP Auth-Code (Transfer Secret) upang ilipat ang domain sa parehong araw.
4. Tandaan na HINDI mo kailangang ilipat ang pagpaparehistro ng domain upang baguhin ang mga DNS provider: Kahit na naka-lock ang isang domain sa loob ng 60 araw laban sa Registrar Transfers (clientTransferProhibited), maaari mo pa ring baguhin ang Nameservers nito (NS records) sa kasalukuyang registrar anumang oras na walang panahon ng paghihintay; Ang paglipat ng DNS ay tumatagal ng ilang minuto, samantalang ang isang buong paglilipat ng registrar ay tumatagal ng hanggang 5 hanggang 7 araw maliban kung ang natalong registrar ay nag-click kaagad Aprubahan ang Papalabas na Paglipat (FOa) na buton.

Phase 5: Pinapatigas ang mga pagpaparehistro ng domain at DNS laban sa mga outage sa hinaharap¶

Kapag 100 porsiyentong naibalik ang iyong domain at DNS resolution, kumpletuhin ang checklist ng resilience na ito:

• Paganahin Registry Lock (serverDeleteProhibited, serverUpdateProhibited, serverTransferProhibited) sa mission-critical production domain: Standard Registrar Lock (clientTransferProhibited) ay maaaring i-toggle off sa isang pag-click kung in-hijack ng attacker ang iyong registrar login. Ang Registry Lock (inaalok ng Verisign, PIR, Cloudflare, CSC, MarkMonitor, Gandi, at Porkbun/Namecheap para sa mga domain ng enterprise) ay direktang nagla-lock ng domain sa antas ng TLD Registry, na nangangailangan ng out-of-band na multi-person voice/cryptographic na pag-verify bago ang anumang NS Maaaring baguhin ang talaan o tanggalin ang domain.
• I-renew ang mga domain ng produksyon sa loob ng 5 hanggang 10 taon nang maaga (ICANN maximum horizon is 10 years): Huwag kailanman mag-iwan ng domain na kritikal sa negosyo sa taon-taon na pag-renew kung saan ang isang nag-expire na corporate credit card ay maaaring mag-trigger ng expiration outage. Pre-pay 5 hanggang 10 taon nang sabay-sabay.
• Huwag gumamit ng isang @yourdomain.com email address bilang contact sa pag-login o notification sa pagsingil sa pamamahala ng registrar yourdomain.com: Gumamit ng nakalaang listahan ng pamamahagi ng seguridad sa isang independiyenteng administratibong domain o hardened external na account, at subaybayan RDAP / WHOIS mga petsa ng pag-expire sa pamamagitan ng awtomatikong panlabas na Prometheus/Uptime monitor (domain_expiry_days < 60).
• Mababa NS at DS Mga TTL (300 sa 3600 segundo) 48 oras bago ang anumang nakaplanong paglilipat ng DNS: Ang pagpapababa ng mga TTL nang maaga ay tinitiyak na lumipat ang mga solver sa loob ng 5 minuto ng isang nakaplanong cutover.

Mga panrehiyong numero ng emergency at mga protocol ng ahensya¶

Kapag ang isang domain o DNS outage ay nakakaapekto sa mga pasilidad ng pangangalagang pangkalusugan, mga serbisyong pang-emergency, mga munisipal na kagamitan, o imprastraktura ng pamahalaan, sundin ang mga panrehiyong channel ng pagdami na ito:

• Estados Unidos at Canada: I-dial 911 kung hindi pinapagana ng isang domain/DNS outage ang telemetry ng klinikal na ospital, pagpapadala ng ambulansya, o mga sistema ng kaligtasan sa buhay. Iulat ang mga pag-atake ng DDoS sa imprastraktura ng DNS o pag-hijack ng BGP/DNS sa CISA (1-844-Say-CISA / cisa.gov/report), ang FBI IC3 (ic3.gov), o ang Canadian Center para sa Cyber Security (1-833-CYBER-88). Para sa .gov mga domain, makipag-ugnayan sa CISA .gov Helpdesk ng Registrar.
• United Kingdom: I-dial 999 para sa mga banta sa buhay o matinding pagkagambala sa NHS. Iulat ang mga kritikal na DNS outage o domain hijack sa NCSC (ncsc.gov.uk), at makipag-ugnayan sa Nominet (01865 332244) direkta para sa apurahan .uk / .gov.uk / .nhs.uk mga isyu sa pagpapatala.
• European Union: I-dial 112 sa lahat ng estadong miyembro ng EU. Ang mga DNS service provider at TLD name registries ay kinokontrol sa ilalim ng EU NIS2 Directive (Directive 2022/2555) at dapat mag-ulat ng mahahalagang insidente sa pagkakaroon sa kanilang pambansang CSIRT sa loob ng 24 na oras.
• Australia at New Zealand: I-dial 000 sa Australia o 111 sa New Zealand; mag-ulat ng kritikal na DNS o mga insidente ng domain sa ACSC (1300 CYBER1), auDA (para sa .au), o Domain Name Commission NZ (para sa .nz).
• India at Asia-Pacific: I-dial 112 sa India para sa emergency na pagtugon; iulat ang mga pag-atake sa imprastraktura ng DNS/domain sa CERT-In (incident@cert-in.org.in) sa loob ng 6 na oras o NIXI para sa .in mga pagtaas ng rehistro.

Mga madalas itanong¶

Bakit huminto sa paggana ang aking domain 24 na oras BAGO ang opisyal na timestamp ng pag-expire ng WHOIS?¶

Una, tingnan ang mga timezone: WHOIS `Registry Expiry Date` ay palaging naka-print sa **UTC (`Z`)**, na 4 hanggang 8 oras bago ang mga timezone sa North American (ibig sabihin, isang domain ang mag-e-expire sa `2026-11-01T04:00:00Z` talagang mag-e-expire sa `8:00 PM PDT` noong Oktubre 31). Pangalawa, kung ikaw `NS` ang mga talaan ay nagkaroon ng a `24-hour` o `48-hour` Pinagpalit sila ng TTL at ng registrar sa `00:00 UTC` sa araw ng pag-expire, ang mga user na ang mga solver ay na-refresh nang maaga ay pumupunta kaagad sa pahina ng paradahan habang ang iba ay nananatiling naka-cache nang ilang oras.

Ang aking registrar ay ganap na wala sa negosyo o hindi tumutugon (Dead / De-accredited Registrar), at ang aking domain ay mag-e-expire. Paano ko ito ililigtas?¶

Kapag winakasan o inalis ng ICANN ang isang nabigong registrar sa ilalim ng **De-Accredited Registrar Transition Procedure (`DARTP`)**, Awtomatikong inililipat ng ICANN nang maramihan ang lahat ng domain sa isang nakakakuhang tagapagparehistro ng tagapag-ingat nang walang halaga sa mga nagparehistro. Suriin `whois yourdomain.com` (o `lookup.icann.org`) para makita kung aling **Registrar** at **IANA ID** ang kasalukuyang may hawak ng iyong domain, o maghain ng apurahang **Pag-renew ng Domain / Reklamo sa Paglipat** nang direkta sa **ICANN Contractual Compliance (`icann.org/compliance/complaint`)**.

Bakit gumagana ang aking website para sa ilang customer sa cellular data, ngunit ipinapakita pa rin ang nag-expire na pahina ng paradahan sa aming opisina na Wi-Fi 6 na oras pagkatapos kong i-renew ang domain?¶

Na-cache ng iyong network ng opisina o lokal na ISP recursive DNS resolver ang pahina ng paradahan ng registrar `NS` at `A` mga tala habang ang domain ay nag-expire, at ang mga nameserver ng paradahan ay kilalang-kilalang nagtakda ng matataas na TTL (`3,600` sa `86,400` segundo / 24 na oras) upang ang mga pahina ng ad ay manatiling naka-cache nang mas matagal. I-flush ang Google (`8.8.8.8`) at Cloudflare (`1.1.1.1`) gamit ang kanilang mga tool sa web purge, pagkatapos ay sa iyong lokal na computer run `ipconfig /flushdns` (Windows), `sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder` (macOS), o `sudo resolvectl flush-caches` (Linux).

Ano ang Mangyayari sa Mga Email na Ipinadala sa @yourdomain.com Habang Nag-expire ang Aming Domain o DNS sa loob ng 18 Oras? Sila ba ay Nawala Magpakailanman?¶

Sa karamihan ng mga kaso, HINDI nawawala ang mga lehitimong email na ipinadala sa unang 12 hanggang 48 na oras ng pagkawala ng DNS: nakapila ang mga ito sa mail server ng nagpadala at awtomatikong darating sa susunod na ilang oras. Sa ilalim ng **`RFC 5321` (Simple Mail Transfer Protocol, Seksyon 4.5.4.1)**, kapag nagpapadala ng mail server (`Gmail`, `Microsoft Exchange Online`, `Postfix`) ay nakakakuha ng pansamantalang DNS lookup failure (`SERVFAIL`) o hindi makakonekta sa isang `MX` host, inilalagay nito ang mensahe sa isang retry queue para sa **4 hanggang 5 araw (`96 to 120 hours`)**, muling sinusubukang may exponential backoff. Gayunpaman, kung ang nag-expire na pahina ng paradahan ng registrar ay may kasamang **wildcard null `MX` record (`0 .`)** o isang parking mail server na tinanggihan ang mail nang may hard `550 5.1.1 User Unknown` permanenteng bounce, nakatanggap ang mga nagpadalang iyon ng agarang abiso ng bounce at dapat muling ipadala ang kanilang mga email.

Maaari ba akong mag-set up ng dalawang DNS provider sa parehong oras (Cloudflare + Route 53) sa pamamagitan lamang ng paglilista ng dalawang Cloudflare NS mga tala at dalawang Ruta 53 NS record sa aking registrar?¶

oo, basta `DNSSEC` ay hindi pinagana (o maayos na na-configure sa `RFC 8901` Multi-Signer DNSSEC) at ang parehong provider ay naghahatid ng magkaparehong mga tala ng DNS. Ang mga recursive resolver ay nagtatanong sa lahat ng nakalistang magulang `NS` mga talaan gamit ang round-robin/RTT latency selection (`SRTT`). Kung ilista mo `ns1.providerA.com`, `ns2.providerA.com`, `ns1.providerB.com`, at `ns2.providerB.com` sa Custom Nameservers ng iyong registrar at panatilihing naka-synchronize ang parehong mga zone gamit ang **OctoDNS**, **DNSControl**, **Terraform**, o `AXFR / IXFR` zone transfers, ang iyong domain ay awtomatikong makakaligtas sa 100 porsyentong pagkawala ng alinman sa DNS provider.

Ano ang pagkakaiba ng clientHold at serverHold sa WHOIS?¶

EPP status code na nagsisimula sa **`client...`** (`clientHold`, `clientTransferProhibited`) ay itinakda ng iyong **Domain Registrar** (ang retailer kung saan mo pinamamahalaan ang iyong account, gaya ng Namecheap o GoDaddy) at maaaring alisin kaagad ng suporta o sistema ng pagsingil ng iyong registrar. Mga status code na nagsisimula sa **`server...`** (`serverHold`, `serverTransferProhibited`) ay direktang itinakda ng **TLD Registry Operator** (`Verisign`, `PIR`, `Nominet`) dahil sa mga utos ng hukuman, mga hindi pagkakaunawaan sa UDRP, mga pagsususpinde sa pang-aabuso sa antas ng rehistro, o hardware **Registry Lock**, at nangangailangan ng pakikipag-ugnayan sa Registry sa pamamagitan ng iyong registrar upang maalis.

Mga kaugnay na gabay¶

• Pag-hijack ng domain name, nag-expire na DNS, at pagkuha ng website
• Nag-expire ang SSL/TLS certificate sa produksyon, HSTS preload lockout, CA CAA record block, at emergency renewal
• Google Workspace o Microsoft 365 custom domain admin lockout, DNS TXT verification, at tenant rescue
• DNS hijacking, ISP router WAN reconfiguration, at captive portal spoofing
• Krisis sa web hosting, paglipat, at backup na pagpapanumbalik
• Mga numerong pang-emergency ayon sa bansa

Mga mapagkukunan at opisyal na patnubay¶

• Internet Corporation para sa mga Nakatalagang Pangalan at Numero (ICANN): Nag-expire na Patakaran sa Pagbawi sa Pagpaparehistro (ERRP), Nag-expire na Patakaran sa Pagtanggal ng Domain (EDDP), Inter-Registrar Transfer Policy (60-Day Change-of-Registrant Lock), at EPP Status Codes Reference (clientHold, redemptionPeriod, pendingDelete).
• Internet Engineering Task Force (IETF): RFC 6781 (Mga Kasanayan sa Operasyon ng DNSSEC: Mga Pangunahing Rollover at Emergency DS Pag-alis) & RFC 8901 (Multi-Signer DNSSEC Models para sa Multi-Provider Authoritative DNS).
• National Institute of Standards and Technology (NIST) (Estados Unidos): Espesyal na Publikasyon 800-81-2: Secure Domain Name System (DNS) Gabay sa Deployment.
• Cybersecurity at Infrastructure Security Agency (CISA) (United States): Emergency Directive 19-01: Pagbabawas ng DNS Infrastructure Tampering.
• Ahensya ng European Union para sa Cybersecurity (ENISA): NIS2 Technical Guidance para sa DNS Service Provider at TLD Name Registries.