ドメイン名とレジストラアカウントを守る基本

このカテゴリ「基本のセキュリティ」では、バックアップやSSL証明書とHTTPSなど、サイトを支える基礎的な仕組みを取り上げています。ドメイン名の管理も、これらと同じくらい基礎的でありながら忘れられがちなテーマです。

ドメイン名は「インターネット上の住所」

ドメイン名（example.co.jp のような文字列）は、インターネット上でお店の住所や看板のような役割を果たしています。この住所が使えなくなったり、他人のものになってしまったりすると、サイトそのものが表示できなくなります。サーバーやCMSのセキュリティに気をつけていても、ドメイン名そのものの管理が見落とされているケースは少なくありません。

見落とされがちな2つのリスク

更新忘れによる失効

ドメイン名は、一定期間ごとに更新（登録の継続）の手続きが必要です。更新を忘れると、ある日突然サイトが表示されなくなります。さらに、失効したドメイン名は誰でも新たに登録できる状態になるため、同じ名前を第三者が取得してしまう「ドメイン名の横取り」が起こる可能性もあります。いったん他人に取得されてしまうと、取り戻すのは簡単ではありません。

レジストラアカウントの乗っ取り

ドメイン名を管理するために使う「レジストラ」（ドメイン名の登録・管理を行う事業者）のログインアカウントが乗っ取られると、ドメイン名の設定を書き換えられたり、他人名義に移管されたりするおそれがあります。JPRS（日本レジストリサービス、.jpドメイン名を管理する指定レジストリ）も、登録情報の不正な書き換えによるドメイン名の乗っ取り（ドメイン名ハイジャック）について、過去に注意喚起を行っています。弱いパスワードのまま、あるいは多要素認証を設定しないままレジストラアカウントを使い続けることは、この入口を開けたままにしておくことと同じです。

レジストラアカウントを守る基本

考え方は、教材「管理画面を守る基本」で解説しているCMSの管理画面と同じです。レジストラのアカウントも、サイトの管理画面と同じくらい重要な「管理画面」の一つだと考えてください。

1. 自動更新（オートレニュー）の設定を有効にし、支払い方法が有効な状態を保つ
2. レジストラアカウントに、推測されにくい強いパスワードを設定する（教材「パスワード管理の基本」参照）
3. レジストラが対応していれば、多要素認証を設定する

連絡先メールアドレスを現役の状態に保つ

ドメイン名の登録時に設定した連絡先メールアドレス（登録者メールアドレス）は、パスワードを忘れたときの本人確認や、更新期限が近づいたときの通知など、多くの復旧・通知の仕組みがこのメールアドレス経由で行われます。退職した担当者のメールアドレスのまま放置するのは避け、実際に見ている人がいるアドレスに更新しておきましょう。

WHOIS・登録者情報の公開について

ドメイン名には、登録者情報を検索できる「WHOIS」という仕組みがあります。登録者の氏名や連絡先が公開される場合があるため、個人で登録している場合は、レジストラが提供している代理公開サービスなど、登録者情報の公開範囲を調整できるオプションがあるかどうかを確認しておくとよいでしょう。

今日からできること

1. 使っているドメイン名の自動更新設定と、有効期限を確認する
2. レジストラアカウントのパスワードを見直し、多要素認証が使えるか確認する
3. 登録者メールアドレスが、実際に確認できる状態になっているか確認する

次に読む

ドメイン名と同じく、ブラウザがサイトを安全だと判断するための基礎である「SSL証明書とHTTPSの基本」も、あわせて確認しておきましょう。

参考にした公開情報

• JPRS（株式会社日本レジストリサービス）：.JPドメイン名の指定レジストリ

この教材は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。各レジストラでの具体的な設定手順は、利用しているレジストラのヘルプページをご確認ください。