有一类故障是从一封找回密码的邮件开始的。域名到期了没人续，网站打不开，去注册商找回账号，验证邮件发到了 hr@ 这个域名下的邮箱——而邮箱的 MX 记录正指向这个已经停掉的域名。想改 DNS 要先登进注册商，想登进注册商要先收到邮件，想收到邮件要先修好 DNS。圈就这么闭上了。
下面这几件事，都是在域名还能正常解析的时候做的。等到出问题那天再补，成本会高很多。
注册人写公司、法人还是员工
注册人（Registrant）在注册局的记录里就是这个域名的持有人。这一栏跟网站谁在做、服务器在哪，没有关系。
写公司全称是最省事的做法：主体对得上营业执照，对得上合同抬头，日后做备案、开发票、走所有权争议，材料是一条线。写员工个人看着方便，代价是这个人一旦离职，域名在法律记录上就跟他走了；公司要去主张，得拿出付款记录和内部说明来证明代持。
公司还没注册完、只能用个人身份注册的时候，在注册当天写一份代持说明，写清域名、注册人、公司实际承担费用这一事实，双方签一下，和注册确认邮件一起存档。这类文件平时用不上，用上的时候都是麻烦事。
改注册人信息这一步要留意：多数 gTLD 里，注册人发生实质性变更会触发一段转移锁定期（通常是 60 天），期间不能转到别的注册商。近期有迁出计划的，先迁再改，或者改完等锁过去。
账号的登录邮箱，为什么不要用网站自己的域名
注册商账户的登录邮箱如果是 admin@自己的域名，等于把「域名控制权」和「域名可用性」绑在一起。域名一停，邮箱跟着停，账号就进不去了。
换个独立的邮箱做登录名——个人长期能控制的、跟公司域名无关的那种——域名出任何问题都不影响你登进注册商。同一个账号里再挂一个备用邮箱，两个人都能收到通知。
二次验证要开，恢复码不要只存在一个人的手机里。恢复码打印一份放公司保险柜，或者放密码管理器里由两个人共享，都比放在离职同事的手机上强。
国内主机还是海外主机，先定这个再谈备案
备案与否，取决于网站放在哪里，跟域名在哪家注册关系不大。主机在境内，域名要走 ICP 备案：域名先完成实名核验，主体信息与备案主体保持一致，备案通过后解析才能正常对外提供网站服务。主机在境外，不需要 ICP 备案，但域名本身在境内注册商那里仍然要做实名。
几处容易踩的地方：
- 备案主体是 A 公司，域名注册人是 B 个人，两边对不上，审核会退回来。
- 域名注册人变更后，备案信息要跟着变更，别只改一半。
- 网站换到境外主机、不再用境内服务器时，备案该注销就注销，留着不管会牵出别的麻烦。
- 域名过户给别人，备案不会自动跟着走，原主体要去处理。
到期提醒为什么总会失效
自动续费不是保险。它会因为下面这些原因静默失败：卡过期、卡限额、银行风控拦截、注册商调价后扣款失败、通知邮件进了垃圾箱、账户联系人早就离职。失败的时候往往没有声音，等发现的时候域名已经进入赎回期，费用比正常续费高一个数量级。
做一张表，放在团队能改的地方，字段至少这些：
domain,registrar,account_owner,registrant,expiry,renew_price,payment_method,dns_host,registrar_lock,auto_renew,last_checked,notes
再配两条提醒：注册商自己的到期通知，加上日历里提前 90 天和提前 30 天各一条，收件人是两个人。每季度打开表核对一次，重点看续费价有没有变、卡有没有过期、账户联系人还在不在职。
到期后的时间窗大致是：宽限期内还能正常续费，之后进入赎回期（费用高，通常 30 天左右），再往后是待删除。不同后缀规则不同，别按一个后缀的经验套另一个。
真要迁走，卡在哪几步
转注册商的顺序是固定的：
- 在现注册商后台关掉转移锁（
clientTransferProhibited状态消失），或者先确认锁是关的。 - 取授权码（EPP code / Auth code）。
- 在新注册商提交转入，付款。
- 现注册商可能发确认邮件，注意查收并确认（有的默认自动放行）。
- 等完成，多数 gTLD 是 5 到 7 天。成功后一般会延长一年有效期。
两个时间坑：新注册或刚转入的域名，60 天内通常不能再转；刚改过注册人信息，也可能被锁 60 天。迁出前先查状态——注册商后台的域名详情页一般会直接把状态码列出来，命令行也能看：
whois example.com | grep -iE "status|registrar|creation|expiry"
列表里出现 clientTransferProhibited 就是锁着，得回后台关掉；只有 ok 或者没有这条，说明可以转。顺手核对 creation、expiry 两个日期跟台账里的记录对不对得上。不同后缀的 whois 输出字段不一样，.cn 这类以注册商页面上写的信息为准，别拿 .com 的格式去套。
注册人那一栏多数域名会被隐去，能确认到注册商或代理机构就够用。要看带角色标记的结构化记录，用注册局提供的 RDAP 查询页面，输入域名就能拿到，比 whois 好读。
隐私保护开着还是关着，出争议拿什么证明
在 gTLD 上，受隐私法规影响，注册局和注册商对公开 WHOIS 里的个人信息基本都做了隐藏或脱敏，很多场景下额外付费买隐私保护已经不是必需项。ccTLD 规则各不相同，以注册商页面写的为准。
真正要准备的是举证材料。所有权争议里，注册局记录只是其中一环，能证明「这个域名一直由谁在付钱、谁在管理」的材料更管用。平时就存好：
- 注册成功确认邮件、续费发票、付款流水（能对上公司账户）。
- 注册商账户里的注册人信息页面截图，带时间戳。
- 定期导出的 whois / RDAP 查询结果，作为某个时间点的记录快照。
- 代持说明或内部授权文件（如果注册人不是公司本身）。
这些东西放在一个共享目录里，别只存在某个人电脑上。
买二手域名怎么验
老域名有历史权重，也可能带着历史包袱。下面几条命令能排除掉一部分问题：
# 解析是否被污染：多个公共 DNS 结果不一致要警惕（也可能是分区域解析）
for r in 223.5.5.5 119.29.29.29 8.8.8.8 1.1.1.1; do
printf '%-14s ' "$r"; dig +short @$r example.com A | tr '\n' ' '; echo
done
# 是否残留别人的邮件发信配置
for t in NS MX TXT; do echo "== $t"; dig +short $t example.com; done
dig +short TXT _dmarc.example.com
# 证书能不能正常签发、当前证书是谁的
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null \
| openssl x509 -noout -subject -issuer -dates
TXT 里如果留着指向别家邮件服务的 SPF 记录、或者有过期的站点验证记录，说明这个域名之前被人拿去发过信、挂过站，接手后先清理。再配合网页存档的历史快照、搜索引擎收录情况、以及浏览器安全浏览的拦截查询，看它有没有被用于垃圾内容或被标记过。这一步没有捷径，花半小时翻一翻，比上线后才发现强。
离职交接那张表
域名的控制权实际落在「谁有账号、谁有授权码、谁能改注册人」上。注册商支持子账号的，给运维开最小权限：能改解析、能看账单，但改注册人、转出、删除域名这几项留给负责人。
离职交接清单按人核，不按岗位核：
- 该员工在注册商账户里是不是独立子账号，能不能单独禁用。
- 登录邮箱、备用邮箱分别是谁的。
- 二次验证绑在谁的设备上，恢复码在谁手里。
- 有没有人私下拿过授权码。
- 域名台账里
account_owner这一列写的是不是当前在职的人。
交接当天就把子账号停掉、密码改掉、恢复码换新，别等下周。
这周能做的两件事
把台账建起来，先填一行：域名、注册商、账号持有人、注册人、到期日、续费价、付款方式、DNS 托管在哪。然后打开注册商账户，把登录邮箱换成不依赖该域名的那个，把恢复码交给第二个人。剩下的可以慢慢补，这两件今天做，成本最低。
