Несколько доменов для организации: как собрать защитный набор

Большинство организаций начинают с одного домена, и этого кажется достаточно. Но когда компания становится узнаваемой, похожие на её название домены могут оказаться в чужих руках. Кто-то зарегистрирует имя с дефисом, кто-то заменит одну букву, кто-то займёт то же имя в другой зоне. Такие домены используют, чтобы запутать клиентов, рассылать поддельные письма или уводить трафик к конкуренту. Защитный набор — это несколько дополнительных доменов вокруг основного, которыми организация владеет сама.

Какие варианты действительно опасны

Покупать все возможные варианты бессмысленно — это бесконечные расходы. Разумнее подумать, какую форму клиент чаще всего наберёт по ошибке и какой воспользуется мошенник. Обычно в первую очередь рассматривают такие группы:

Написание с дефисом и без, например misolsavdo.uz и misol-savdo.uz.
Формы, которые в узбекском пишутся по-разному из-за апострофа или буквосочетаний: o' и o, sh и s.
Типичные опечатки при быстром наборе: соседняя клавиша, удвоенная или пропущенная буква.
То же имя в другой зоне, важное для иностранных клиентов.
Латинское написание русского названия, если компанию знают и под ним.

Каждая организация выбирает из этого списка своё. Небольшому семейному магазину хватит одного-двух вариантов, а банку или крупной торговой сети нужен набор шире: они привлекательная цель для мошенников.

Пример: сеть строительных магазинов в Ташкенте

Допустим, магазин стройматериалов с несколькими филиалами работает на домене misolsavdo.uz. Однажды клиент спрашивает о письме от имени магазина: в нём просили «предоплату за скидку», а пришло оно с адреса на misol-savdo.uz. Этим доменом магазин не владел. После этого организация зарегистрировала вариант с дефисом, самую частую опечатку и имя в международной зоне для работы с зарубежными поставщиками. Будь эти домены куплены заранее, мошенник хотя бы не смог использовать их.

Перенаправление дополнительных доменов на основной сайт

Защитный домен не должен пустовать: если человек введёт его в браузере, он должен попасть на основной сайт. Правильный способ — постоянный 301-редирект, тогда и браузер, и поисковик понимают, какой адрес главный. Если дополнительные домены подключены к сайту на вашем хостинге, на Apache это делается через .htaccess:

RewriteEngine On
RewriteCond %{HTTP_HOST} !^misolsavdo\.uz$ [NC]
RewriteRule ^(.*)$ https://misolsavdo.uz/$1 [R=301,L]

На сервере с Nginx тот же результат даёт отдельный блок server:

server {
    listen 443 ssl;
    server_name misol-savdo.uz www.misol-savdo.uz;
    # ssl_certificate и ssl_certificate_key для этого домена
    return 301 https://misolsavdo.uz$request_uri;
}

Обратите внимание: чтобы редирект сработал для пользователя, пришедшего по HTTPS, у дополнительного домена тоже должен быть действующий SSL-сертификат. Иначе браузер ещё до редиректа покажет предупреждение безопасности, и клиент уйдёт, решив, что сайт ненадёжен.

Защита домена, с которого не отправляется почта

Большинство защитных доменов никогда не отправляют письма, но мошенник может попытаться подделать письма от их имени. Чтобы этого не случилось, на таком домене рекомендуется добавить три DNS-записи, которые означают «с этого домена почта не отправляется вообще»:

misol-savdo.uz.          TXT  "v=spf1 -all"
_dmarc.misol-savdo.uz.   TXT  "v=DMARC1; p=reject"
misol-savdo.uz.          MX   0 .

Первая запись говорит, что ни один сервер не вправе отправлять письма от имени домена. Вторая просит серверы получателей отклонять такие письма. Третья называется null MX и объявляет, что домен не принимает почту. Если страница управления DNS не принимает MX со значением-точкой, даже одни SPF и DMARC заметно повышают защиту.

Владение и продление в одном месте

Главный риск защитного набора — истечение срока одного из доменов и его переход к другому человеку. Чаще всего так бывает, когда домены оформлены на разных сотрудников в разных аккаунтах. Сотрудник увольняется, напоминания на его телефон игнорируются, и домен освобождается. Решение простое: держать все домены на организацию в одном общем аккаунте и включить автопродление. В кабинете sayt.uz при включённом автопродлении домен продлевается сам до окончания срока, если хватает баланса, поэтому баланс тоже стоит периодически проверять.

Ведите и простой реестр: имя домена, зачем он куплен, куда перенаправлен, дата окончания и состояние SSL. Раз в год пересматривайте его и решайте, какие варианты больше не нужны, а для каких новых продуктов стоит взять дополнительный домен. Такой реестр также помогает новому сотруднику быстро понять, почему у организации десять доменов, а сайт открывается только по одному адресу.

Пределы защитного набора

Даже самый широкий набор не охватит все похожие имена — мошенник всегда может найти новый вариант. Поэтому вместе с доменами важно информировать и клиентов: чётко указывайте официальные адреса на сайте и в письмах, сообщайте, что запросы на оплату приходят только с основного домена. Если вы обнаружили, что похожий на вашу марку домен используется для мошенничества, сохраните доказательства и обсудите ситуацию с юристом. Порядок решения таких споров зависит от правил зоны и законодательства, поэтому конкретные шаги лучше уточнить у специалиста.