Тайпосквоттингом называют регистрацию доменов, которые почти не отличаются от известного адреса, но содержат типичную опечатку. Расчёт простой: человек торопится, пропускает букву, меняет местами две соседние или попадает по соседней клавише, и вместо нужного сайта оказывается на чужом. Там его может ждать реклама, страница конкурента или поддельная форма входа. Поэтому многие компании заранее занимают самые опасные варианты своего имени, не дожидаясь, пока это сделает кто-то другой.
Как появляются домены-двойники
Тайпосквоттеры выбирают имена не случайно, а исходя из того, как люди чаще всего ошибаются. Самый распространённый случай — пропущенная буква: вместо misolshop.uz набирают misolshp.uz. Второй — перестановка двух соседних символов, третий — удвоенная буква. Отдельная группа — соседние клавиши на клавиатуре, например o и p или n и m, которые путают при быстром наборе.
Ещё один источник риска — другие доменные зоны. Если у компании есть только адрес в зоне .uz, то такое же имя в .com может оставаться свободным. Многие по привычке дописывают именно .com, и если этот домен принадлежит постороннему, часть посетителей уходит к нему. Похожие пары образуют написание с дефисом и без, а также единственное и множественное число в названии.
Чем это опасно на практике
Главная угроза — фишинг. Мошенник копирует внешний вид настоящего сайта на домене с опечаткой и рассылает клиентам письма или SMS вроде «подтвердите заказ». Человек не замечает разницы в одну букву и вводит логин, пароль или данные карты. Пострадавший клиент при этом винит не мошенника, а бренд, под который тот маскировался, поэтому страдает и репутация компании.
Второй риск связан с почтой. Если владелец домена-двойника включил приём писем, то всё, что сотрудники или партнёры отправят с опечаткой в адресе, попадёт к нему: договоры, счета, внутренняя переписка. Наименее опасный, но всё равно неприятный сценарий — простая потеря трафика, когда на ошибочном адресе висит рекламная заглушка или сайт конкурента, а клиент так и не находит вас.
Какие варианты действительно стоит занять
Зарегистрировать все возможные опечатки невозможно и не нужно. Даже для короткого названия их набирается несколько десятков, и каждая требует ежегодного продления. Разумный подход — оценить риски и защитить только наиболее вероятные и наиболее вредные варианты. При выборе помогают такие ориентиры:
- основное имя в других популярных зонах, прежде всего
.com; - вариант без дефиса, если в имени он есть, и наоборот;
- частые опечатки с пропущенной или удвоенной буквой;
- альтернативное написание, если имя можно записать по-разному (например
xиh,iиy); - сочетания бренда со словами «login», «pay» и подобными, если клиенты платят онлайн.
Возьмём для примера магазин бытовой техники в Ташкенте, который работает на texnomisol.uz и принимает оплату через Click и Payme. Ему имеет смысл занять texnomisol.com, tehnomisol.uz (люди часто пишут «h» вместо «x») и texno-misol.uz. А вот редкие опечатки вроде texnomisoll.uz или tdxnomisol.uz чаще всего оказываются выброшенными деньгами.
Сколько защиты нужно малому бизнесу
Уровень угрозы зависит от того, чем занимается компания. Для банка, платёжного сервиса, интернет-магазина или сервиса с личным кабинетом тайпосквоттинг — серьёзная проблема, потому что мошенникам нужны именно логины и платёжные данные. Небольшому кафе, парикмахерской или сайту-визитке обычно хватает двух-трёх основных вариантов: посетитель ничего не вводит, и злоумышленнику почти нечего украсть.
Практичное правило звучит так: сначала защитите основное имя в нужных зонах, а список расширяйте, когда появятся реальные признаки атак или потери трафика. Если компания быстро растёт или готовится к крупной рекламной кампании, защиту выгоднее усилить заранее: когда бренд становится узнаваемым, свободные варианты начинают присматривать и другие.
Что делать с занятыми доменами-двойниками
Просто зарегистрировать домен с опечаткой и оставить его пустым недостаточно. Его нужно привязать к основному сайту постоянным редиректом 301: так заблудившийся посетитель попадёт куда нужно, а поисковые системы будут считать главным только основной адрес. В Nginx это выглядит так:
server {
listen 80;
listen 443 ssl;
server_name tehnomisol.uz www.tehnomisol.uz texnomisol.com www.texnomisol.com;
# ssl_certificate и ssl_certificate_key указываются для этих имён
return 301 https://texnomisol.uz$request_uri;
}Чтобы редирект корректно работал и для HTTPS-запросов, каждому дополнительному домену нужен свой SSL-сертификат, иначе браузер покажет предупреждение ещё до перенаправления. На хостинге sayt.uz сертификаты Let's Encrypt выпускаются бесплатно и продлеваются автоматически, так что защищённый редирект для дополнительных имён настраивается без лишних хлопот. На хостинге с Apache тот же результат даёт файл .htaccess:
RewriteEngine On
RewriteCond %{HTTP_HOST} !^texnomisol\.uz$ [NC]
RewriteRule ^(.*)$ https://texnomisol.uz/$1 [R=301,L]Не забудьте и про почту. Если домен-двойник для писем не используется, не ставьте ему MX-запись, а в SPF прямо запретите отправку с него. Тогда мошенники не смогут рассылать письма от имени вашего же защитного домена:
tehnomisol.uz. IN TXT "v=spf1 -all"
_dmarc.tehnomisol.uz. IN TXT "v=DMARC1; p=reject"Как следить за чужими двойниками
Все варианты не займёт ни одна компания, поэтому оставшиеся полезно периодически проверять. Время от времени смотрите WHOIS по основным опечаткам своего имени и отмечайте, если что-то изменилось. Если подозрительный домен вдруг начинает работать как сайт или принимать почту, об этом лучше узнать как можно раньше. В командной строке проверка занимает секунды:
whois tehnomisol.uz
dig +short A tehnomisol.uz
dig +short MX tehnomisol.uzОбнаружив фишинговую страницу на похожем домене, сначала сохраните доказательства: скриншоты, дату и время, жалобы клиентов. Затем направьте жалобу на злоупотребление хостинг-провайдеру и регистратору домена, а клиентов предупредите через официальные каналы. Если ваш товарный знак зарегистрирован, возможно и юридическое возвращение домена — в таком случае стоит посоветоваться с юристом.
Обучение сотрудников и клиентов
Какими бы ни были технические меры, последняя линия защиты — люди. Чётко указывайте клиентам официальный адрес сайта, используйте в письмах и SMS всегда один и тот же домен и открыто говорите, что никогда не запрашиваете пароль по почте. Сотрудников научите внимательно проверять адреса партнёров и банков и сверять ссылку побуквенно, прежде чем по ней переходить. Такие простые привычки обезвреживают большинство атак с опечатками, а вы тратите деньги только на действительно важные варианты.