Тайпосквоттинг деб бошқа бировнинг машҳур доменига жуда ўхшаш, лекин битта ҳарфи хато ёзилган номни рўйхатдан ўтказиб, адашган фойдаланувчиларни ўз сайтига олиб кетишга айтилади. Одам браузерга шошиб манзил ёзганда битта ҳарфни тушириб қолдириши, иккита ҳарфни алмаштириб юбориши ёки клавиатурада ёнма-ён турган тугмани босиб юбориши жуда оддий ҳол. Шундай хато билан келган ташрифчи кимга тегишли эканини билмайдиган сайтга тушади ва у ерда реклама, сохта логин саҳифаси ёки рақобатчининг таклифини кўриши мумкин. Шунинг учун кўп компаниялар ўз номининг энг хавфли хато вариантларини олдиндан рўйхатдан ўтказиб қўяди.
Хато доменлар қандай пайдо бўлади
Тайпосквоттинг қилаётган одамлар тасодифий ном танламайди, улар одамлар энг кўп қиладиган хатоларни ҳисобга олади. Энг кенг тарқалган ҳолат битта ҳарфни тушириб қолдириш бўлиб, масалан misolshop.uz ўрнига misolshp.uz ёзилади. Иккинчи ҳолат икки қўшни ҳарфнинг ўрни алмашиши, учинчиси эса ҳарфни икки марта ёзиб юборишдир. Клавиатурада ёнма-ён жойлашган тугмалар, масалан o ва p ёки n ва m, ҳам тез-тез алмашиб кетади.
Алоҳида хавф туғдирадиган гуруҳ бошқа домен зоналаридир. Агар компания фақат .uz зонасидаги номга эга бўлса, худди шу номнинг .com ёки бошқа зонадаги варианти бўш қолиши мумкин. Одамлар кўпинча одат бўйича .com деб ёзиб юборади ва бу ном бегона қўлда бўлса, трафикнинг бир қисми ўша томонга кетади. Чизиқча билан ва чизиқчасиз ёзилиш, бирлик ва кўплик шакллари ҳам шундай адаштирувчи жуфтликлар ҳосил қилади.
Бу нима учун хавфли
Энг катта хавф фишинг ҳужумлари билан боғлиқ. Фирибгар хато ёзилган доменда асл сайтнинг айнан нусхасини яратади ва мижозларга "буюртмангизни тасдиқланг" мазмунидаги хат ёки SMS юборади. Одам ҳаволани кўриб, битта ҳарф фарқини сезмайди ва логин, парол ёки карта маълумотларини киритади. Бу ҳолатда зарар фақат мижозга эмас, балки бренднинг обрўсига ҳам тегади, чунки одамлар алданганликни сизнинг компаниянгиз билан боғлайди.
Яна бир хавф электрон почта билан боғлиқ. Агар хато домен бегона одамда бўлса ва у ўша домен учун почта қабул қилишни ёқиб қўйса, ходимлар ёки ҳамкорлар манзилни хато ёзганда юборган хатлар унга тушиб қолади. Шартномалар, ҳисоб-фактуралар ва ички ёзишмалар шу тариқа бегона қўлга ўтиши мумкин.
Қайси вариантларни олиш ўзини оқлайди
Барча мумкин бўлган хато вариантларни рўйхатдан ўтказиш мумкин эмас ва бунга эҳтиёж ҳам йўқ. Ҳатто қисқа ном учун ҳам ўнлаб вариант чиқади, уларнинг ҳар бири ҳар йили узайтириш тўловини талаб қилади. Шунинг учун амалий ёндашув хавфни баҳолаш ва фақат энг эҳтимолли, энг зарарли вариантларни ҳимоя қилишдир. Танлашда қуйидаги мезонлар ёрдам беради:
- асосий номингизнинг бошқа машҳур зоналардаги варианти, айниқса
.com; - номда чизиқча бўлса, чизиқчасиз шакли ва аксинча;
- тез-тез учрайдиган битта ҳарф тушиб қолган ёки икки марта ёзилган вариант;
- ном икки хил ёзилиши мумкин бўлса, иккинчи имло шакли (масалан
xваh,iваy); - бренд номи ва унга қўшилган "login", "pay" каби сўзлар, агар мижозларингиз онлайн тўлов қилса.
Масалан, Тошкентдаги бир маиший техника дўкони texnomisol.uz доменида ишлайди ва Click, Payme орқали тўлов қабул қилади. Бундай дўкон учун texnomisol.com, tehnomisol.uz (чунки одамлар "х" ўрнига "ҳ" ёзишга мойил) ва texno-misol.uz вариантларини олиш мантиқли. Аммо texnomisoll.uz ёки tdxnomisol.uz каби камдан-кам учрайдиган хатоларни олиш кўпинча пулни беҳуда сарфлаш бўлади.
Кичик бизнес учун қанча ҳимоя етарли
Ҳар бир компания бир хил даражада хавф остида эмас. Банк, тўлов хизмати, онлайн дўкон ёки шахсий кабинетга эга хизмат учун тайпосквоттинг жиддий таҳдид, чунки фирибгарларнинг мақсади айнан логин ва тўлов маълумотлари. Кичик кафе, сартарошхона ёки фақат маълумот берувчи визитка-сайт учун эса икки-уч асосий вариант ҳам етарли бўлади.
Яхши қоида шундай: аввал асосий бренд номини керакли зоналарда ҳимоя қилинг, кейин реал ҳужум ёки трафик йўқотиш белгилари пайдо бўлса, рўйхатни кенгайтиринг. Агар компания тез ўсаётган бўлса ёки реклама кампанияси бошланаётган бўлса, ҳимояни олдиндан кучайтириш арзонроқ тушади, чунки бренд таниқли бўлгач, бўш вариантларни бошқалар ҳам кўзлай бошлайди.
Олинган хато доменлар билан нима қилиш керак
Хато доменни шунчаки рўйхатдан ўтказиб бўш қолдириш етарли эмас, уни асосий сайтга 301 йўналтириш билан улаш керак. Шунда адашган ташрифчи керакли жойга тушади, қидирув тизимлари эса асосий доменни битта асл манба деб ҳисоблайди. Nginx серверида бундай йўналтириш қуйидагича ёзилади:
server {
listen 80;
listen 443 ssl;
server_name tehnomisol.uz www.tehnomisol.uz texnomisol.com www.texnomisol.com;
# ssl_certificate va ssl_certificate_key shu nomlar uchun alohida ko'rsatiladi
return 301 https://texnomisol.uz$request_uri;
}HTTPS орқали келган сўровлар ҳам тўғри йўналтирилиши учун ҳар бир хато доменга SSL сертификат керак, акс ҳолда браузер йўналтиришдан олдин хавфсизлик огоҳлантиришини кўрсатади. sayt.uz хостингида Let's Encrypt сертификати бепул ва автоматик янгиланади, шунинг учун қўшимча доменларни ҳам ҳимояланган ҳолда йўналтириш қийин эмас. Apache ишлатиладиган хостингда худди шу натижага .htaccess файли орқали эришилади:
RewriteEngine On
RewriteCond %{HTTP_HOST} !^texnomisol\.uz$ [NC]
RewriteRule ^(.*)$ https://texnomisol.uz/$1 [R=301,L]Почта масаласини ҳам унутманг. Агар хато домен учун почта умуман ишлатилмаса, унга MX ёзувини қўймаслик ва SPF ёзувида ҳеч кимга хат юборишга рухсат бермаслик керак. Бу фирибгарлар сизнинг хато доменингиз номидан хат юбора олмаслигини таъминлайди:
tehnomisol.uz. IN TXT "v=spf1 -all"
_dmarc.tehnomisol.uz. IN TXT "v=DMARC1; p=reject"Бегона хато доменларни кузатиб бориш
Ҳеч қайси компания барча вариантларни ўзи ололмайди, шунинг учун қолганларини кузатиб туриш фойдали. Вақти-вақти билан номингизнинг асосий хато вариантларини WHOIS орқали текширинг ва уларнинг ҳолати ўзгарганини қайд этинг. Агар шубҳали домен фаол сайт ёки почта билан ишлай бошласа, буни тезда билиш муҳим. Буйруқ қаторида бу текширув оддий:
whois tehnomisol.uz
dig +short A tehnomisol.uz
dig +short MX tehnomisol.uzАгар кимдир сизнинг брендингизга ўхшаш доменда фишинг саҳифаси очганини аниқласангиз, аввал далилларни сақланг: саҳифа скриншотлари, сана ва вақт, мижозлардан келган шикоятлар. Кейин хостинг провайдерига ва домен регистраторига суиистеъмол ҳақида мурожаат қилинг, мижозларингизни эса расмий каналлар орқали огоҳлантиринг. Савдо белгиси рўйхатдан ўтган бўлса, ҳуқуқий йўл билан доменни қайтариш имконияти ҳам бор, бундай ҳолатда юрист билан маслаҳатлашиш тўғри бўлади.
Ходимлар ва мижозларни ўргатиш
Техник чоралар қанчалик яхши бўлмасин, охирги ҳимоя чизиғи барибир одамлар. Мижозларга расмий сайт манзилини аниқ кўрсатиб қўйинг, хатларда ва SMS хабарларда доим бир хил домендан фойдаланинг ва ҳеч қачон паролни хат орқали сўрамаслигингизни очиқ айтинг. Ходимларга эса ҳамкорлар ва банк манзилларини ёзганда диққат қилишни, шубҳали ҳаволага босишдан олдин манзилни ҳарфма-ҳарф текширишни ўргатинг. Бундай оддий одатлар тайпосквоттинг ҳужумларининг кўпини самарасиз қилади ва сиз фақат ҳақиқатан муҳим хато вариантларга пул сарфлайсиз.