为什么GoDaddy反复出现域名安全争议？行业内幕浅析

这也是当前值得重点关注的优化方向之一。

其次是向ICANN合同合规部门正式投诉。ICANN要求注册商严格遵守转移验证规则，未经授权的内部转移可能违反RAA。投诉需详细事实描述与证据链，历史上ICANN曾就GoDaddy的WHOIS和转移政策展开调查，虽然周期较长，但对注册商形成一定约束力。这一步的关键在于将争议上升到行业监管层面，而非停留在单一客服层面。

历史泄露数据与内部转移机制的薄弱验证相结合，容易放大域名劫持风险。双2FA保护账户登录，隐私服务遮蔽WHOIS信息，但当操作来自注册商内部系统时，前端防护往往覆盖不足。这就像房屋门锁升级多次，却忽略了地下室围栏早已破损，GoDaddy出售的各类保护难以完全弥补自身安全链条的断裂。

一个用了多年的老域名，突然从GoDaddy账号里消失，网站打不开，邮箱全黑屏。你打电话给客服，对方只说“等等，我们在处理”。几天后，域名已转给陌生人，一切都来不及了。

从历史数据看，GoDaddy多次卷入安全争议。2025年美国联邦贸易委员会针对其网站托管服务发起调查，指控尽管宣传“获奖安全”，实际却未落实合理多因素认证、威胁监控和网络分段等措施，导致2019至2022年间多次数据泄露，影响上百万客户。更早的域名劫持案例中，合法域名被用于垃圾邮件或勒索软件，部分根源在于账户验证环节的松散。增长优先于严谨风控的权衡，在大规模运营下显得尤为突出。

月下旬，一起域名意外转移事件在Hacker News和Reddit上迅速发酵。一家IT服务商的客户域名已稳定使用27年，却在开启双重2FA和付费保护服务的情况下，被GoDaddy内部用户无文档执行转移，导致全国20个关联站点及邮箱服务中断长达4天。审计日志显示转移备注为“Change Validated: No”，整个过程从账户恢复请求到完成仅用几分钟，陌生人随即接管并重置DNS区域。

内部流程漏洞与历史泄露数据相结合，极大放大了域名劫持风险。外部攻击者可能利用旧凭证或流程细节，而注册商内部转移机制又缺乏独立验证，双2FA和付费保护主要覆盖账户登录与WHOIS信息，却难以阻挡后台系统层面的操作。这就像一栋房子门锁坚固，却忽略了地下室早已破损的围栏，GoDaddy出售的各种保护服务，本质上无法完全弥补自身链条的断裂。

域名所有权本质上是基于注册协议的合同权利，而非绝对财产。GoDaddy作为ICANN认证注册商，受《注册商委任协议》（RAA）约束，必须确保未经授权不得进行转移。当内部用户操作绕过验证时，受害者可主张违约或过失。历史数据显示，类似未经授权转移并非孤例，早年GoDaddy曾因数据泄露或内部处理不当面临用户起诉，核心矛盾在于内部“合法外衣”操作如何规避现有多因素保护。

最近，一起域名转移事件再次将GoDaddy推上风口浪尖。一个使用了27年的非营利组织域名在双重2FA和完整保护服务开启的状态下，仍被平台内部用户无文档验证直接转走，导致网站和邮件服务中断四天。这类操作绕过常规防护，审计日志显示“变更验证：否”，暴露了大型注册商在内部流程标准化下的潜在漏洞。表面看是客服响应迟缓或单一失误，但重复模式值得深思。

很多企业和个人长期把域名托管在GoDaddy，开启双重2FA、购买Full Domain Protection后，总觉得数字资产有了层层防护。直到一起真实案例曝光：一个使用了27年的老域名，在没有额外文档验证的情况下，被平台内部“Internal User”直接转到陌生账号，关联的网站和邮箱业务瞬间黑屏，中断整整4天。这个事件并非孤立个案，它直接暴露了注册商内部流程在授权转移环节的脆弱性。

在GoDaddy此次事件中，转移发生在同一注册商内部账户之间，审计日志明确显示变更未经验证，整个过程似乎未触发标准FOA，也没有要求持有人外部授权。隐私保护和双2FA在内部流程中未能有效发挥作用。GoDaddy过去曾因严格执行60天锁定期被质疑超出政策要求，如今同一注册商内账号转移却成了明显的监管灰色地带，更多依赖平台自身的内部控制。

企业级应用场景中，规模化瓶颈比想象中更顽固，值得持续观察后续政策与基础设施的配合程度。