レジストリロックは、ドメインの移管・削除・ネームサーバー変更などを、TLD の台帳を管理するレジストリ側で止めておく仕組みです。レジストラの管理画面が乗っ取られても、レジストリとの間で決めた本人確認を経ないと変更できないため、ドメインの乗っ取り対策として最も強い部類に入ります。この記事では、レジストラロックとの違い、有効化までの流れ、有効化した後に運用で困りやすい点を説明します。
レジストラロックとレジストリロックの違い
名前が似ていますが、ロックをかける主体と、解除に必要な手続きが違います。
- レジストラロック（移管ロック）: レジストラが設定するロックです。ステータスは
clientTransferProhibited（移管禁止）、clientUpdateProhibited（情報変更禁止）、clientDeleteProhibited（削除禁止）などで表されます。多くのレジストラで無料で、管理画面のスイッチ1つで解除できます。 - レジストリロック: レジストラからの依頼を受けて、レジストリが設定するロックです。ステータスは
serverTransferProhibited、serverUpdateProhibited、serverDeleteProhibitedなどになります。解除には、レジストラとレジストリの間で事前に決めた本人確認（指定された担当者からの依頼、合言葉、電話での確認など）が必要です。
レジストラロックは「管理画面にログインできる人なら外せる」ロックです。フィッシングやパスワードの使い回しでレジストラのアカウントを奪われると、攻撃者はロックを外してネームサーバーを書き換えたり、移管したりできます。レジストリロックは、この「管理画面を奪われた場合」を想定した対策で、アカウントとは別の経路での確認を挟むことで被害を防ぎます。
2018〜2019年には、レジストラや DNS 事業者のアカウントを奪ってネームサーバーを書き換える攻撃が各国で報告され、米国では政府機関向けに DNS の改ざん対策を求める指示も出されました。政府機関、金融機関、大規模な EC サイトなど、ドメインを奪われたときの影響が大きい組織ほど導入が進んでいます。
導入が向いているドメイン
レジストリロックは、変更のたびに手間と時間がかかるため、すべてのドメインに向くわけではありません。次のような条件に当てはまるものから検討します。
- 会社の代表ドメインや、ログイン・決済・メールに使うドメイン
- 乗っ取られた場合に、顧客の認証情報やメールが盗まれるおそれがあるドメイン
- ネームサーバーや登録者情報をほとんど変更しないドメイン
逆に、検証用のドメインや、ネームサーバーを頻繁に切り替える運用のドメインには向きません。まずはレジストラロックと二要素認証で守り、重要なドメインだけにレジストリロックを追加する、という段階的な考え方が現実的です。
有効化する手順
1. TLD とレジストラが対応しているか確認する
レジストリロックは、レジストリが提供している TLD でしか使えません。.com と .net では Verisign が提供しており、.jp でも JPRS が同種のサービスを提供しています。ほかの TLD については、レジストリの案内で提供の有無を確認します。
さらに、契約しているレジストラがその TLD のレジストリロックを取り扱っている必要があります。個人向けの低価格なレジストラでは扱っていないことも多く、企業ブランド向けのレジストラ（MarkMonitor、CSC など）で提供されることが多いサービスです。取り扱いがなければ、対応するレジストラへの移管から検討することになります。提供状況や費用、申し込み方法は各社で異なり、変わることもあるため、最新の案内を確認してください（2026年10月現在）。
2. 申し込む前に現在の状態を確認する
ロックをかけた後は情報の変更に手間がかかるため、登録者情報、管理者の連絡先、ネームサーバー、DNSSEC の DS レコードが正しい状態かを先に確認します。
# ステータス・ネームサーバー・有効期限を確認する
whois example.com | grep -iE 'Status|Name Server|Expir'
# RDAP（JSON）でステータスを確認する
curl -sL https://rdap.org/domain/example.com | jq '.status'
# DS レコードを確認する（DNSSEC を使っている場合）
dig example.com DS +shortRDAP の応答では、ステータスが client transfer prohibited のように空白区切りの文字列で返ります。whois の表記と書き方は違いますが、意味は同じです。
3. 解除の手続きと担当者を決める
申し込みで重要なのは、ロックをかけること自体より「誰が、どの方法で解除を依頼できるか」を決める部分です。レジストラによって形式は異なりますが、一般に次のような項目を決めます。
- 解除を依頼できる担当者（複数名にしておくと、担当者の不在や退職に備えられます）
- 本人確認の方法（合言葉、登録済みの電話番号への折り返し、書面など）
- 解除にかかる時間の目安と、緊急時の連絡窓口
担当者を1人にしておくと、その人が不在のときに誰も解除できなくなります。少なくとも2人を登録し、担当者が替わったときにはレジストラに届け出る手順を社内の手順書に残しておきます。
4. 有効になったことを確認する
レジストラから完了の連絡が来たら、第三者から見える情報でロックがかかっていることを確かめます。
whois example.com | grep -i 'serverTransferProhibited\|serverUpdateProhibited\|serverDeleteProhibited'server で始まる3つのステータスが表示されていれば、レジストリ側でロックがかかっています。client で始まるステータス（レジストラロック）も併用しておくと、二重の防御になります。
有効化した後に困りやすい点
ネームサーバー変更と DNSSEC の鍵の更新
serverUpdateProhibited がかかっている間は、ネームサーバーの変更や DS レコードの登録・削除もできません。DNS 事業者を乗り換えるときや、DNSSEC の鍵を更新して DS レコードを差し替えるときは、事前に解除を依頼し、作業後に再びロックをかける計画を立てます。とくに DNSSEC の鍵の更新は、DS の差し替えが遅れると名前解決に失敗するおそれがあるため、解除にかかる時間を見込んで日程を組みます。
緊急時の切り替え
DNS 事業者の大規模な障害や攻撃のときに、別の DNS へすぐ切り替えたいことがあります。レジストリロックがあると、解除の手続きの分だけ時間がかかります。緊急時に切り替える可能性があるなら、解除の依頼から完了までの実際の所要時間をレジストラに確認し、必要に応じて普段から複数の DNS 事業者を併用する構成も検討します。
更新はできるか
レジストリロックは移管・変更・削除を止めるもので、一般に更新（契約の延長）は妨げません。ただし、レジストラの更新処理との関係は事業者によって扱いが異なる可能性があるため、申し込み時に確認しておきます。自動更新は引き続き有効にしておきます。
レジストリロックでは守れないもの
レジストリロックが守るのは、レジストリに登録されている情報（登録者、ネームサーバー、DS レコード、移管の可否）です。DNS 事業者側で管理している A レコードや MX レコードは対象外です。Cloudflare や Route 53 などのアカウントを奪われれば、ネームサーバーはそのままでも、レコードを書き換えられてしまいます。
次の対策は、レジストリロックとは別に必要です。
- レジストラと DNS 事業者の両方のアカウントで二要素認証を有効にする
- 管理用のメールアドレスを、そのドメイン以外のアドレスにする
- 管理者アカウントを必要な人だけに絞り、退職者のアカウントを削除する
- ネームサーバーと主要なレコードの値を定期的に監視し、変化があれば通知する
まとめ
- レジストラロックは管理画面から外せるロック、レジストリロックはレジストリ側で設定され、別経路の本人確認がないと外せないロックです。
- 使えるかどうかは TLD とレジストラの両方の対応で決まります。.com / .net や .jp では提供されていますが、取り扱うレジストラは限られます。
- 申し込みでは、解除を依頼できる担当者を複数決め、本人確認の方法と所要時間を確認します。
- 有効化後は whois や RDAP で
serverで始まるステータスを確認します。ネームサーバー変更や DS の差し替えには事前の解除が必要です。 - DNS 事業者側のレコードは守れないため、両方のアカウントの二要素認証と監視を併用します。