2026年6月6日

Transfer Lock（移管ロック）の有効化方法｜設定手順と反映の確認、外れる場面

ドメイン管理

Transfer Lock（移管ロック、レジストラロック）は、ドメインが勝手に別のレジストラへ移されるのを防ぐ設定で、現在契約しているレジストラの管理画面から有効にします。有効になると、レジストリ上のステータスに clientTransferProhibited が付き、正しい AuthCode を持っている人でも移管を申請できなくなります。この記事では、有効化の手順、反映されたかの確認方法、知らないうちに外れる場面、ロックだけでは守れないものを順に説明します。

Transfer Lock で何が止まるのか

gTLD（.com、.net など）のドメインは、レジストリとレジストラの間で EPP という仕組みで管理され、ドメインごとに「ステータス」が付いています。Transfer Lock を有効にすると、レジストラがそのドメインに clientTransferProhibited というステータスを設定します。名前のとおり「レジストラ（client）の判断で移管（transfer）を禁止している」状態です。

このステータスが付いている間は、移管先のレジストラが移管を申請しても、レジストリの段階で受け付けられません。AuthCode が漏れていても、ロックが掛かっていれば移管は進まないため、AuthCode とは別の防御線になります。

レジストラによっては、移管ロックと同時に次のステータスも設定します。

clientUpdateProhibited: 登録情報やネームサーバーの変更を止める
clientDeleteProhibited: ドメインの削除を止める

どこまでを一つの「ロック」として扱うかはレジストラごとに異なります。管理画面で移管ロックを有効にしたあと、実際に付いたステータスを確認しておくと、ネームサーバーを変えたいときに「変更できない」と慌てずに済みます。

有効化する前に確認すること

移管の手続き中でないか

ステータスに pendingTransfer が出ている場合は、移管の申請が進行中です。自分で申請した覚えがなければ、まずレジストラに連絡して移管を拒否してもらいます。移管元のレジストラは一定期間内であれば申請を拒否できますが、何もしないと自動で承認される運用が一般的なので、早めの連絡が大切です。

有効期限が切れていないか

期限切れ後の猶予期間や redemptionPeriod（回復期間）に入っていると、ロックの設定以前に更新や回復の手続きが必要です。期限が近い場合は先に更新し、自動更新を有効にしておきます。

ロックを設定できるTLDか

clientTransferProhibited は gTLD では広く使えますが、ccTLD（国別ドメイン）はレジストリごとに仕組みが異なり、同じ名前の設定が無いこともあります。.jp などでは、移管時に登録者の承認を求める手順があるため、レジストラの管理画面に移管ロックの項目が無い場合もあります。項目が見当たらないときは、レジストラのヘルプで「移管ロック」「レジストラロック」「ドメインロック」などの語で探すか、サポートに確認してください。

有効化の手順

管理画面の構成や表記はレジストラによって異なり、変更されることもあります（2026年10月現在）。流れはおおむね次のとおりです。

現在のレジストラにログインします。どこで登録しているか分からない場合は、後述の whois や RDAP で Registrar を確認します。
対象ドメインの詳細や設定の画面を開きます。
「移管ロック」「ドメインロック」「Transfer Lock」「レジストラロック」などの項目をオンにします。保存や確定のボタンがある場合は押し忘れないようにします。
登録者のメールアドレスに変更通知が届くレジストラもあります。届いた通知の内容が自分の操作と一致しているかを見ます。

ドメインを多数持っている場合、一括でロックを設定できる画面を用意しているレジストラもあります。ただし一括操作は対象の選び漏れが起きやすいので、操作後に一覧でロックの状態を確認します。

また、ホスティング会社や制作会社の管理画面からドメインを契約している場合、移管ロックの操作が利用者側の画面に無いことがあります。この場合は契約先に設定を依頼し、どのステータスが付いたかを教えてもらいます。

反映されたかを確認する

管理画面で「有効」と表示されても、レジストリ側に反映されたかは別に確認します。反映は数分程度で終わることが多いものの、whois の表示が更新されるまでに時間が掛かる場合もあります。

# whois でステータスを確認する
whois example.com | grep -i 'status'

# RDAP で確認する（rdap.org は問い合わせ先のRDAPサーバーへ転送する案内サービス）
curl -sL https://rdap.org/domain/example.com | jq '.status'

whois では clientTransferProhibited、RDAP では "client transfer prohibited" のように表示されれば反映済みです。gTLD では、ICANN が whois（ポート43）の提供義務を終え、RDAP に移行しています。whois コマンドで情報が少ない、または応答しない場合は、RDAP か ICANN の Lookup（lookup.icann.org）で確認します。

serverTransferProhibited が表示されることもあります。これはレジストリ側が設定したロックで、レジストラの管理画面からは外せません。レジストリロックを申し込んでいる場合や、紛争・未払いなどでレジストリが移管を止めている場合に付きます。心当たりがなければレジストラに理由を問い合わせます。

知らないうちに外れる場面

移管ロックは一度オンにすれば終わり、という設定ではありません。次のような場面で外れていることがあります。

AuthCode を表示・発行したとき: レジストラによっては、AuthCode の発行と同時にロックを自動で外します。移管を取りやめた場合は、手動でロックを戻します。
移管が完了したとき: 移管先のレジストラでは、ロックが既定でオフになっていることがあります。移管が終わったら、新しいレジストラで改めて有効にします。
サポートや代行業者に作業を頼んだとき: ネームサーバー変更や登録者情報の更新のために、一時的にロックを外す運用をしている場合があります。作業完了の連絡を受けたら、ステータスを確認します。

ドメインが多い場合や、複数人で管理している場合は、定期的に RDAP でステータスを確認し、ロックの無いドメインを洗い出す運用にしておくと漏れを防げます。

ロックだけでは守れないもの

移管ロックはレジストラの管理画面からオン・オフできる設定です。つまり、管理画面のアカウントそのものが乗っ取られると、攻撃者がロックを外して移管したり、ネームサーバーを書き換えたりできてしまいます。ロックと合わせて、次の対策を取っておきます。

レジストラのアカウントに二要素認証を設定し、パスワードを使い回さない
登録者・管理者のメールアドレスを現役で受信できるものにし、通知を見落とさない
管理画面にアクセスできる担当者を必要最小限にする
自動更新を有効にし、期限切れによる失効を防ぐ

事業の中心になっているドメインで、管理画面の操作だけでは変更できない水準の保護が必要な場合は、レジストリ側でロックを掛けるレジストリロックが選択肢になります。対応するTLDやレジストラが限られ、変更のたびに本人確認の手続きが必要になるため、運用の手間と合わせて検討します。

まとめ

Transfer Lock を有効にすると clientTransferProhibited が付き、AuthCode があっても移管を申請できなくなります。
有効化はレジストラの管理画面から行い、表記はレジストラごとに異なります。ccTLD では仕組みが異なる場合があります。
管理画面の表示だけでなく、whois や RDAP でステータスが反映されたかを確認します。
AuthCode の発行時や移管完了後、代行作業の後にロックが外れていないかを見直します。
アカウントの乗っ取りはロックでは防げないため、二要素認証やメールアドレスの管理も合わせて行います。