Panduan Mengamankan Akun Domain dan DNS: 2FA & Kunci Transfer

Foto: psd — CC BY 2.0

Ringkasan Cepat

• 2FA berbasis aplikasi authenticator atau hardware key di akun registrar adalah lapisan paling menentukan; kode SMS jauh lebih rentan.
• Aktifkan registrar lock atau status clientTransferProhibited dan simpan kode EPP secara aman agar domain tidak bisa dipindahkan diam-diam.
• Pantau perubahan nameserver serta record MX dan TXT, karena itu tanda paling awal sebuah domain sedang dibajak.

Mengamankan akun domain dan DNS berarti memastikan tidak ada pihak lain yang bisa mengubah arah trafik atau memindahkan kepemilikan nama domain Anda tanpa sepengetahuan Anda. Banyak pemilik situs baru sadar setelah email berhenti masuk atau halaman dialihkan ke situs palsu. Panduan ini membahas tiga pertahanan inti yang paling efektif: 2FA di registrar, kunci transfer, dan pemantauan perubahan nameserver.

Kenapa Akun Domain dan DNS Layak Diamankan Serius

Banyak pemilik situs menganggap domain hanya sewa nama tahunan, padahal kendali atas domain sama dengan kendali atas identitas digital organisasi. Jika seseorang bisa masuk ke akun registrar Anda, ia bisa mengarahkan seluruh trafik ke server lain, mematikan email, atau memindahkan kepemilikan domain tanpa menyentuh server Anda sama sekali. Karena itu pengamanan domain dan DNS sering disebut sebagai fondasi, bukan pelengkap.

Ada tiga pola serangan yang paling sering muncul. Pertama, pengambilalihan akun registrar atau domain hijacking, yang biasanya dimulai dari kredensial bocor atau sesi login yang dicuri. Kedua, pembajakan DNS, ketika penyerang hanya mengubah nameserver atau satu record tertentu sehingga pengunjung diarahkan ke halaman palsu. Ketiga, rekayasa sosial, misalnya pesan yang mengaku dari tim registrar dan meminta verifikasi data. Pola ketiga ini juga lazim menyerang akun layanan publik, seperti yang dibahas pada panduan mengamankan akun DJP Online dan Coretax.

Dampaknya berlapis. Reputasi rusak, sertifikat TLS bisa diterbitkan untuk domain tiruan, email bisnis disadap, dan pelanggan menjadi korban phishing dengan nama merek Anda. Perbaikannya pun tidak selalu cepat karena perubahan DNS menyebar mengikuti nilai TTL, sehingga pemulihan bisa memakan waktu berjam-jam hingga berhari-hari.

Perkuat Akun Registrar dengan 2FA yang Tepat

Akun registrar adalah pintu utama. Jika pintu ini jebol, semua pengaturan lain di bawahnya tidak banyak menolong. Autentikasi dua faktor wajib aktif, tetapi jenis 2FA yang dipilih sangat menentukan tingkat perlindungannya. Berikut urutan langkah yang sebaiknya dikerjakan sekaligus:

• Gunakan aplikasi authenticator atau hardware key. Kode berbasis SMS rentan terhadap SIM swap dan intersepsi. Jika registrar mendukung passkey atau security key, aktifkan itu lebih dulu.
• Simpan recovery code secara offline. Cetak atau simpan di media terenkripsi dan pisahkan dari perangkat utama. Cara mengelola media penyimpanan seperti ini mirip dengan praktik pada tutorial mengamankan USB flash drive.
• Amankan email pemulihan. Email pemulihan punya kekuatan setara dengan akun domain itu sendiri. Pastikan email tersebut juga memakai 2FA kuat dan tidak dipakai untuk keperluan lain.
• Batasi jumlah orang dengan akses. Gunakan fitur sub-akun atau role management agar staf hanya mendapat izin seperlunya. Catat siapa saja yang punya akses penuh.
• Periksa sesi aktif dan notifikasi login. Aktifkan pemberitahuan login dari perangkat atau lokasi baru, lalu tinjau daftar sesi secara berkala.
• Amankan perangkat dan jaringan pengelolaan. Router rumahan yang masih memakai WPS atau belum mengaktifkan WPA3 bisa menjadi titik masuk; langkahnya ada di tutorial mengaktifkan WPA3 dan mematikan WPS di router rumahan.

Setelah semua aktif, lakukan uji coba login dari perangkat lain untuk memastikan 2FA benar-benar berjalan dan recovery code masih bisa dipakai.

Kunci Transfer dan Registrar Lock: Rem Darurat Domain

2FA melindungi proses login, sedangkan registrar lock melindungi domain dari proses perpindahan. Saat registrar lock aktif, status domain biasanya mencantumkan clientTransferProhibited, dan permintaan transfer ke registrar lain akan ditolak secara otomatis. Ini memberi Anda waktu untuk bereaksi jika akun sempat disusupi.

Memahami kode EPP dan status domain

Kode EPP atau authorization code adalah kunci sekali pakai untuk memindahkan domain. Selama kode ini tidak diketahui pihak lain dan registrar lock aktif, transfer tidak bisa diselesaikan. Periksa status domain Anda lewat layanan WHOIS: selain clientTransferProhibited, perhatikan juga tanda seperti clientUpdateProhibited atau clientDeleteProhibited yang bisa Anda aktifkan untuk lapisan tambahan. Untuk domain bernilai tinggi, tanyakan apakah registrar menyediakan registry lock, yaitu penguncian di tingkat registry yang proses pelepasannya memerlukan verifikasi manual.

Jangan abaikan faktor operasional

Banyak domain hilang bukan karena diretas, melainkan karena kedaluwarsa. Aktifkan auto-renew, simpan metode pembayaran yang masih valid, dan pasang pengingat 60 serta 30 hari sebelum tanggal jatuh tempo. Aktifkan juga perlindungan privasi WHOIS agar data kontak tidak mudah dipanen penyerang, tetapi pastikan alamat email pada data registrant tetap bisa Anda akses untuk verifikasi.

Waspada Perubahan NS dan Record DNS

Perubahan nameserver adalah sinyal paling serius dalam keamanan domain. Mengganti NS berarti memindahkan kendali seluruh zona DNS ke penyedia lain, sehingga penyerang bisa membuat record apa pun tanpa menyentuh akun hosting Anda. Karena itu, setiap perubahan NS harus dianggap insiden sampai terbukti sebaliknya.

Yang dipantau	Tanda mencurigakan	Tindakan cepat
Record NS	Nameserver berpindah ke domain atau penyedia yang tidak dikenal	Kembalikan NS lama, ganti kredensial registrar, cabut sesi aktif
Record A / AAAA	Alamat IP diubah ke hosting asing	Periksa log perubahan, pulihkan IP yang benar, tinjau akses hosting
Record MX	Ditambahkan MX baru sehingga salinan email mengalir ke pihak lain	Hapus MX asing, ganti password email, periksa aturan forwarding
Record TXT	SPF, DKIM, atau kebijakan DMARC diubah atau dihapus	Pulihkan kebijakan, periksa apakah email palsu sempat terkirim
Record CAA	Izin penerbitan sertifikat dibuka untuk otoritas tak dikenal	Batasi CAA ke otoritas resmi organisasi Anda

Aktifkan pemantauan DNS otomatis dari penyedia DNS atau layanan pihak ketiga agar perubahan terekam dan notifikasinya terkirim. Catat juga nilai TTL setiap record penting: TTL panjang memperlambat penyebaran perubahan jahat, tetapi juga memperlambat pemulihan Anda. Sebagai pelengkap, DNSSEC membantu mencegah pemalsuan jawaban DNS, namun hanya bermanfaat jika dikonfigurasi dan dipelihara sampai tuntas.

Checklist Audit Rutin dan Langkah Saat Terjadi Insiden

Keamanan domain bukan pekerjaan sekali jadi. Jadwalkan audit sederhana setiap kuartal dengan daftar berikut:

1. Pastikan 2FA registrar aktif dan recovery code masih tersimpan serta bisa diakses.
2. Tinjau daftar pengguna, izin, dan sesi aktif di akun registrar.
3. Konfirmasi registrar lock masih menyala dan tanggal jatuh tempo domain belum berubah.
4. Bandingkan record NS, MX, dan TXT dengan catatan baseline yang Anda simpan.
5. Periksa apakah ada subdomain tak terpakai yang masih mengarah ke layanan pihak ketiga.

Jika Anda menemukan perubahan yang tidak dikenal, bertindak cepat dan berurutan: ganti password registrar, cabut semua sesi, atur ulang 2FA, hubungi registrar melalui kanal resmi, lalu pulihkan record DNS dari cadangan. Setelah layanan kembali normal, periksa log email untuk memastikan tidak ada aturan forwarding yang tertinggal, dan pertimbangkan memberi tahu pengguna bila ada indikasi phishing memakai nama domain Anda.

Terakhir, ingat bahwa aplikasi yang berjalan di atas domain juga bisa menjadi pintu masuk. Celah pada tema, plugin, atau komponen pihak ketiga dapat dipakai penyerang untuk menanam akses tidak sah, seperti pola yang muncul pada kasus CVE-2026-108913 pada Omarchy 4.0.0. Jadi, patch rutin dan pemantauan berkas tetap relevan meski akun domain sudah terkunci rapat.

Pertanyaan yang Sering Diajukan (FAQ)

Apakah 2FA lewat SMS di registrar masih layak dipakai?

Masih lebih baik daripada tanpa 2FA, tetapi bukan pilihan utama. Kode SMS bisa dicuri lewat SIM swap atau intersepsi. Jika registrar menyediakan aplikasi authenticator, passkey, atau hardware key, pindahkan 2FA Anda ke sana dan simpan nomor telepon hanya sebagai cadangan.

Apa bedanya registrar lock dan registry lock?

Registrar lock adalah penguncian yang diatur di tingkat registrar dan cukup efektif mencegah transfer tidak sah. Registry lock adalah penguncian di tingkat registry domain, sehingga perubahan status domain memerlukan verifikasi manual dan biasanya tersedia untuk domain dengan nilai tinggi atau organisasi besar.

Bagaimana cara tahu kalau nameserver domain saya diubah tanpa izin?

Aktifkan notifikasi perubahan dari penyedia DNS, lalu bandingkan hasil pencarian WHOIS dan query NS secara berkala dengan catatan baseline Anda. Lonjakan trafik turun, email yang berhenti masuk, atau peringatan sertifikat TLS dari otoritas penerbit juga bisa menjadi indikasi awal.

Apakah DNSSEC wajib untuk semua domain?

Tidak wajib, tetapi bermanfaat untuk mencegah pemalsuan jawaban DNS. DNSSEC harus dikonfigurasi dengan benar dan dipelihara, misalnya saat mengganti penyedia DNS atau saat rotasi kunci. Konfigurasi yang setengah jadi justru bisa membuat domain Anda tidak dapat diakses.

Kalau domain sudah dibajak, apa langkah pertama yang harus dilakukan?

Amankan akun registrar terlebih dahulu: ganti password, cabut semua sesi, dan atur ulang 2FA. Setelah itu hubungi registrar melalui kanal resmi untuk mengunci domain, lalu pulihkan record DNS dari cadangan dan periksa log email serta hosting untuk memastikan tidak ada akses yang tertinggal.

English Version — Guide to Securing Domain and DNS Accounts: 2FA & Transfer Lock

Quick Summary

• App-based authenticator or hardware key 2FA on the registrar account is the most decisive layer; SMS codes are far more vulnerable.
• Enable registrar lock or clientTransferProhibited status and store the EPP code securely so the domain cannot be transferred silently.
• Monitor nameserver changes and MX and TXT records, as these are the earliest signs a domain is being hijacked.

Securing domain and DNS accounts means ensuring no other party can change the direction of traffic or transfer ownership of your domain name without your knowledge. Many site owners only realize it after email stops arriving or the page is redirected to a fake site. This guide covers the three most effective core defenses: 2FA at the registrar, transfer lock, and monitoring nameserver changes.

Why Domain and DNS Accounts Deserve Serious Protection

Many site owners think of a domain as just an annual name rental, when in fact control over the domain is control over the organization's digital identity. If someone can get into your registrar account, they can direct all traffic to another server, shut down email, or transfer domain ownership without touching your server at all. That is why domain and DNS security is often called a foundation, not an add-on.

Three attack patterns occur most often. First, registrar account takeover or domain hijacking, which usually starts with leaked credentials or a stolen login session. Second, DNS hijacking, when an attacker changes only the nameserver or one specific record so visitors are directed to a fake page. Third, social engineering, such as a message claiming to be from the registrar team and asking to verify data. This third pattern is also common against public-service accounts, as discussed in the guide to securing DJP Online and Coretax accounts.

The impact is layered. Reputation is damaged, TLS certificates can be issued for impersonated domains, business email is intercepted, and customers become phishing victims under your brand name. Recovery is not always quick either because DNS changes propagate according to the TTL value, so restoration can take hours to days.

Strengthen the Registrar Account with the Right 2FA

The registrar account is the main door. If this door is breached, all other settings underneath it will not help much. Two-factor authentication must be enabled, but the type of 2FA you choose greatly determines its level of protection. Here is the sequence of steps you should ideally complete together:

• Use an authenticator app or hardware key. SMS-based codes are vulnerable to SIM swap and interception. If the registrar supports passkeys or security keys, enable those first.
• Store recovery codes offline. Print them or save them on encrypted media and keep them separate from your main device. Managing storage media like this is similar to the practices in the tutorial on securing USB flash drives.
• Secure the recovery email. A recovery email has power equivalent to the domain account itself. Make sure that email also uses strong 2FA and is not used for other purposes.
• Limit the number of people with access. Use sub-account or role management features so staff only get the permissions they need. Record who has full access.
• Check active sessions and login notifications. Enable notifications for logins from new devices or locations, then review the session list periodically.
• Secure the management device and network. A home router still using WPS or without WPA3 enabled can be an entry point; the steps are in the tutorial on enabling WPA3 and disabling WPS on home routers.

Once everything is enabled, test logging in from another device to confirm that 2FA is actually working and that the recovery codes can still be used.

Transfer Lock and Registrar Lock: The Domain's Emergency Brake

2FA protects the login process, while registrar lock protects the domain from the transfer process. When registrar lock is active, the domain status usually includes clientTransferProhibited, and transfer requests to another registrar will be rejected automatically. This gives you time to react if the account is ever compromised.

Understanding EPP Codes and Domain Status

The EPP code or authorization code is a one-time key for transferring a domain. As long as this code is not known to anyone else and registrar lock is active, the transfer cannot be completed. Check your domain status through a WHOIS service: in addition to clientTransferProhibited, look for flags such as clientUpdateProhibited or clientDeleteProhibited that you can enable for an extra layer. For high-value domains, ask whether the registrar offers registry lock, which is locking at the registry level and requires manual verification for release.

Do Not Ignore Operational Factors

Many domains are lost not because they were hacked but because they expired. Enable auto-renew, keep a valid payment method on file, and set reminders 60 and 30 days before the due date. Also enable WHOIS privacy protection so contact data cannot be easily harvested by attackers, but make sure the email address in the registrant data remains accessible to you for verification.

Watch for NS and DNS Record Changes

A nameserver change is the most serious signal in domain security. Changing NS means moving control of the entire DNS zone to another provider, so an attacker can create any record without touching your hosting account. Therefore, every NS change should be treated as an incident until proven otherwise.

What to monitor	Suspicious signs	Quick action
NS records	Nameservers move to an unknown domain or provider	Restore the old NS, change registrar credentials, revoke active sessions
A / AAAA records	IP address changed to unknown hosting	Check change logs, restore the correct IP, review hosting access
MX records	A new MX is added so email copies flow to another party	Remove the unknown MX, change email passwords, check forwarding rules
TXT records	SPF, DKIM, or DMARC policy changed or removed	Restore the policy, check whether spoofed email was sent
CAA records	Certificate issuance permission opened to unknown authorities	Restrict CAA to your organization's official authorities

Enable automatic DNS monitoring from your DNS provider or a third-party service so changes are recorded and notifications are sent. Also note the TTL value of each important record: a long TTL slows the propagation of malicious changes, but it also slows your recovery. As a complement, DNSSEC helps prevent DNS answer spoofing, but it is only useful if configured and maintained thoroughly.

Routine Audit Checklist and Steps During an Incident

Domain security is not a one-time task. Schedule a simple audit every quarter with the following list:

1. Confirm registrar 2FA is active and recovery codes are still stored and accessible.
2. Review the list of users, permissions, and active sessions in the registrar account.
3. Confirm registrar lock is still on and the domain expiration date has not changed.
4. Compare NS, MX, and TXT records with the baseline notes you keep.
5. Check whether any unused subdomains still point to third-party services.

If you find an unknown change, act quickly and in order: change the registrar password, revoke all sessions, reset 2FA, contact the registrar through official channels, then restore DNS records from backup. After services are back to normal, check email logs to make sure no forwarding rules remain, and consider notifying users if there is any indication of phishing using your domain name.

Finally, remember that applications running on the domain can also be an entry point. Vulnerabilities in themes, plugins, or third-party components can be used by attackers to plant unauthorized access, such as the pattern seen in the CVE-2026-108913 case in Omarchy 4.0.0. So routine patching and file monitoring remain relevant even when the domain account is locked down tightly.

FAQ (English)

Is SMS-based 2FA at the registrar still acceptable?

It is still better than no 2FA, but it is not the primary choice. SMS codes can be stolen through SIM swap or interception. If the registrar offers an authenticator app, passkey, or hardware key, move your 2FA there and keep the phone number only as a backup.

What is the difference between registrar lock and registry lock?

Registrar lock is a lock set at the registrar level and is effective enough to prevent unauthorized transfers. Registry lock is a lock at the domain registry level, so changes to the domain status require manual verification and are usually available for high-value domains or large organizations.

How can I tell if my domain's nameservers were changed without authorization?

Enable change notifications from your DNS provider, then periodically compare WHOIS lookup and NS query results with your baseline notes. A drop in traffic, email that stops arriving, or TLS certificate warnings from issuing authorities can also be early indications.

Is DNSSEC mandatory for all domains?

It is not mandatory, but it helps prevent DNS answer spoofing. DNSSEC must be configured correctly and maintained, for example when changing DNS providers or rotating keys. A half-finished configuration can actually make your domain inaccessible.

If a domain has already been hijacked, what is the first step?

Secure the registrar account first: change the password, revoke all sessions, and reset 2FA. After that, contact the registrar through official channels to lock the domain, then restore DNS records from backup and check email and hosting logs to make sure no access remains.