Za każdym razem, gdy rejestrujesz domenę bez ochrony prywatności, Twoje dane osobowe trafiają prosto do publicznego rekordu. Imię i nazwisko, e-mail, numer telefonu, adres korespondencyjny. Wszystko staje się dostępne dla każdego z dostępem do internetu. Ten publiczny rekord to WHOIS i istnieje od najwcześniejszych dni internetu. Zrozumienie, czym jest WHOIS, pomaga wyjaśnić, po co w ogóle istnieje prywatność domeny.
Co oznacza prywatność domeny?
Prywatność domeny to usługa, która zastępuje Twoje dane rejestracyjne w publicznej bazie WHOIS danymi zastępczymi. Zamiast prawdziwego imienia i nazwiska, adresu, numeru telefonu i e-maila w publicznym rekordzie widać dane pośrednika podane przez rejestratora.
Rejestrator nadal ma Twoje prawdziwe dane w aktach. Prywatność domeny zmienia to, co widzi publiczność, a nie to, co przechowuje rejestrator. Jeśli ktoś sprawdzi WHOIS Twojej domeny z włączoną prywatnością, zobaczy ogólne dane pośrednika. Twoje dane osobowe pozostają ukryte przed przypadkowymi wyszukiwaniami, robotami zbierającymi dane i każdym, kto przegląda bazę WHOIS.
Dane pośrednika zwykle zawierają adres e-mail przekazujący wiadomości. Prawdziwe wiadomości wysłane na ten adres nadal do Ciebie docierają. Reszta jest odfiltrowywana. Dokładniejszy opis strony technicznej znajdziesz w rozdziale o prywatności WHOIS, który opisuje proces ustawienia i to, jak wygląda rekord pośrednika.
Co się dzieje, gdy dane rejestracyjne są publiczne?
Pozostawienie rekordu WHOIS bez ochrony to nie teoretyczne ryzyko. Ma realne, mierzalne skutki, które zaczynają się w chwili uruchomienia domeny.
Najszybciej pojawia się spam. Boty bez przerwy pobierają dane z bazy WHOIS, wyciągają adresy e-mail i dodają je do list marketingowych. W ciągu kilku dni od rejestracji niechronionej domeny większość właścicieli zaczyna dostawać niechciane e-maile od firm SEO, projektantów stron, brokerów domen i sieci reklamowych. Ta fala nigdy się nie kończy. Tylko rośnie.
Potem przychodzi phishing. Oszuści wykorzystują dane z rekordu WHOIS, żeby wysyłać e-maile wyglądające, jakby pochodziły od rejestratora. Zawierają prawdziwe imię i nazwisko, odwołują się do Twojej domeny i proszą o „weryfikację” konta przez kliknięcie linku. Ponieważ wiadomość zawiera prawdziwe dane osobowe, wygląda wiarygodnie. Wiele osób się nabiera.
Groźniejszą wersją jest socjotechnika. Ktoś, kto chce uzyskać dostęp do konta u rejestratora, hostingu lub poczty, nie musi niczego włamywać. Potrzebuje tylko tyle danych osobowych, żeby przekonać konsultanta pomocy, że jest Tobą. Rekord WHOIS bez prywatności podaje mu imię i nazwisko, e-mail, numer telefonu i adres. To wystarcza do przejścia większości weryfikacji tożsamości przez telefon.
Poza tymi celowanymi atakami zestaw: imię i nazwisko, e-mail, telefon i adres to dokładnie ten profil, który służy do kradzieży tożsamości. Dane z WHOIS mogą trafić do baz brokerów danych, list wyciekłych danych logowania i zautomatyzowanych systemów oszustw. Skutki sięgają daleko poza samą domenę.
Jak RODO zmieniło prywatność domen?
W 2018 roku unijne ogólne rozporządzenie o ochronie danych (RODO) wymusiło duże zmiany w traktowaniu danych WHOIS. Zgodnie z RODO dane osobowe nie mogą być publikowane w publicznej bazie bez ważnej podstawy prawnej. Ponieważ rekordy WHOIS zawierają dane osobowe, rejestratorzy działający w ramach prawa europejskiego musieli zacząć domyślnie je ukrywać.
Jeśli rejestrujesz domenę przez europejskiego rejestratora albo przebywasz w UE, Twoje dane osobowe są teraz automatycznie ukryte przed publicznym sprawdzaniem WHOIS. Nie trzeba się na to zgadzać. Rejestrator robi to z obowiązku prawnego.
To była istotna zmiana. Przed RODO prywatność domeny zawsze była opcjonalna. Trzeba było wiedzieć, że istnieje, znaleźć ustawienie i ją włączyć. Wielu rejestratorów pobierało za nią dodatkową opłatę. RODO odwróciło ten model dla rejestracji europejskich. Prywatność stała się domyślna, a ujawnianie danych osobowych wyjątkiem wymagającym uzasadnienia.
Haczyk polega na tym, że RODO dotyczy tylko rejestracji z udziałem mieszkańców UE lub rejestratorów z siedzibą w UE. Jeśli rejestrujesz domenę przez rejestratora z USA i przebywasz w USA, RODO Cię nie chroni. Twoje dane trafiają do publicznego rekordu, chyba że sam włączysz prywatność. Zasady zależą w całości od tego, gdzie jesteś i kim jest Twój rejestrator.
Jaką rolę w prywatności WHOIS odgrywa ICANN?
ICANN (Internet Corporation for Assigned Names and Numbers) ustala zasady, których muszą przestrzegać rejestratorzy przy zbieraniu i publikowaniu danych rejestracyjnych domen. Przez dziesięciolecia ICANN wymagała od rejestratorów zbierania dokładnych danych kontaktowych każdej domeny i udostępniania ich publicznie przez WHOIS.
Gdy weszło w życie RODO, ICANN wprowadziła Temporary Specification, która pozwoliła rejestratorom ukrywać dane osobowe w publicznych rekordach WHOIS. Ta tymczasowa polityka była wielokrotnie przedłużana i nadal obowiązuje. ICANN pracuje nad stałym zamiennikiem, zwanym System for Standardized Access/Disclosure (SSAD), który stworzyłby proces, w którym uprawnione strony mogłyby prosić o dostęp do ukrytych danych WHOIS.
W praktyce oznacza to, że ICANN przyjmuje już, że pełny publiczny WHOIS nie jest standardem. Ale stała polityka jest wciąż dopracowywana. Rejestratorzy działają według zasad przejściowych, a to, ile danych jest publicznie widocznych, zależy od rejestratora, TLD i lokalizacji rejestrującego.
Czym różni się prywatność domyślna od prywatności na życzenie?
Te dwa modele decydują o tym, czy Twoje dane osobowe są publiczne, czy ukryte od chwili rejestracji domeny.
- Prywatność domyślna oznacza, że Twoje dane osobowe są automatycznie ukryte przed publicznym sprawdzaniem WHOIS od momentu rejestracji. Nie trzeba szukać ustawienia ani dopłacać. Ten model stosują europejscy rejestratorzy zgodnie z RODO oraz wielu nowoczesnych rejestratorów na całym świecie.
- Prywatność na życzenie oznacza, że Twoje dane są domyślnie publiczne i trzeba podjąć działanie, żeby je ukryć. Niektórzy rejestratorzy pobierają za to opłatę roczną. Inni oferują to za darmo, ale trzeba to włączyć ręcznie podczas rejestracji lub po niej.
Model, który obowiązuje, zależy od rejestratora, lokalizacji i konkretnej końcówki TLD. Niektóre końcówki krajowe mają własne zasady prywatności, które mają pierwszeństwo przed ofertą rejestratora. Jeśli Twój rejestrator nadal traktuje prywatność jako płatny dodatek, warto sprawdzić, czy inni rejestratorzy dołączają ją bez dodatkowych kosztów dla tej samej końcówki.
Czy prywatność domeny daje anonimowość?
Nie. Prywatność domeny i anonimowość to nie to samo.
Prywatność domeny ukrywa Twoje dane osobowe w publicznym rekordzie WHOIS. Powstrzymuje przypadkowe sprawdzanie, roboty zbierające dane i boty spamowe przed dostępem do Twoich danych kontaktowych. Ale rejestrator nadal ma w aktach Twoje prawdziwe imię i nazwisko, e-mail, numer telefonu i adres. Te dane są przechowywane prywatnie i dostępne w określonych okolicznościach.
Organy ścigania mogą zażądać Twoich prawdziwych danych rejestracyjnych w procedurach prawnych. Panele rozstrzygania sporów ICANN (stosowane w sporach o znaki towarowe i własność domen) też mogą do nich dotrzeć. Sądy mogą zobowiązać rejestratorów do ujawnienia danych rejestrującego, gdy zajdzie taka potrzeba.
Prywatność domeny chroni przed ogółem publiczności. Nie chroni przed odpowiedzialnością prawną. Twoją tożsamość nadal można ustalić właściwymi kanałami. To ważne rozróżnienie. Prywatność oznacza, że Twoje dane nie są rozgłaszane światu. Nie oznacza, że dane nie istnieją.
Kto powinien mieć włączoną prywatność domeny?
Wszyscy. Z bardzo nielicznymi wyjątkami każda osoba i marka rejestrująca domenę powinna mieć włączoną prywatność.
Wyjątki są wąskie. Niektóre urzędy i instytucje publiczne zostawiają dane rejestracyjne widoczne ze względu na przejrzystość. Niektóre marki zaangażowane w aktywne spory o znaki towarowe wolą publiczny rekord WHOIS jako dowód własności, choć w postępowaniach formalnych ten sam cel spełniają akta rejestratora.
Dla wszystkich pozostałych nie ma żadnej korzyści z trzymania danych osobowych w publicznej bazie. Ryzyka (spam, phishing, socjotechnika, kradzież tożsamości) są realne i dobrze udokumentowane. Ochronę łatwo włączyć. Jeśli rejestrator dołącza ją za darmo, nie ma powodu, żeby ją wyłączać. Jeśli rejestrator pobiera za nią opłatę, koszt jest prawie zawsze niższy niż czas, który pochłonie radzenie sobie ze skutkami jej braku.
Ile kosztuje rezygnacja z prywatności domeny?
Koszt to nie tylko pieniądze. Pozostawienie rekordu WHOIS bez ochrony kosztuje czas, uwagę i bezpieczeństwo.
- Spam, który codziennie zalewa skrzynkę i wymaga filtrów oraz sprzątania
- Próby phishingu, które używają prawdziwych danych, żeby wyglądać wiarygodnie
- Telefony od brokerów domen i handlowców, którzy wzięli numer z WHOIS
- Stałe ryzyko ataków socjotechnicznych na konto u rejestratora
- Dane osobowe krążące w sieciach brokerów danych, bez możliwości ich wycofania
Gdy dane zostały już pobrane i rozpowszechnione, późniejsze włączenie ochrony prywatności zatrzymuje przyszłe ujawnianie. Nie cofnie tego, co już zebrano. Im wcześniej ją włączysz, tym mniej danych trafi w miejsca, nad którymi nie masz kontroli. Szczegółowy opis tego, jak ochrona prywatności domeny działa na poziomie rejestratora, znajdziesz w tamtym rozdziale, razem z praktycznymi krokami.
Jak WEMASY chroni Twoją prywatność?
Domeny zarejestrowane przez WEMASY mają ochronę prywatności w ramach każdej rejestracji. Twoje dane kontaktowe nie są publikowane w publicznym rekordzie WHOIS. Bez dodatkowej opłaty, bez przełącznika do szukania i bez kroku włączania. Prywatność działa od chwili rejestracji domeny.
Konto WEMASY daje jedno miejsce do zarządzania ustawieniami domeny, rekordami DNS i statusem prywatności. Jeśli podłączysz domenę zewnętrzną zarejestrowaną gdzie indziej, ustawieniami prywatności tej domeny zarządza się u rejestratora, u którego pierwotnie ją zarejestrowano.
Co obejmuje każdy plan, sprawdzisz w cenniku WEMASY.
Co dalej po prywatności domeny?
Ochrona danych osobowych przed publicznym rekordem to jedna warstwa bezpieczeństwa. Ochrona samej domeny to osobne wyzwanie. Ktoś, kto uzyska dostęp do konta u rejestratora, może przenieść domenę, zmienić ustawienia DNS albo przekierować ruch, nie potrzebując w ogóle danych z WHOIS. Następny rozdział opisuje przejęcie domeny i konkretne kroki, które zabezpieczają konto u rejestratora.
Najczęstsze pytania
Czy prywatność domeny wpływa na pozycje strony w wyszukiwarce?
Nie. Wyszukiwarki oceniają strony według jakości treści, trafności, autorytetu i czynników technicznych. To, czy rekord WHOIS pokazuje prawdziwe dane, czy dane pośrednika, nie wpływa na pozycje w wyszukiwarce. Google potwierdziło, że prywatność WHOIS nie jest sygnałem rankingowym. W kreatorze stron WEMASY możesz to ustawić bezpośrednio na swojej stronie.
Czy mogę dodać prywatność domeny po zarejestrowaniu domeny?
Tak. Większość rejestratorów pozwala włączyć ochronę prywatności w dowolnym momencie po rejestracji. Zmiana zwykle zaczyna działać w ciągu kilku godzin. Pamiętaj, że dane osobowe, które zostały już pobrane z publicznego rekordu, zanim włączono prywatność, nie dadzą się usunąć z miejsc, w których je zapisano.
Czy są końcówki domen, dla których ochrona prywatności jest niedostępna?
Niektóre krajowe TLD mają lokalne zasady rejestru, które wymagają, by dane rejestrującego pozostały publiczne. Niektóre końcówki europejskie i z regionu Azji i Pacyfiku historycznie ograniczały użycie usług pośrednika. Jeśli prywatność nie jest dostępna dla danej końcówki, rejestrator zwykle informuje o tym podczas rejestracji.
Czy RODO chroni mnie, jeśli rejestruję domenę przez rejestratora z USA?
To zależy od Twojej lokalizacji. RODO dotyczy mieszkańców UE bez względu na to, gdzie ma siedzibę rejestrator. Jeśli jesteś w UE i rejestrujesz domenę przez rejestratora z USA, rejestrator nadal musi przestrzegać RODO w odniesieniu do Twoich danych osobowych. Jeśli jesteś w USA i rejestrujesz przez rejestratora z USA, RODO nie obowiązuje, a Twoje dane mogą być publiczne, chyba że sam włączysz prywatność.
Czy przy włączonej prywatności domeny ktoś nadal może ustalić, kto jest jej właścicielem?
Nie przez publiczne sprawdzenie WHOIS. Publiczny rekord pokaże dane pośrednika zamiast prawdziwych. Jednak rejestrator nadal przechowuje Twoje rzeczywiste dane kontaktowe w aktach. Organy ścigania, sądy i panele rozstrzygania sporów ICANN mogą zażądać dostępu do Twoich prawdziwych danych w formalnych procedurach prawnych. Prywatność ukrywa dane przed ogółem publiczności, a nie przed odpowiedzialnością prawną.