域名不是孤立存在的，它挂在一个注册商账号里。谁能登录这个账号，谁就能改解析、改联系人、把域名转走——账号就是控制权。

注册商卖的不只是一个域名，还有一个管理后台。域名登记在账号下，解析记录、联系人信息、续费方式都跟着账号走。第 38 期讲过的过户，改的是域名持有人；账号本身不动。

因为它掌握全部权限，账号安全直接等于域名安全。第 179 期讲的域名被盗，多数就是从账号被攻破开始的——邮箱被接管、密码重复使用、点进钓鱼页面。

企业场景里还有一层：账号往往登记在某个员工个人名下，人一走，域名就悬空。第 157 期讲的公司倒闭案例，常见情形就是账号失联、续费提醒发进没人看的邮箱。

常见的做法有三条：用企业邮箱而不是个人邮箱注册账号、开启双因素认证、把域名放在公司控制的账号下并让多人可以管理。有的注册商支持设置子用户和权限分级。

还有一层是注册局层面的锁定，第 190 期会讲。但账号密码和双因素认证是基础：账号丢了，后面的措施都来不及。