فکر می‌کنید اشتباه کرده‌ایم؟
ما را مجبور کنید که آن را اثبات کنیم.
دامین خود را برای بازبینی مجدد ارسال کنید. ما شواهد خود را با فیدهای فعلی اطلاعات تهدیدات تطبیق می‌دهیم، یک بازبینی خودکار مستقل را اجرا می‌کنیم و یک کارشناس انسانی مواردی را که شفاف و بدون ابهام نیستند، بررسی می‌کند.
هر درخواست تجدیدنظر تا حدی توسط هوش مصنوعی تحلیل می‌شود، اما تصمیم نهایی همچنان نیازمند بازبینی توسط اپراتور است. در صورتی که هیچ اپراتوری نتواند درخواست شما را ظرف ۴۸ ساعت تأیید کند، سیستم به‌صورت خودکار تأیید می‌کند — دامنه شما از وب‌سایت، مخزن گیت‌هاب و پایگاه داده ما حذف می‌شود. زمان‌بندی از لحظه ارسال درخواست آغاز می‌شود.
شناسایهٔ اعتراض خود (UUID) را وارد کنید یا از پیوند ردیابی که برای شما ارسال کرده‌ایم استفاده کنید.
پاسخ‌های صریح
دربارهٔ عذرخواهی، «خشونت» و اتهام‌هایی که به ما وارد می‌شود.
چرا پیش‌تر عذرخواهی نمی‌کردید؟
ما همیشه دامنه را حذف می‌کردیم — این هرگز محل تردید نبود. کاری که نمی‌کردیم، نوشتن نامه‌ای برای عذرخواهی بود. نه از سر تکبر؛ فقط فکر نمی‌کردیم نامه‌ای از طرف ما برای کسی ارزشی داشته باشد. حذف، اقدامی ملموس است؛ عذرخواهی فقط حرف است. در این مورد اشتباه می‌کردیم. برای کسی که ترافیک سایتش را از دست داده یا ناچار شده موضوع را با ثبت‌کنندهٔ دامنه‌اش پیگیری کند، اینکه صریح بشنود اشتباه از ما بوده، اهمیت دارد. این کار برای ما سخت نیست و همیشه کوشیده‌ایم هر جا که می‌توانستیم انجامش دهیم.
مانع اصلی، داده‌ها بود. ما قاطعانه با نگهداری داده‌های غیرعمومی مخالفیم: هر نشانی ذخیره‌شده یک بار مسئولیت و یک ریسک است. PhishDestroy شغل ما نیست و طوری ساخته شده که بتواند هر لحظه، بی‌آنکه چیزی از کار بیفتد، دیگر متعلق به ما نباشد. نباید به ما وابسته باشد. فهرست‌های پستی، سوابق کاربران و لاگ‌های نگهداری‌شده همگی آن را شخصاً به ما گره می‌زنند.
اکنون می‌توانیم این کار را بدون ذخیرهٔ هیچ چیزی انجام دهیم. اگر اعتراض شما تأیید شده است — امروز یا در هر زمانی در گذشته — شناسهٔ اعتراض و یک نشانی ایمیل را در پایین وارد کنید. ما یک عذرخواهی می‌فرستیم، همراه با نامه‌ای در قالب PDF که می‌توانید آن را برای ثبت‌کنندهٔ دامنه یا مشتریانتان بفرستید، و نشانی ایمیل حذف می‌شود. یک مثبت کاذب — یک نامه.
«PhishDestroy خشن است.»
این را زیاد می‌شنویم. بحث نمی‌کنیم — اما صادقانه نمی‌بینیم این خشونت کجاست یا متوجه چه کسی است. پس دقیقاً می‌گوییم چه می‌کنیم، و شما می‌توانید تک‌تک بخش‌هایش را بررسی کنید.
«شما برای ثبت‌کنندگان دامنه گزارش‌های انبوه می‌فرستید.»
«انبوه» به تعداد دامنه‌های فیشینگی اشاره دارد که با آن‌ها سروکار داریم، نه به شدت برخورد ما با هر یک از آن‌ها. هر دامنه یک گزارش دریافت می‌کند که برای ثبت‌کنندهٔ آن فرستاده می‌شود. گزارش پیگیری فقط در صورتی ارسال می‌شود که دامنه همچنان فعال باشد، و ممکن است برای ICANN یا اپراتور TLD نیز فرستاده شود. گزارش‌های پیگیری محدودیت زمانی سخت‌گیرانه‌ای دارند: هرگز زودتر از 48 ساعت پس از گزارش قبلی ارسال نمی‌شوند. طبق داده‌های خودمان، در سال 2026 حدود 7% از دامنه‌ها چیزی فراتر از گزارش نخست دریافت کردند — و مخرب بودنِ تک‌تک آن‌ها تأیید شده بود. سیستم ما باز است: تعداد گزارش‌های ارسال‌شده برای هر دامنه عمومی است.
ما بر سر ثبت‌کنندگان دامنه فریاد نمی‌زنیم که «مسدودشان کنید». هیچ قدرتی برای وادار کردن کسی نداریم، و قالب‌های گزارش ما مدت‌هاست که عمومی است. در این قالب‌ها از تیم رسیدگی به سوءاستفادهٔ ثبت‌کننده خواسته می‌شود که فوراً دامنه، مالک و محتوای آن را بررسی کند. ما ادعا نمی‌کنیم که مالک بدخواه است، یا حتی اینکه محتوا متعلق به اوست. می‌گوییم ممکن است سایت مورد نفوذ قرار گرفته یا هک شده باشد، و از ثبت‌کننده یا میزبان می‌خواهیم آن را بررسی کند. ما صراحتاً به رویه‌های داخلی آن‌ها احترام می‌گذاریم و تصمیم را به سیاست استفادهٔ قابل‌قبول (AUP) و شرایط خدمات آن‌ها می‌سپاریم. در گزارش همچنین ذکر می‌شود که دامنه، همراه با مُهر زمانی، به فهرست عمومی ما افزوده شده است تا جامعهٔ امنیتی مطلع شود.
ما کسی را متهم نمی‌کنیم و خواستار مسدودسازی نیستیم. چنین کاری نادرست است و از حدود اختیارات ما خارج است. نتیجه‌گیری‌های ما بر پایهٔ سامانه‌های اسکن معتبر و شاخص‌هایی است که خودمان گردآوری می‌کنیم، اما هیچ اسکنری، چه دارای گواهی باشد چه نباشد، نمی‌تواند خطای صفر را تضمین کند — همین تکنیک پنهان‌سازی (cloaking) به‌تنهایی برای این کافی است. ما هرگز ادعا نکرده‌ایم که اشتباه نمی‌کنیم. همه‌جا عکس این را می‌گوییم.
اگر به ثبت‌کنندگان دامنه حمله می‌کردیم، مدت‌ها پیش ما را در فهرست سیاه قرار داده بودند.
این افسانه را کسی ساخته است. حدود یک سال پیش، کلاهبرداران راهنمایی برای دور زدن تعلیق دامنه‌ها در NiceNIC منتشر کردند. در نامهٔ نمونهٔ این راهنما خطاب به ثبت‌کننده ادعا شده بود که کازینوی کلاهبرداری آن‌ها هدف «حملات انبوه هماهنگ به سفارش رقبا» قرار گرفته است.
«PhishDestroy به وب‌سایت‌ها حملهٔ DDoS می‌کند.»
نه. این یکی را هوش مصنوعی از روی عبارت «seed-phrase flooding» (فلود کردن عبارت بازیابی) ساخته است. از نگاه هوش مصنوعی، «فلود» یعنی حمله‌ای مخرب. اما واقعیت چیز دیگری است.
فلود کردن عبارت بازیابی (seed flooding) یعنی وارد کردن عبارت‌های بازیابی جعلی در فرم جمع‌آوری اطلاعاتِ یک کیت فیشینگ. این کار داده‌های سرقت‌شده را بی‌ارزش می‌کند و نشان می‌دهد کیت چگونه آن‌ها را پردازش می‌کند، تا بتوان بک‌اند آن را گزارش داد. سرویس‌هایی مانند EmailJS در بیشتر موارد با باطل کردن کلیدهایی که سایت‌های فیشینگ با آن‌ها شناسایی می‌شدند واکنش نشان داده‌اند. ما از این روش در بسیاری از تحقیقات زیرساختی استفاده کرده‌ایم، و شرح کامل آن در /seed-flooding/ آمده است.
هر اجرا ثبت می‌شود — هدف، زمان و تعداد درخواست‌ها. حجم ارسال‌ها ممکن است زیاد باشد، گاهی تا یک میلیون ارسال. اما تقریباً هیچ‌وقت به‌طور کامل خودکار نبوده است. سال‌ها پیش تلاش کردیم آن را علیه فرم‌های فیشینگِ تبلیغات Google خودکار کنیم، اما نتیجه نداد: فیشرها قالب‌ها را تغییر دادند، کپچا اضافه کردند و محموله‌ها را رمزگذاری کردند، و یافتن پنجرهٔ مناسب به‌صورت خودکار ممکن نبود.
- هر ارسال تنها یک درخواست POST شامل 12 کلمه به‌علاوهٔ وضعیت پاسخ است. باز کردن یک وب‌سایت از IP خودتان بسیار سنگین‌تر است.
- تقریباً تمام موارد استفاده در همهٔ این سال‌ها درون Cloudflare بوده است، از Cloudflare به Cloudflare. با توجه به اندازهٔ بسته‌ها، زیرساخت مشترک و توزیع بار، این کار نمی‌تواند به‌عنوان حمله عمل کند. دو مورد استثنا با رعایت احتیاط‌های اولیه انجام شد: به ارائه‌دهندهٔ میزبانی دربارهٔ آزمایش‌های ما از قبل اطلاع داده شده بود.
- ما یک پروژهٔ غیرانتفاعی هستیم. نه بات‌نت داریم، نه پراکسی، و نه هیچ چیزی که برای از کار انداختن یک سرور به کار رود.
- یک سایت مشروع هیچ نگرانی‌ای ندارد. اگر اصلاً فرمی داشته باشید، یک عبارت 12/24 کلمه‌ای هیچ اثری بر آن ندارد. پردازشگرهای کیت متغیرهای خاص خودشان را دارند؛ در یک سایت عادی، این‌ها فقط درخواست‌های POST بی‌ضرری هستند که به هیچ جا نمی‌رسند.
ما دقیقاً به عکسِ از کار افتادن سایت نیاز داریم: سایت فیشینگ باید تا زمانی که ثبت‌کننده آن را بررسی می‌کند در دسترس بماند. PhishDestroy هرگز به کسی حملهٔ DDoS نکرده است. ما این روش را خوشایند نمی‌دانیم، اما هیچ بدخواهی‌ای در آن نیست و آن را در محدوده‌ای معقول نگه می‌داریم.
«کسی از سیستم شما علیه رقیبش استفاده می‌کند.»
مستقیماً به ما بگویید — از طریق یک Issue در GitHub یا ربات Telegram. ما پاسخ می‌دهیم.
ما هیچ علاقه‌ای به فهرست کردن موارد مشروع یا اشتباه نداریم. از این کار چیزی به دست نمی‌آوریم، جز آسیب به اعتبارمان و فیلترهای سخت‌گیرانه‌تر روی سیستم خودمان. اما سیستم مشارکت‌کنندگانی دارد. حق ارسال بدون بررسی تنها زمانی به دست می‌آید که پیش‌تر تعداد قابل‌توجهی دامنه از بازبینی استاندارد گذشته باشد. این جایگاه ارزش دارد و از آن سوءاستفاده شده است؛ مانند برخی سرویس‌های «تست استرس» و یک کازینوی اندونزیایی با فعالیت خاکستری.
ما قاطعانه مخالف آنیم که کسی به‌جای مبارزه با فیشینگ، از PhishDestroy برای منافع شخصی استفاده کند. حتی اگر سرویس خودتان کاملاً پاک نیست، اگر فکر می‌کنید کسی برای از دسترس خارج کردن سایت‌ها پول می‌دهد، دامنه یا دامنه‌ها را برای ما بفرستید. بررسی می‌کنیم. اگر یکی از اعضای جامعهٔ ما خدمات از دسترس خارج کردن سایت‌ها را بفروشد، آن عضو و همهٔ دامنه‌هایی را که با اهداف تجاری فهرست کرده است مسدود می‌کنیم. هر مسئله‌ای قابل حل است. اما اگر سایت شما واقعاً غیرقانونی باشد، بعید است آن را حذف کنیم.
آیا اشتباهات خودتان را بررسی می‌کنید؟
بله. هر مثبت کاذب در قواعد ما بازتاب پیدا می‌کند. موارد انبوه یا ناهنجاری‌ها — چند سایت مشروع به‌طور هم‌زمان در پایگاه داده — هرگز از چشم ما پنهان نمی‌مانند: پیدا می‌کنیم کدام سیگنال شکست خورده، کدام منبع آن را تغذیه کرده، و آن منبع به چه چیزهای دیگری دست زده است.
آیا همهٔ اصلاحات عمومی هستند؟
بله. هر دامنه‌ای که مثبت کاذب بوده، به‌طور عمومی از GitHub حذف و در قالب یک کامیت جداگانه به allow/allowlist.json افزوده می‌شود. اصلاحی که هیچ‌کس نتواند آن را بررسی کند، ارزشی ندارد.
سوالات رایج
تصمیم‌گیری چقدر سریع است؟
در عرض ۴۸ ساعت پس از ارسال. هوش مصنوعی ما هر درخواست اعتراض را به‌طور جزئی پیش‌بررسی می‌کند، اما تصمیم نهایی همچنان نیازمند بازبینی توسط یک اپراتور است. در صورتی که هیچ اپراتوری نتواند به‌موقع تأییدیه را صادر کند، سیستم به‌صورت خودکار تأیید می‌کند و دامنه شما را از وب‌سایت، مخزن گیت‌هاب و پایگاه داده ما حذف می‌کند — بدون نیاز به تأیید انسانی. مهلت زمانی در کد اعمال می‌شود، نه در سیاست‌ها.
آیا برایم ایمیل می‌فرستید؟
فقط اگر خودتان بخواهید: پس از تأیید، می‌توانید یک عذرخواهی یک‌باره را از بخش بالا درخواست کنید. ما اولویت را بر حریم خصوصی قرار می‌دهیم؛ لاگ‌های درخواست‌ها را ذخیره نمی‌کنیم و از هیچ پایپ‌لاین ایمیلی استفاده نمی‌کنیم. برای پیگیری درخواست خود، از طریق شناسه‌ای که پس از ارسال به شما داده می‌شود، استفاده کنید. تنها در موارد نادر که نیاز به شفاف‌سازی وجود دارد، از طریق ایمیل با شما تماس می‌گیریم.
آیا واقعاً سایت‌ها را از دسترس خارج می‌کنید؟
خیر.دکمه‌ای برای «حذف این وب‌سایت» در اختیار نداریم. ما دامنه‌ها را اسکن، تحلیل و یافته‌های خود را به ثبت‌کنندگان دامنه، ارائه‌دهندگان میزبانی و فیدهای هوش تهدید شریک ارسال می‌کنیم. تصمیم نهایی درباره تخریب (Takedown) متعلق به آن‌هاست و ثبت‌کنندگان دامنه تنها در موارد فیشینگ واقعی اقدام می‌کنند. اگر سایت شما مشروع است، نیازی به نگرانی ندارید.
آیا باید مدرک مالکیت ارائه دهم؟
خیر. فقط دامنه و یک جمله زمینه‌ای ارسال کنید. ما خودمان اعتبارسنجی را انجام می‌دهیم؛ با تطبیق با اطلاعات تهدیدهای روز، رکوردهای DNS، تاریخچه گواهی‌ها و شواهد داخلی خودمان. درخواست اثبات هویت از مالکان، تهاجمی به نظر می‌رسید، بنابراین این رویه را متوقف کردیم.
چرا دامنه من در فهرست قرار گرفت؟
اکثر موارد فهرست‌شده از طریق تشخیص خودکار کیت‌های فیشینگ، اسکریپت‌های دِرینر، تقلید از برندها یا گزارش‌های جامعه کاربری شناسایی می‌شوند. اگر می‌خواهید دقیقاً بدانید چه مدارکی در اختیار داریم، یک درخواست اعتراض ثبت کنید و صفحه ردیابی عمومی را بررسی نمایید.
آیا هنوز از هوش مصنوعی برای تصمیم‌گیری خودکار استفاده می‌کنید؟
هنوز نه — با دقت به سمت آن حرکت می‌کنیم. در حال حاضر، درخواست‌های اعتراضی از طریق یک فرایند طبقه‌بندی خودکار عبور می‌کنند که نشانه‌ها (VirusTotal، urlscan، DNS، تاریخچه گواهی‌ها) را آشکار می‌سازد، اما تصمیم‌گیری همچنان توسط یک انسان انجام می‌شود. ما از اتوماسیون‌سازی چیزی که پیامدهای دنیای واقعی برای مالکان سایت‌ها دارد، تا زمانی که به اندازه کافی به سیستم اعتماد نکنیم، خودداری می‌کنیم.
اگر درخواست من رد شود، چه خواهد شد؟
در صورت تغییر شرایط، می‌توانید درخواست خود را مجدداً ارسال کنید یا اگر معتقدید رد شدن درخواست شما نادرست بوده است، یک Issue در گیت‌هاب برای بحث عمومی باز کنید. ما از یک فرایند رفت‌وآمدی ایمیلی استفاده نمی‌کنیم؛ هدف ما اتخاذ تصمیمات منصفانه است، نه مذاکره.