从发现到 实施应对措施

这个问题比“是谁失败了？”更具体： 在经验证的证据与采取相应行动之间，哪些可观察到的延迟是可以避免的？哪种干预措施既能减轻受害者所受伤害，又不会造成不可接受的误报或附带损害？

本报告的范围涵盖gTLD生态系统中的签约方：注册人、转售商、注册服务商、注册管理机构以及ICANN的合同合规职能部门。仅当托管服务提供商、内容分发网络（CDN）、浏览器、支付服务、广告平台、国家计算机应急响应中心（CERT）和刑事司法机构对证据链或响应链产生影响时，才会将其纳入其中。 国家代码顶级域名（ccTLD）具有不同的治理结构，不被视为受 ICANN 的 gTLD 合同约束。

核心论点的现状

• 本文将ICANN视为gTLD生态系统中一个私营治理和合同履约机构。ICANN并非政府监管机构或执法机构，但它负责对注册商进行认证、与注册管理机构签订合同并执行相关协议；这种有限的职权范围并不免除其机构问责义务。
• 60%–85%这一区间是本文危害模型中的核心定量估计值。它被呈现为基于明确假设和案例观察得出的可验证估计值——而非针对全球所有欺诈行为的既定统计数据。 发布一份能够将检测、通知、缓解和危害的时间戳相互对齐的事件级数据集，是下一步的实证工作。
• 100–150美元这一数字，是针对在定义好的可访问区域内，基于通用基础设施上的证书透明度（Certificate Transparency）和公共数据源，进行持续收集和初步筛选的可验证工程预算估算。它并不包含实现完全全球可见性、法律审查、申诉、高可用性或执法所需的成本。 因此，本文将其视为一个基准，可通过已发布的工作负载、源清单和成本日志进行复现——而非一个已经得到验证的通用价格。这种区分虽然缩小了该主张的范围，但并未抹去正在测试的成本不对称性。
• 该论文为期三周的对比研究关注的是合规响应延迟，而非普遍适用的域名下线服务水平协议（SLA）。ICANN的 合同合规常见问题解答 该文件指出，大多数投诉类型在正式上报前可经历三个连续的、各为五个工作日的响应期，而许多恶意活动则会持续数小时或数天。合同另行规定，在获得可采取行动的证据后，必须立即采取适当的缓解措施。 [2][4]
• 对于经核实的、单一目的的恶意注册， serverHold 这是最具破坏性的DNS级补救措施之一，因为它会从该区域中移除委派。但该措施并非万能：它也可能干扰邮件、子域名和合法服务；缓存的响应可能会一直保留到TTL过期；此外，对于遭到入侵或共享的服务，可能需要采取更针对性的缓解措施。 [4][7]

ICANN关于落实2024年修订案中合同要求的首次半年报告显示，共开展了192项调查，暂停了2,700多个域名，关闭了350多个网络钓鱼页面，并发布了两份违规通知。 这些数据虽不能证明现行管控措施已足够完善，但足以驳斥“该系统完全不采取任何行动”这一绝对性说法。 [5]

某些网络钓鱼活动的时间跨度以小时或天为单位。Bijmans等人在一项2021年的研究中指出，对1,288个网络钓鱼域名的观察显示，其平均存活时间为45小时，中位数为24小时。 [11] 一项针对2026年新注册钓鱼域名的研究显示，其分布极不均衡：在14,112个可测得存活时间的域名中，平均存活时间为8.6天，中位数为1天。 [12] 虽然这两个样本都不能推广到所有威胁类别，但它们都说明了为什么仅以工作日为单位衡量的流程可能会遗漏短暂的欺诈和网络钓鱼活动。

从经济角度来看，真正有价值的往往不是注册费，而是围绕一个域名积累的流量、创意、基础设施和信任。这种直觉是合理的；其具体规模因欺诈和网络钓鱼活动的不同而有所差异。因此，下方的计算器会显示所有输入数据，而不是将假设结果作为观察到的平均值呈现出来。

visits(T)   = daily_traffic × T / 24
victims(T)  = visits(T) × conversion_rate
proceeds(T) = victims(T) × average_loss × (1 − cashout_attrition)
profit(T)   = proceeds(T) − campaign_budget

只有在对“检测”、“交付”和“危害”进行一致定义的情况下，“检测后的损失”才能成为有意义的评估结果。黑名单上的时间戳并不能证明注册商已收到可采取行动的证据。钱包交易并不自动归因于某个特定域名。域名无法访问并不意味着能够确定是哪一方导致了这一变化。

最小事件模式

Post-notice harm share =
  attributable harm with t_harm > t_notice
  ─────────────────────────────────────────
  all attributable harm in the observation window

分子和分母必须采用相同的归因规则。 结果应报告队列、置信区间、右截尾、数据缺失来源、重复受害者处理以及对观察窗口的敏感性。术语“可预防”应仅用于因果设计，或至少用于配对比较——而非通知后发生的每一事件。

没有任何单一参与者能够全面掌握或控制整个事件。注册商了解注册人与域名之间的关系；注册局控制注册局所管辖域名的状态；主机和CDN控制内容分发；浏览器和安全厂商控制警告提示；支付和钱包服务商可以中断转账；相关机构可以强制要求保留或扣押数据。ICANN在gTLD生态系统中制定并执行合同，但并不运营一个通用的EPP控制平面。

权限的分散并不意味着责任的消解。赞助注册商将滥用处理工作委托给经销商，并不意味着其合同义务就此免除；注册局负责控制服务器设置的EPP状态；ICANN负责监督合同合规性。 审计追踪记录不仅必须记录采取行动者，还必须记录谁接收了可采取行动的证据、谁将案件转交、谁未予回应或谁未履行分配的职责。法律授权仍归属于有权采取措施的行动者；问责制同样涵盖有据可查的失职行为。

2024 年 4 月对《注册商认证协议》和《基础注册局协议》的全球性修订，明确规定了缓解 DNS Abuse 的义务。注册商在掌握可采取行动的证据，表明其管理的域名被用于 DNS Abuse 时，必须迅速采取行动。注册局运营方在根据可采取行动的证据合理认定某注册域名被用于 DNS Abuse 时，必须迅速采取行动。在这两种情况下，适当措施取决于具体情境、严重程度和附带损害。 [2][3]

三个常被混为一谈的时间线

这种灵活性有其优势：遭到入侵的大学域名不应像新注册的单一用途钓鱼域名那样处理。问责方面的问题在于，如果没有公开的时间戳、案件类别和结果代码，就很难对“及时”和“适当”进行比较。下文提出的建议增加了评估和审查机制，同时并不假装一个截止期限能适用于所有情况。

网络钓鱼明确属于 DNS Abuse 的合同定义。更难界定的是以自有名称欺骗用户、而非冒充可识别第三方的网站，例如部分虚假投资平台、欺诈商店、追款骗局和钱包签名骗局。视具体事实而定，这些行为可能被归类为网站内容层面的违法行为、消费者欺诈或其他法律类别，而不是合同意义上的 DNS Abuse。

政策咨询可研究，像 VFHA 这样范围狭窄、以证据为基础的类别，应纳入未来合同、跨行业转介框架还是国家法律。扩大范围必须要求精确的损害检验、可靠证据、相称救济、管辖权审查和申诉。含糊的“诈骗”标签并不充分。

一台通用服务器可以下载参与“证书透明度”（gTLD）计划的区域文件的可用快照并在本地计算变更，接收选定的证书透明度事件和公开数据源，对字符串进行规范化处理，计算哈希值并确定候选项的优先级。这是一个实用且可测试的工程基准——而非“对互联网的全面监控”。 2026年第二季度，威瑞信（Verisign）报告称所有顶级域名（TLD）的注册量共计4.016亿个；CZDS覆盖的是参与的“安全域名”（gTLD）区域文件，而非所有顶级域名；而CT则记录的是公开日志中的证书或预证书，而非每个活跃或有害的域名。 [8][9][17]

该框架是一个参考架构，而非自动的全球紧急关闭开关。它对案件范围、决策记录和时间戳进行了标准化，同时允许授权操作员选择干扰最小且有效的措施。

证据等级

API应创建一个可验证的案例，并启动一个可审计的响应计时器；报告人不得直接发出暂停命令。如果某个E3/E4案例涉及单一目的的恶意注册，且在未作出合理裁决或采取有效缓解措施的情况下到期，系统将自动将其上报给注册管理机构或具有合同或法律授权的其他主体。A serverHold 该命令只能由授权主体发出。自动权限提升以及在授权到期时采取行动的注册权限，是拟议的政策变更，而非对现有权限的声明。每次状态转换都会被签名并附于审计日志中。

{
  "indicator": {"type": "domain", "value": "example.invalid"},
  "alleged_category": "credential_phishing",
  "observed_at": "2026-08-02T06:14:22Z",
  "evidence": [
    {
      "type": "http_capture",
      "sha256": "a3f1c9…",
      "collection_method": "isolated_browser_v2",
      "source_id": "reporter:ed25519:7c2a…"
    }
  ],
  "provenance_graph": "ipfs-or-object-store:sha256:91bd…",
  "collateral_context": {
    "registered_domain_scope": true,
    "shared_service": false,
    "mail_observed": true,
    "suspected_compromise": false
  },
  "requested_action": "review",
  "reporter_signature": "ed25519:…"
}

成功的响应将返回案件编号、受理方、证据等级、完整性错误、目标审查时间以及公开透明度链接。在主管机构评估权限及连带影响之前，不得承诺采取任何具体补救措施。

服务级别目标应区分开来 致谢, 分诊, 决定 和 有效的缓解措施. 这使得性能可以被量化评估，同时并不预设停权总是正确的处理结果。

这些是试点目标。正确的数值应根据观测到的威胁持续时间、人员配置、错误成本和法律限制来推导，并以达成率分布的形式公布，而非仅给出单一平均值。

如果没有相应的防护措施，过快的响应可能会将错误数据放大，进而导致审查、商业破坏或基础设施中断。因此，一个合理的架构应将误报和附带损害视为首要的安全故障。

正当程序的最低保障

1. 每项限制性措施都会记录其原因代码、证据等级和负责决策人。
2. 登记人可以获取一份符合隐私保护要求的理由说明，并提交反证。
3. 紧急申诉将由未参与最初决策的人员进行复核。
4. 撤销操作通过与原始操作相同的有符号通道传播。
5. 汇总错误和恢复统计数据是公开的；敏感证据仍受访问控制。

公共注册商评分虽可提高问责制，但若仅凭简单的排名，其结果会因域名组合规模、数据源覆盖范围、客户构成以及域名是否被恶意注册或随后遭到入侵等因素而产生偏差。绝不能以评分作为理由，对某家注册商的所有客户实施集体封禁。

RQI = report as a vector, not a single opaque rank:

  coverage-adjusted validated-abuse rate
  median / p90 acknowledge, triage and decision times
  mitigation effectiveness and recurrence
  false-positive and reversal rates
  median / p95 appeal-resolution time
  evidence completeness and transparency rate

Always publish N, observation window, confidence intervals,
feed coverage and malicious-registration / compromise split.

如果治理工作需要使用综合评分，应在评估前设定权重，并针对保留样本进行敏感性测试和回测。结果应按TLD、注册商规模、威胁等级和证据来源进行分层。输出结果应为问责信号——而非自动生成的域名判定结果。

透明度登记册可以消除关于通知是否存在、何时送达以及随后采取了何种行动等争议。然而，公开所有相关信息可能会泄露受害者身份、个人数据、调查方法以及正在使用的漏洞利用路径。解决之道在于分级访问权限。

每次更新均为仅追加模式，并附有时间戳和数字签名。更正操作不会抹去历史记录，而是添加一条替代记录。公开搜索应遵守数据保留规则，防止大规模发现受害者信息，并为不准确的个人数据提供补救措施。

一项有价值的试点研究应规模适中：既要便于管理，又要足以验证因果链。建议范围如下：三名志愿者注册机构、两名注册库运营商、一名托管/CDN合作伙伴、两个独立研究数据源以及一个符合资格的申诉专家小组。在分配病例之前，应先注册研究方案和结局定义。

试点的主要结果

• 从经验证的证据到有效缓解措施所需时间的中位数和第90百分位数。
• 通知后可归因损害的差异，或预先指定的受害者暴露替代指标。
• 假阳性率、错误操作的严重程度及恢复时间的中位数。
• 同一注册人、基础设施集群及欺诈/网络钓鱼活动层面的复发。
• 每例经确认病例及每项有效防控措施的直接运营成本。

DNS Abuse 应对措施既不是纯粹的技术性筛选机制，也不是单一机构能够独自解决的问题。现有的2024年合同确立了实质性的减缓义务，但在证据、时机和补救措施方面留有相当大的裁量权。这种裁量权对于确保措施的相称性是必要的；但由于缺乏可比的记录，这也使得绩效评估变得困难。

1. 标准化证据包。 在报告方、注册商、注册局和基础设施提供商之间采用通用的证据来源、时间戳和结果字段。
2. 分别测量各阶段。 按威胁类别和证据等级，公布确认、分级、决策、缓解措施以及申诉的时间。
3. 区分恶意注册与系统遭入侵。 对于遭到入侵的合法服务，应优先采取路径/账户修复措施，并将全域范围的措施保留用于那些采取此类措施才符合比例原则的情况。
4. 试点响应目标。 针对高可信度、单一目的的恶意注册，应设定以小时为单位的目标，而非设定一个通用的截止期限。
5. 发布符合隐私保护要求的问责数据。 使用分级透明度登记制度，其中包含已签署的历史记录和受限证据。
6. 评估因果影响。 在预注册研究衡量受害者影响以及威胁向其他渠道或基础设施转移之前，不应将更快的暂停措施等同于减少了金钱损失。

这一建设性的结论并非在于，一旦对原问题的论点加以限定，该问题便不复存在。而是指核心论点现在可以接受检验了：检测后造成的危害范围在60%至85%之间，这是一个明确的定量假设； 100–150 是一个针对明确定义的传感器与分诊层的可验证工程预算假设；对于可信度高且目的单一的恶意注册，可以试点实施以小时为单位的响应目标。 公布工作量、成本、时间戳和结果，将其与基准进行比较，并衡量偏移量和误差。若得到证实，则可据此调整合同和政策；若被驳回，则可确定是哪项假设失效。