托克劳的 .tk 一夜少了上千万域名：注册局这个单点失效时，业务连续性该怎么算

一个做海外小成本独立站的团队遇到过这样一次故障：早上打开监控面板，所有服务的健康检查都是绿的，处理器、内存、磁盘、带宽曲线全在正常区间，远程登录服务器也能正常执行命令，但用户端反馈的是“打不开”。排查了近半小时才发现，问题既不在服务器也不在机房——他们名下一批域名几乎在同一时间整批停止解析，本地查询返回的是“不存在这个地址”，而不是连接超时。服务器上跑了什么、跑在哪个机房，跟这次故障一点关系都没有。

这类故障最讨厌的地方在于：你手上所有关于服务器的冗余设计，此刻统统不起作用。双机热备、负载均衡、跨机房容灾，全部建立在“域名能解析到这些地址”这个前置条件上。域名这一层一旦消失，后面再完整的架构也没有办法接触到用户。而在绝大多数团队里，域名的可用性从头到尾没有被纳入过可用性设计——它通常在项目立项时被随手决定一次，写进配置文件，然后被所有人遗忘，直到它出事。

本文要回答的就是这件事：当服务器没坏、机房没停，但域名整批不解析的时候，这种外部依赖应该怎么进入你的可用性设计。下面沿着“现象—原因—关键变量—判断—方案—限制”这条链往下走，全程只谈域名与解析这一层，不谈机房里的事情。

一觉醒来整批域名不再解析：出事的那一层既不在机房也不在服务器上

要把这类故障讲清楚，得先把“一个域名能用”这件事拆成几层。最底下的一层是注册局，也就是某个顶级域的数据库运营方，它决定这个后缀下有哪些域名存在、由谁管理、什么时候被删除。往上一层是注册商，就是你付钱注册域名的那家机构，它替你向注册局提交注册信息、续费与变更。再往上一层才是解析服务，也就是把域名翻译成地址的那套系统，它通常由另外一家服务商提供，与前两层可以是完全无关的公司。

这三层里任何一层出问题，用户的感受都一样：网站打不开。但它们的成因、可预见性和可补救性差别极大。服务器宕机属于你自己可控范围内的事件，你可以监控、可以切、可以赔；而注册局与注册商的状态，你既监控不到，也没有合同关系去约束——尤其是当你用的注册商本身就是注册局的关联方时，这两层会合并成一个单点。

.tk 的情况恰好是这种最坏形态的典型。托克劳是南太平洋的一个地区，.tk 是分配给它的国家顶级域；2001 年，OpenTLD B.V.（Joost Zuurbier）与托克劳签署注册局协议，约 2006 年推出免费注册模式。在这套安排下，注册局与面向最终用户的注册服务长期由同一体系提供，用户拿到的是“使用权”，而不是通用顶级域意义上的注册人权利。这个结构上的差别，决定了后面所有事情发生的方式。

判断一个域名能不能上生产，要看注册局治理、注册人权利与扩展名信誉这三件事

选域名时最常见的判断依据只有两条：好不好记，和一年多少钱。这两条对预算敏感的新项目试用环境来说其实够用，但只要这个域名要承载任何有真实用户的业务，就还缺三样更重要的东西。

第一样是注册局的治理与存续能力。这个后缀由谁运营、运营权依据什么授予、授予方与运营方之间是什么关系、运营方的主要收入来自哪里、这个安排有没有被公开质疑过。这些问题不决定你的网站快不快，但决定这个后缀会不会在某一天整批消失。国家顶级域尤其特殊：它是与主权安排绑定的资产，不是一家公司可以随意买卖的商品。

第二样是注册人权利是否真正属于你。关键区别在于：你是这个域名的注册人，还是某项服务的使用者。前者意味着你拥有在注册局数据库里的记录、可以转移注册商、可以在争议中主张权利、可以在运营方出问题时带走域名；后者意味着运营方可以单方面收回或停用，且通常不适用与 .com 等通用顶级域相同的注册人保护与争议解决流程。行业分析口径里，免费或近似免费的国家顶级域使用者通常属于后者。

第三样是这个扩展名本身的信誉与滥用历史。一个后缀如果长期在钓鱼与垃圾邮件的统计里名列前茅，那么你的邮件送达率、你的网址在安全产品里的评级、你的站点在搜索结果里的信任度，都会被这条历史记录拖累——而且这种拖累是按后缀整体计算的，不区分你个人是否清白。

免费注册模式为什么必然积累风险：边际成本为零带来的滥用与封杀

免费注册不是一种商业慈善，它是一套有明确后果的机制设计。当一个域名的注册成本对使用者为零时，滥用者的成本也就为零：批量注册、短期使用、被封后换一批，这套循环在经济上完全成立。而对运营方来说，免费域名带来的流量与广告收益是正向的，滥用治理的投入却是纯支出，两者的激励方向相反。

后果在公开研究里看得很清楚。Interisle 咨询 2021 年的研究指出，Freenom 运营的五个国家顶级域（.tk、.ml、.ga、.cf、.gq）在被钓鱼滥用最多的前十个顶级域中占了五个；Spamhaus 在 2019 年至 2022 年间多次报告其滥用率居高。一个后缀一旦被安全社区贴上“高滥用”标签，后续所有使用者的连带代价就开始累积：邮件更容易被拒收、网址更容易被拦截、合作方的安全审查更难通过。

而这类模式的终局往往不是缓慢衰减，而是一次性的外部冲击。因为治理压力不会来自用户，只会来自两个方面：一是大型权利人的法律行动，二是 ICANN 对注册商资格的合规要求。这两条路径一旦启动，时间尺度就从“年”压缩到“月”，而且执行节点通常不由使用者掌握。.tk 从模式推出到批量失效，中间隔了十几年，但从第一个法律动作到域名整批停止解析，只用了一年左右。

所以真正需要记住的不是“免费域名有风险”这么一句空话，而是风险的形态：它是长期积累、短期爆发，且爆发时没有提前通知。这个形态直接决定了应对方式只能是事前规避，而不是事中响应。

从 2023 年 3 月到 2024 年 3 月：四个时间点串起来的过程

把公开信息按时间排一遍，可以看清这件事是怎么一步步走到批量失效的。

第一个节点是 2023 年 3 月 3 日。Meta 起诉 Freenom，指其大量仿冒 Facebook、Instagram、WhatsApp 的域名构成抢注与商标侵权。这是来自权利人的法律压力，指向的是运营方对滥用行为的责任。Freenom 随后暂停了新的免费注册——这是整条链上第一个可被使用者观察到的信号，但当时大多数人把它理解为临时调整。

第二个节点是 2023 年 11 月。ICANN 因 Freenom 未在 21 天通知期内纠正违约，发出终止注册商认证协议的通知。这一步的性质与诉讼完全不同：诉讼是商业纠纷，而注册商资格终止意味着这家机构在 ICANN 体系内的执业身份出了问题。对仍在使用的团队来说，这是一个明确的、公开可见的高等级预警，但它出现在合规文件里，而不是出现在你的监控面板上。

第三个节点是 2024 年 2 月 12 日。Freenom 宣布与 Meta 和解，并退出域名与注册局业务。运营方主动退出，意味着原本由它承担的数据库运营与注册服务需要交接或终止。公开记录里值得注意的是，证书签发数据显示，失效在 2024 年 2 月 8 日至 10 日左右就开始生效，早于官方声明数日，很多用户没有收到提前通知。

第四个节点是 2024 年 3 月。托克劳收回 .tk 的直接管理并清掉约 1,260 万个域名；马里、加蓬、中非共和国、赤道几内亚各自转向直接管理或其它运营方。到这一步，影响就从“某个注册商的经营问题”变成了“某个后缀下的域名是否还存在”的问题——而后者是使用者无论如何补救都解决不了的。

1,260 万个域名停止解析，Cloudflare 托管域名总量下降约 22%

这四个节点落到统计数字上，规模是惊人的。Netcraft 的统计显示：到 2024 年 3 月，.tk、.cf、.gq 上约 1,260 万个域名停止解析，可解析数量相比上月下降约 98.7%；这些域名此前约占 Cloudflare 全部托管域名的 23.1%，导致 Cloudflare 托管域名总量下降约 22%。

换一个角度理解这 22%：一家全球规模的基础设施服务商，其托管域名总量在一个月内掉了五分之一以上，而原因不是用户流失、不是竞争、不是价格，是另一家公司退出了某个业务。这说明域名这一层的集中度风险，比大多数人想象的要高——大量看似分散的独立使用者，实际上共享同一个注册局、同一个注册商、甚至同一套数据库。

另一个统计口径来自域名项目（domains project）的统计：Freenom 五个顶级域合计约 2,860 万注册量，仍可解析的仅约 30 万，失效比例约 98.94%。而在此之前，.tk 的注册量在 2016 年达到约 3,130 万的峰值，一度是全球注册量最大的国家顶级域之一；Nominet 的《The Online World 2025》称 .tk 的域名管理量从 2,400 多万降至约 8 万。

一万网络在把服务器租用与机柜托管的交付清单化时，通常也会提醒把域名、证书与解析这三项外部依赖一并列入核对范围——它们不在机房里，却决定了机房里的东西能不能被访问到。

域名这一层失效时，业务上真正会断的五处，远比“网站打不开”要多

第一处是解析本身，这也是最直观的一处：域名不再返回地址，用户请求在第一步就失败。对试用环境与内部管理后台来说，这一处的损害尚可接受——大不了重新分配一个内部入口。但对有外部用户的业务，这一步的失败是彻底的。

第二处是证书签发。证书签发机构在签发前要查询域名是否存在、是否可控。证书签发数据显示，.tk 相关域名的失效在 2024 年 2 月 8 日至 10 日左右开始生效，早于官方声明数日。这意味着即便你的域名还能解析，续签与新签证书的动作也可能先一步失败，然后在证书到期那一刻，你的站点会以“证书无效”的形式不可用，而排查方向往往会被误导到服务器配置上。

第三处是邮件信誉。发信域名的信誉与所在后缀的滥用历史高度相关。Interisle 与 Spamhaus 的公开数据表明，Freenom 运营的五个顶级域长期处于高滥用区间。对接收方而言，按后缀整体降权是最省事的做法，它不会去区分你是不是那 98.94% 之外的少数。所以邮件被拒收这件事，可能早在域名停止解析之前就已经在发生了。

第四处是短链与跳转服务。短链的危险在于它是被嵌入到别处的：二维码、邮件正文、合作方的页面、已经印刷出来的物料、第三方平台的历史内容。域名失效后，这些已发布的入口无法批量回收，替换成本与链接数量成正比，与你的技术能力无关。这也是本批场景里短链与跳转服务被单独列出来的原因。

第五处是搜索收录与外链资产。搜索引擎对一个不再解析的域名会逐步降权直至移除索引，而积累在旧域名上的外链、权重与历史记录，无法通过简单的重定向完全继承。这一处的损失是慢性且不可逆的，通常在故障发生几个月后才完全显现。

什么样的域名可以上生产：四条可以逐条核对的判断线

第一条是后缀的运营安排是否清晰可查。你需要知道这个顶级域的注册局是谁、运营权依据什么文件授予、期限与终止条件是什么。查不到公开信息的后缀，无论价格多低都不应承载生产流量。反过来，信息越公开、治理结构越清楚，事后出现“一夜清库”这种极端动作的概率越低。

第二条是你是否拥有完整的注册人权利。实际核对的方法是看三件事：注册局数据库（WHOIS）里的注册人信息是不是你、你能不能在任意一个注册商之间转移这个域名、你能不能修改全部联系信息而不经过运营方审批。这三条只要有一条不满足，你在法律意义上的位置就更接近服务使用者，而不是注册人。

第三条是价格结构是否可持续。价格不一定要高，但要能覆盖注册局的治理成本。一个后缀如果长期以接近零的价格放量，它要么在别处变现（通常是流量与广告），要么在治理上欠账，两种情况的代价最终都由使用者承担。这条判断线对预算敏感的新项目尤其关键：省下的注册费，与一次批量失效的损失不在一个量级。

第四条是这个后缀的滥用历史与当前声誉。查两处就够了：安全研究机构的滥用统计，以及邮件与安全厂商的公开评级。Interisle 咨询 2021 年的研究与 Spamhaus 在 2019 年至 2022 年间的多次报告，就是这类信息的典型来源。历史记录差的后缀，可以用在试用期，但不该用在面向客户的地址上。

注册局、注册商、注册人权利、DNS 与证书：五个依赖环节的失效表现与兜底做法对照

本文只讨论域名与解析这一层的外部依赖，不涉及具体机房与线路选型

需要先把边界说清楚，避免把两件事混在一起。本文讨论的是从“用户敲下网址”到“请求到达你的服务器之前”这一段，具体包含注册局、注册商、注册人权利、权威解析、证书签发与邮件信誉。这些环节的共同特点是：它们都不在你的机房里，你无法用增加服务器、增加带宽或改造应用架构的方式解决它们。

与之相对，机房与线路这一层的选型——某个城市有没有可用节点、机柜电力与制冷条件如何、跨区域链路怎么走、带宽按什么口径计费——属于另一组完全不同的变量，本文一概不谈。同样不谈的还有海缆与登陆站、区域电价与审批流程、以及服务器内部的软件配置与调优。一个团队完全可以拥有非常扎实的机房级容灾，同时在域名这一层毫无防护，这两件事互不替代。

上线前对域名这一层的七项核对

下面七项可以直接抄进上线检查单，按顺序逐条过。任一项不满足，就说明这个域名还不具备承载生产的条件。

第一项，确认注册局与运营安排。查明这个后缀的注册局主体、运营权授予文件与期限，确认治理结构公开可查。查不到的，直接换后缀，不要试图通过别的渠道补强。

第二项，确认注册人身份。在注册局数据库里查自己的域名，确认注册人、管理联系人、技术联系人三项信息都指向你或你的主体，而不是注册商的代持信息。代持意味着你不是注册人。

第三项，确认可转移性。向当前注册商索取转移授权码，确认它能在有效期内给出，且域名没有被设置转移锁或处于争议状态。拿不到授权码的域名，等同于被锁定在这一家。

第四项，确认续费与到期机制。记录到期日期、续费宽限期与赎回期的规则，确认账户绑定的支付方式有效，并确认到期提醒发送到的是你能收到的邮箱，而不是某个已经失效的历史邮箱。

第五项，确认解析服务与注册商分离。权威解析应由独立于注册商的服务商提供，且至少配置两家形成主备。同时确认关键记录的 TTL 设置，估算一次切换需要多久在全网生效。

第六项，确认证书与邮件的可用性。确认签发机构能对该后缀正常签发与续签，确认外发邮件的 SPF、DKIM、DMARC 已配置并通过验证，确认发信子域与站点域名分离，避免一次事件同时打掉两处。

第七项，确认存在一份可执行的迁移预案。预案至少写清三件事：备用域名是什么、切换时需要改哪几处配置、已发布的链接与物料如何回收或替换。没有预案的冗余不算冗余。

关于注册局风险、免费域名与冗余成本的七个判断题

域名真的比服务器更容易被忽略吗？经验上是的，而且原因很具体：服务器有监控指标、有告警、有值班响应，域名没有。服务器的每一次抖动都会体现在曲线上，而注册商被终止资格、注册局更换运营方这类事件，只出现在行业新闻与合规文件里，不会在你的面板上产生任何一行日志。一个组件如果没有被监控，它就天然不会进入可用性设计。

免费域名到底少了哪些权利？按行业分析口径，免费或近似免费的国家顶级域使用者，通常不是 ICANN 意义上的注册人，而是服务使用者。落到具体条款上，差别体现在三处：运营方可单方面收回或停用；不适用与 .com 等通用顶级域相同的注册人保护；争议解决不通过统一域名争议解决机制处理。也就是说，你对这个域名没有可主张的所有权，只有随时可撤销的使用许可。

注册商资格被终止，解析会立刻受影响吗？不会立刻，但时间窗口不由你掌握。以 2023 年 11 月 ICANN 向 Freenom 发出终止注册商认证协议通知为例，从通知到 2024 年 2 月 12 日 Freenom 宣布退出，中间隔了约三个月；而证书签发数据显示，相关域名的失效在 2024 年 2 月 8 日至 10 日左右就已开始生效，早于官方声明数日。所以正确的做法不是等解析真的断了再动，而是在公开违约通知出现时就启动转移评估。

邮件被拒收与扩展名的历史滥用有多大关系？关系很大，而且是按后缀整体计算的。Interisle 咨询 2021 年的研究指出，Freenom 运营的五个国家顶级域（.tk、.ml、.ga、.cf、.gq）在被钓鱼滥用最多的前十个顶级域中占了五个；Spamhaus 在 2019 年至 2022 年间多次报告其滥用率居高。接收方的反垃圾系统为了效率，通常直接按后缀加权，不会为个别清洁域名做例外。所以使用这类后缀发信，拒收问题往往在域名还能正常解析时就已经存在。

更换主域名需要提前多久准备？本文不给具体时限，因为真正的变量不是时间，而是依赖项的清理程度。需要准备的内容包括：备用域名的注册与解析配置、证书的新签与部署、应用内所有硬编码域名与回调地址的排查、第三方平台（支付、登录、统计、广告）的白名单更新、外发邮件发信域的信誉培养，以及对已发布链接的重定向安排。这几项里任何一项遗漏，切换后都会留下缺口。

多域名冗余值得做吗，成本在哪里？值得与否取决于一个判断：你的域名失效后，能不能在用户流失前完成切换。成本主要不在域名本身的注册费，而在三处——备用域名的持续维护与续费、两套证书与解析的重复配置、以及保持备用域名处于“可立即启用”状态所需的定期演练。此外还有一个隐性成本：双域名会稀释品牌识别度，对外统一出口需要在两者之间做取舍。

面向中国大陆用户提供服务时，域名与解析还要注意什么手续？按主管部门与接入商要求办理相关手续，以官方要求为准，本文不给出具体时限。需要留意的是，这类手续的办理主体与域名注册人应当一致，若域名使用了代持或非本人注册，手续环节会额外增加核验成本。这也是前面强调注册人权利归属的另一个实际理由。

域名之外，还有哪些外部依赖本文没有展开

把域名这一层纳入设计之后，同一个思路还可以向外延伸，但下面这些本文都不展开。第一类是依赖第三方身份与信任链的服务：OAuth 登录、支付网关、短信与邮件送达通道，它们的可用性同样不由你控制，且失效时同样表现为“用户用不了”。

第二类是第三方脚本与资源：公共库、字体、统计与广告代码、视频播放器。它们一旦加载失败或被拦截，页面功能是残缺的，但服务器监控依然全绿，故障特征与本文描述的非常相似。

第三类是证书颁发机构与根信任库本身。签发机构的合规事件、根证书的信任变更，会在不打招呼的情况下让一部分客户端拒绝你的证书。

第四类是代码与制品的外部来源：公共镜像仓库、包管理器、容器基础镜像。它们的不可用影响的是你的交付与扩容能力，而不是线上可用性，但同样属于“不在机房里的单点”。

一万网络深耕 IDC 行业 19 年（成立于 2007 年），在华南、华东、华北及中国香港、海外多地整合自营节点与 BGP 多线资源，提供服务器租用、机柜托管与带宽接入的一体化交付；具体机型、带宽与报价以官网实时信息或咨询确认为准。在准备域名、证书与解析时，可把本文的核对项与服务器租用、机柜托管的交付清单合并检查。

回到托克劳：把注册局风险写进上线前的核对表

回到开篇那个场景：服务器正常、机房正常、监控全绿，但用户打不开。它之所以难查，不是因为技术复杂，而是因为出事的那一层根本不在你的观测范围里。托克劳的 .tk 提供了一个足够极端的样本——从 2016 年约 3,130 万的峰值，到 Nominet《The Online World 2025》所称的约 8 万；从 2023 年 3 月 3 日 Meta 起诉，到 2024 年 3 月约 1,260 万个域名停止解析，前后只有一年。

这个样本给出的判断标准其实很朴素：判断一个域名能不能承载业务，要看注册局的治理与存续、注册人权利是否真正属于你、以及这个扩展名本身的信誉与滥用历史，而不是只看注册价格。价格是可以随时比较的短期变量，另外三样是决定性的长期变量，且一旦选错几乎没有补救窗口。

落到执行上，就是上文那七项核对：注册局与运营安排、注册人身份、可转移性、续费与到期机制、解析与注册商分离、证书与邮件可用性、以及一份可执行的迁移预案。其中前三项决定你能不能防，后四项决定你出事时能不能救。

最后重申本文口径：文中所有事实与数字均来自 ICANN、注册局与研究机构的公开信息，包括 2001 年 OpenTLD B.V.（Joost Zuurbier）与托克劳签署注册局协议、约 2006 年推出免费注册模式、Interisle 咨询 2021 年研究、Spamhaus 在 2019 年至 2022 年间的报告、2023 年 3 月 3 日 Meta 起诉、2023 年 11 月 ICANN 发出的终止通知、2024 年 2 月 12 日和解与退出、Netcraft 与域名项目的统计数字。涉及 .io（英属印度洋领地）的部分属于公开讨论中的推测——有观点认为其主权安排变化可能触发 ISO 3166 的顶级域退出流程，而退出过程可能长达 5 年至 10 年，这是被用来说明国家顶级域与其主权安排绑定的性质，不是已确定的结论。具体到你所用的后缀与注册商，请以 ICANN 与注册局的当前公开信息为准。