Tên miền .vn được bảo vệ bằng ba lớp: khóa chuyển do nhà đăng ký đặt, khóa cấp hệ thống cho tên miền giá trị, và DNSSEC chống giả mạo bản ghi DNS. Chúng tôi kiểm 33 tên miền .vn lớn ngày 14/09/2026: cả 33 đều bật khóa chuyển, 13 có khóa cấp hệ thống, nhưng chỉ 3 bật DNSSEC. Lớp quan trọng nhất lại không nằm trong ba lớp đó — là tài khoản quản trị và email của chính bạn.
Tên miền .vn thường bị mất hoặc bị chiếm vì đâu?
Phần lớn trường hợp đến từ phía chủ thể chứ không phải từ lỗ hổng kỹ thuật. Các nguyên nhân hay gặp:
- Quên gia hạn — quá hạn nộp phí duy trì là một căn cứ thu hồi theo Nghị định 147/2024/NĐ-CP (chi tiết ở bài đăng ký tên miền .vn).
- Người khác đứng tên — đơn vị làm web hoặc đại lý khai hồ sơ bằng tên họ, khi quan hệ đổ vỡ thì bạn không chứng minh được quyền sở hữu và có thể phải đi con đường giải quyết tranh chấp tên miền.
- Mất quyền vào email quản lý — email của nhân viên đã nghỉ, email miễn phí bị khóa; mọi xác nhận chuyển và gia hạn đều gửi về đó.
- Tài khoản quản trị bị lộ — kẻ xấu đổi máy chủ tên miền để trỏ website sang nơi khác mà không cần chuyển nhà đăng ký.
Khóa chuyển tên miền là gì?
Khóa chuyển là một trạng thái gắn trên tên miền để chặn việc chuyển sang nhà đăng ký khác cho tới khi được mở. Trạng thái này theo chuẩn giao thức EPP (RFC 5731): tiền tố client là do nhà đăng ký đặt, tiền tố server là do phía quản lý hệ thống đặt.
| Trạng thái | Ai đặt | Chặn việc gì |
|---|---|---|
| clientTransferProhibited | Nhà đăng ký | Chuyển sang nhà đăng ký khác |
| clientUpdateProhibited | Nhà đăng ký | Sửa thông tin, máy chủ tên miền |
| clientDeleteProhibited | Nhà đăng ký | Xóa tên miền |
| serverTransferProhibited | Phía hệ thống | Chuyển; nhà đăng ký không tự mở được |
| serverUpdateProhibited | Phía hệ thống | Sửa thông tin; cần thủ tục qua hệ thống |
| serverDeleteProhibited | Phía hệ thống | Xóa tên miền |
Khóa cấp nhà đăng ký chặn được việc chuyển trái phép thông thường. Khóa cấp hệ thống chặt hơn nhiều vì ngay cả khi tài khoản ở nhà đăng ký bị chiếm, kẻ xấu vẫn không tự sửa hay chuyển được — đổi lại, chính bạn cũng phải qua thủ tục khi muốn thay đổi.
33 tên miền .vn lớn đang bật những lớp nào?
Khóa chuyển cấp nhà đăng ký có mặt ở mọi tên miền trong mẫu; khóa cấp hệ thống chủ yếu thấy ở báo lớn, sàn thương mại, cơ quan nhà nước và chính các nhà đăng ký. Chúng tôi tra trạng thái bằng công cụ tra cứu tên miền và kiểm bản ghi DS qua máy chủ phân giải công cộng, ngày 14/09/2026.
- Khóa cấp hệ thống (13/33): dantri.com.vn, tiki.vn, fptshop.com.vn, chinhphu.vn, vtv.vn, vnnic.vn và 7 nhà đăng ký (Mắt Bão, P.A Việt Nam, Tenten, Nhân Hòa, ESC, VinaHost, Tino).
- Khóa sửa hoặc xóa cấp nhà đăng ký (6/33): có ở dantri.com.vn, shopee.vn, fptshop.com.vn, vietcombank.com.vn, pavietnam.vn, tino.vn.
- DNSSEC (3/33): chỉ vnnic.vn, matbao.vn và pavietnam.vn có bản ghi DS.
Mẫu nhỏ nên không đại diện cho toàn bộ tên miền .vn, nhưng đủ thấy hai điều: khóa chuyển gần như là mặc định; và DNSSEC còn rất ít được bật, kể cả ở phần lớn nhà đăng ký.
DNSSEC là gì, có nên bật không?
DNSSEC là phần mở rộng bảo mật cho DNS, gắn chữ ký số vào bản ghi để máy phân giải xác minh được bản ghi không bị giả mạo trên đường đi. Với tên miền .vn, VNNIC mô tả quy trình DNSSEC trên hệ thống DNS quốc gia: nhà đăng ký gửi bản ghi DS, VNNIC kiểm tra, xác thực rồi ký chuyển giao lên hệ thống tên miền .vn.
Nên bật khi website liên quan tới tiền, đăng nhập hay dữ liệu khách hàng và bạn đã ổn định nơi đặt DNS. Nên cân nhắc kỹ khi bạn còn hay đổi nhà cung cấp DNS: nếu đổi máy chủ tên miền mà quên cập nhật hoặc gỡ bản ghi DS cũ, tên miền có thể không phân giải được, website và email cùng ngừng. Hướng dẫn của một số nhà đăng ký cũng lưu ý thao tác DNSSEC cho tên miền .vn được xử lý trong giờ hành chính nên có thể mất lâu hơn tên miền quốc tế.
DNSSEC không thay HTTPS: nó bảo vệ bước tra địa chỉ, còn nội dung trang vẫn cần chứng chỉ SSL.
Bảo vệ tài khoản quản trị: lớp dễ bị bỏ quên nhất
Mọi khóa đều vô dụng nếu kẻ xấu đăng nhập được vào tài khoản quản lý tên miền của bạn. Ba việc nên làm ngay:
- Dùng mật khẩu dài, sinh ngẫu nhiên, không dùng lại ở nơi khác — tạo nhanh bằng công cụ tạo mật khẩu mạnh chạy ngay trong trình duyệt.
- Bật xác minh 2 lớp nếu nhà đăng ký hỗ trợ.
- Đặt email quản lý là email thuộc quyền kiểm soát lâu dài của bạn hoặc doanh nghiệp, không phải email cá nhân của một nhân viên.
Tự kiểm tra tên miền của bạn thế nào?
- Nhập tên miền vào công cụ tra cứu tên miền: xem chủ thể có đúng là bạn, nhà đăng ký quản lý là ai, ngày hết hạn và các trạng thái khóa.
- Nếu không thấy
clientTransferProhibited, đăng nhập trang quản trị và bật khóa chuyển, hoặc yêu cầu nhà đăng ký bật. - Với tên miền mang thương hiệu chính, hỏi nhà đăng ký về dịch vụ khóa tên miền cấp hệ thống và điều kiện mở khóa.
- Chỉ bật DNSSEC sau khi DNS đã ổn định; ghi lại việc đã bật để lần sau đổi DNS không quên bản ghi DS.
Nếu tên miền đang nằm ở đại lý và bạn muốn đưa về một nhà đăng ký chính thức, xem cách chuyển tên miền sang nhà đăng ký khác và danh sách 16 nhà đăng ký .vn.
Số đo trạng thái và bản ghi DS do Được Đề Xuất tự tra ngày 14/09/2026. Ý nghĩa trạng thái theo RFC 5731; quy trình DNSSEC theo trang công nghệ DNSSEC của VNNIC. Bài không có liên kết giới thiệu.