Проверка домена на возраст: что дата регистрации говорит о риске email

Возраст домена считают от даты его регистрации. Для адреса на этом домене это один из сигналов риска: ящик на домене, который появился позавчера, чаще оказывается одноразовым или мошенническим, чем ящик на домене двадцатилетней давности.

Сигнал полезный, но недостаточный сам по себе. Новый домен бывает у честного стартапа, а старый можно купить. Ниже о том, где взять дату, что о новых доменах известно из исследований и в каких случаях проверка возраста ошибается.

Почему новым доменам меньше доверяют

Домен дёшев, а репутация копится годами. Тому, кто рассылает спам или заводит фейковые аккаунты, проще бросить засвеченный домен и зарегистрировать новый, чем отмывать старый. Сервисы одноразовой почты живут по тому же циклу: их домены попадают в списки temp-mail, и операторы заводят свежие.

Цифры на этот счёт есть у Unit 42, исследовательской группы Palo Alto Networks. В отчёте 2019 года они пишут, что больше 70% недавно зарегистрированных доменов оказались вредоносными, подозрительными или «небезопасными для работы», почти вдесятеро чаще, чем среди популярных сайтов. Вредоносные новые домены там же названы короткоживущими: часть работает несколько часов или пару дней, иногда исчезая раньше, чем их заметит хоть один производитель средств защиты.

Как узнать возраст домена

Дату хранит регистратура зоны, а отдают её два протокола. Старый WHOIS возвращает свободный текст, у каждой зоны свой формат. RDAP ICANN называет заменой WHOIS: ответ в нём приходит в JSON, и дата регистрации лежит в массиве events с пометкой registration (формат описан в RFC 9083). С 28 января 2025 года регистратуры и регистраторы gTLD обязаны держать RDAP, а WHOIS для большинства из них больше не обязателен.

Вживую RDAP-сервер Verisign для example.com отдаёт событие registration с датой 1995-08-14. Для зоны .ru WHOIS-сервер whois.tcinet.ru по yandex.ru пишет строку created: 1997-09-23T09:45:07Z, то есть формат другой, а смысл тот же.

Сведения о владельце регистраторы часто скрывают, особенно после GDPR, но дату создания домена обычно оставляют открытой. Сложности начинаются при массовой проверке: у национальных зон свои форматы и лимиты на число запросов, и разбирать ответы приходится под каждую отдельно.

Какой домен считать новым

Общепринятого порога нет. Unit 42 относит к новым домены, которые зарегистрированы или сменили владельца за последние 32 дня, и пишет, что в этот срок их чаще всего и ловят на вредоносной активности. Для сетевого фильтра компании они советуют новые домены блокировать или хотя бы ставить на контроль. Для формы подписки это слишком жёстко, там цена ложной блокировки выше: вы теряете живого человека.

Есть и обратная ловушка. Дата создания показывает, когда домен зарегистрировали, а не когда он сменил хозяина. Домен, купленный на вторичном рынке, сохранит свою старую дату и пройдёт проверку возраста, хотя распоряжается им уже другой человек. А если домен освободился и его зарегистрировали заново, дата обнулится, и он выглядит новым, хотя у имени есть история.

Возраст домена вместе с другими сигналами

Поэтому возраст смотрят в связке. Новый домен с MX-записями, SPF и DMARC и работающим сайтом, скорее всего, обычная новая компания. Новый домен без MX и без сайта, с адресом вроде test123@, уже повод насторожиться. Проверить записи домена можно в проверке почтового домена.

• В форме регистрации молодой домен разумнее не отклонять сразу, а отправить такого пользователя через double opt-in или дополнительную проверку.
• В готовой базе пачка адресов на доменах, созданных за несколько дней до подписки, говорит о ботах или сознательном засорении базы сильнее, чем каждый адрес по отдельности.

uChecker возраст домена не проверяет. Он смотрит на то, что ближе к доставке: есть ли у домена почтовые серверы, отвечают ли они, есть ли ящик и не значится ли домен в списках одноразовых. Если вам нужен именно возраст, его даёт любой RDAP-клиент, а сочетать сигналы придётся на своей стороне.