域名注册数据治理

01 · 身份核验制度框架

1.1 2013 RAA的验证义务

ICANN《注册服务机构认证协议（2013 RAA）》及配套的《WHOIS准确性计划规范》（WHOIS Accuracy Program Specification）确立了gTLD注册数据的核验基线：注册服务机构在收到注册数据后，须在15日内对注册联系人的邮箱地址或电话号码完成至少一项验证。验证的触发场景包括：新注册、注册商间转入、注册信息变更，以及注册商获得数据不准确的证据（如退信）时。

1.2 验证失败的处理链

1.3 WDRP与变更更新义务

WHOIS数据提醒政策（WHOIS Data Reminder Policy，ICANN于2003年通过）要求注册商在注册时向注册人告知数据准确性义务，并每年度提醒注册人核对并更新注册信息；2013 RAA进一步要求注册商在获悉注册信息变更后于7日内完成更新。这三层机制（注册验证、年度提醒、变更更新）共同构成gTLD数据准确性的制度性保障，但其执行质量依赖注册商合规水平——这正是ICANN合同合规部门持续监督的重点。

02 · 核验技术方法

2.1 邮箱验证

• 语法校验：按RFC 5322（及其实践性约束）校验地址格式，排除明显无效值。
• 域名与MX校验：解析邮箱域名的MX记录，确认存在接收能力；区分"语法有效但域名不存在"的占位邮箱。
• 可达性验证：向地址发送带一次性令牌的验证邮件，确认控制权。SMTP探测式校验（RCPT TO探测）存在误伤与垃圾化风险，实践中以主动确认邮件为妥。

2.2 电话验证

短信或语音验证码确认号码控制权；国际号码按E.164规范处理并校验国家码与号段有效性。中国境内注册服务机构的实践进一步包括身份证OCR识别与联网核查、营业执照信息比对等实名核验措施（详见第5篇）。

2.3 风险触发式二次核验

批量注册激增、投诉举报、退信证据、命名模式异常（如仿冒品牌词）等信号应触发对既有记录的二次核验。设计要点：核验动作与注册服务流程解耦，避免影响正常注册体验；核验结果标注置信度与时效，过期自动降权。

03 · 隐私保护机制：GDPR原则在注册数据中的落地

3.1 GDPR第5条原则的映射

3.2 Redaction的技术实现

Redaction在RDAP/WHOIS响应层面以占位符替换自然人字段（邮箱、电话、地址），同时保留组织名称（如已提供）、注册商、注册日期、状态、名称服务器等基础设施属性。技术要点：①隐藏字段的存在性仍需暴露（如"email: 已隐藏"），以便消费方区分"无数据"与"被隐藏"；②Redaction状态本身应结构化标注，支撑后续按授权级别升级访问；③缓存策略须与Redaction状态联动，避免隐藏数据通过缓存层泄露。

3.3 分层访问模型

04 · RDRS：注册数据请求服务

Redaction之后，合法的信息披露需求如何满足？ICANN的答案是从SSAD（标准化系统访问/披露）政策讨论中先行落地的注册数据请求服务（Registration Data Request Service，RDRS）：

• 2023年2月27日：ICANN董事会决议实施WHOIS Disclosure System；2023年11月28日：RDRS作为试点正式上线。
• 机制设计：请求方通过RDRS向参与计划的注册商提交非公开gTLD注册数据请求；ICANN仅提供标准化消息路由与流程框架，披露与否由注册商依据适用法律独立裁量，请求全程留痕。
• 试点运行数据：两年试点期（2023年11月28日至2025年11月30日）内，RDRS建立了超过1.3万个请求方账户，累计提交约3600项非公开数据披露请求，请求方涵盖执法机构、知识产权权利人、网络安全研究人员等；ICANN按季度发布使用指标报告，披露率与响应时长持续公开。
• 运行延续：2025年10月30日，ICANN董事会决议RDRS持续运行至2027年12月，为后续SSAD政策讨论积累运行数据。

05 · EPAG诉ICANN案：最小化原则的先例性检验

EPAG案是全球域名治理史上具有先例意义的司法事件：2018年GDPR生效后，德国注册商EPAG Domainservices GmbH依据ICANN临时规范，停止收集管理联系人（admin）与技术联系人（tech）的个人数据。ICANN担心此举冲击注册数据体系，于2018年5月向德国法院申请临时禁令，要求EPAG恢复收集。两级法院均予驳回：

该案的三点启示：①数据最小化原则优先于行业惯例——"历来如此"不构成收集的合法性基础；②注册数据治理的合规审查趋严，过度采集将给企业带来真实诉讼风险；③行业政策（含ICANN规范）必须内嵌隐私合规审查机制，这正是本课题双轨合规框架（第5篇）的设计动机之一。

06 · 中国法框架下的平衡设计

6.1 法律基础

• 《网络安全法》（2017年6月1日施行）：第24条确立网络实名制度，为域名注册实名制提供上位法依据；第41—43条规定个人信息收集使用的合法正当必要原则。
• 《数据安全法》（2021年9月1日施行）：确立数据分类分级保护制度，注册数据的安全管理义务据此展开。
• 《个人信息保护法》（2021年11月1日施行）：确立告知同意、最小必要、敏感个人信息特别保护、跨境提供合规（第38—40条）等规则；注册人作为数据主体享有完整权利谱系。
• 《互联网域名管理办法》（2017年11月1日施行）：确立域名注册信息真实性要求与实名制核验制度（详见第5篇）。

6.2 实名治理与个人信息保护的兼容路径

中国模式的要点在于"实名在注册环节、保护在流通环节"：注册人向注册服务机构实名提交身份信息（控制面可追溯），但身份信息的对外披露、共享、公开查询受到严格限制（流通面最小化）。对本课题的落地要求：①研究数据库只接收去标识化后的实体标识符；②任何对外输出（情报产品、共享接口）不得包含可直接识别自然人的字段；③建立数据安全事件应急预案与数据主体权利响应流程（查阅、更正、删除）。

本篇参考来源（第4篇）