Un dominio scaduto può sembrare un affare perché contiene una parola chiave, ha una storia di link o viene venduto a un prezzo inferiore a quello di un nome nuovo. Il prezzo, però, non misura il rischio. Il nome potrebbe essere stato usato per un sito, una newsletter, un sistema di reindirizzamento, un archivio di file, un modulo di accesso o attività che hanno lasciato segnali presso utenti e servizi di sicurezza. Quando un’azienda vuole usarlo per il proprio sito, per la posta o per una campagna, l’audit precedente all’acquisto deve essere trattato come una fase di procurement e non come una semplice ricerca di disponibilità.
Definire esattamente che cosa si sta comprando
La parola acquisto può indicare il diritto di registrare un nome, una registrazione già esistente, un’asta, un account presso un registrar o un pacchetto che include sito e dati. Prima dell’analisi fissa il nome normalizzato, TLD, forma Unicode, forma ASCII e orario della verifica. Distingui radice, www, sottodomini di posta e host applicativi. Controlla trattini, caratteri simili, punti finali e varianti che il venditore potrebbe aver incluso nella descrizione. Se il contratto non definisce chiaramente registrazione, accessi, contenuti, dati e responsabilità, nessun risultato tecnico può colmare quella lacuna.
Verificare lo stato registrativo prima del valore
RDAP o WHOIS possono mostrare registrar, date, nameserver, stato e alcuni eventi, ma la quantità di dati pubblici cambia per TLD e regole di privacy. ICANN spiega che una registrazione scaduta può attraversare periodi di rinnovo, cancellazione o redemption e che la procedura concreta dipende anche dai termini del registrar. Non leggere una pagina d’asta come prova definitiva di trasferibilità. Per un gTLD verifica eventuali blocchi, dispute o richieste di autorizzazione. Per un ccTLD italiano o straniero controlla le regole del registro e dell’operatore accreditato. Un dato non restituito è un’incognita, non una conferma che non esista un problema.
- Nome normalizzato, TLD e orario della verifica
- Date di creazione, aggiornamento, scadenza e ripristino
- Registrar, stato e nameserver
- Eventi registrativi disponibili e campi assenti
- Differenze tra dati pubblici e dichiarazioni del venditore
- Questioni da confermare con registrar, acquisti e legale
Usare la storia come indizio, non come verdetto
Pagine storiche, risultati di ricerca, certificati, redirect e segnali di reputazione aiutano a ricostruire un possibile uso, ma nessuno di questi elementi racconta necessariamente tutto. Una pagina parcheggiata non dimostra che il dominio sia sempre stato inutilizzato; una pagina vuota non esclude traffico email; un singolo alert non dimostra che l’intero nome sia illecito. Per ogni osservazione salva data, oggetto, fonte, tipo di prova e livello di confidenza. Se ricevi 401, 403, 429, CAPTCHA, timeout o contenuti ambigui, conserva unknown. Non trasformare una risposta che non puoi leggere in un certificato di innocenza o di colpevolezza.
Il DNS descrive soprattutto la situazione osservata oggi, ma può far emergere rischi immediati. A, AAAA e CNAME possono puntare a un sito ancora attivo; MX può indicare che qualcuno riceve posta; TXT può contenere SPF, selettori DKIM, token di verifica o autorizzazioni dimenticate; NS mostra chi risponde per la zona. Un vecchio MX può portare messaggi a una casella non più controllata, mentre un TXT lasciato in eredità può mantenere un collegamento con un servizio esterno. Distingui risposta vuota, NXDOMAIN, SERVFAIL e timeout, e non concludere la storia con una sola query.
Controllare marchi e controversie
Un nome non registrato da altri non è per questo libero dal rischio di marchio. WIPO descrive procedure per controversie tra nome di dominio e diritti di marchio, dove possono essere rilevanti somiglianza, legittimo interesse e uso in mala fede. Prima di comprare controlla la denominazione dell’azienda, prodotti, concorrenti, traslitterazioni, varianti italiane e mercati in cui il nome verrà usato. La ricerca WHOIS non sostituisce un controllo sui registri dei marchi né un parere legale. Se il candidato è vicino a un marchio noto o a un concorrente, sospendi l’acquisto finché marketing e legale non avranno definito uso e rischio.
Costruire un dossier confrontabile
Per ogni candidato prepara un dossier con input originale, versione normalizzata, ora, registrazione, DNS, sito, TLS, reputazione, marchi, dichiarazioni del venditore, condizioni economiche, accessi inclusi e domande aperte. Non riassumere il risultato con un semaforo privo di motivazione. Scrivi quali fatti sono confermati, quali campi sono redatti o assenti, quali segnali sono in conflitto e quale rischio può essere ridotto da una clausola o da una pulizia tecnica. Il dossier deve poter essere ripetuto dopo il passaggio, così il team può confrontare la situazione ereditata con quella che ha appena configurato.
{
"domain": "esempio.it",
"checked_at": "2026-09-28T09:00:00Z",
"registration": "registrar_confirmation_required",
"dns": "old_mx_observed",
"reputation": "unknown",
"brand_review": "legal_review_required",
"decision": "hold"
}Preparare il passaggio e azzerare la fiducia ereditata
Quando la transazione è conclusa, cambia password dell’account, email di recupero, autenticazione a più fattori e chiavi applicative. Conferma che il team controlli nameserver, zona DNS e registro presso il registrar. Rimuovi vecchi MX, CNAME, TXT, selettori DKIM e verifiche che non servono più, ma solo dopo aver identificato il loro scopo. Se il dominio verrà usato per la posta, pianifica una finestra di transizione e prova password reset, risposte dei clienti e bounce. Se ospiterà un sito, controlla HTTP, HTTPS, www, percorsi storici e certificati. Salva snapshot prima e dopo, non affidarti alla memoria del progetto.
Per confrontare molti candidati puoi iniziare dal controllo disponibilità e aggiungere WHOIS, storico WHOIS, reputazione e profilo dominio. In un flusso batch salva nome, stato, evidenza, orario e motivo dell’incertezza per ogni risultato. Non automatizzare una decisione di acquisto basata su un solo punteggio o su un singolo blocco: l’automazione è utile per trovare incoerenze e creare una coda di revisione, mentre prezzo, contratto, marchio, uso futuro e obblighi di sicurezza richiedono giudizio umano. Un candidato economico può diventare costoso se obbliga a ricostruire fiducia, comunicare un cambio di indirizzo o difendersi da una controversia.
L’audit economico deve includere costi che non compaiono nell’asta. Verifica rinnovo ordinario e premium, eventuale costo di redemption, trasferimento, gestione DNS, rebranding, certificati, comunicazione ai clienti e tempo necessario per ripulire account o vecchi servizi. Confronta il costo totale con un nome nuovo e con il valore operativo reale del candidato. Un dominio con parole chiave non garantisce traffico, conversioni o posizionamento; un dominio storico può avere pubblico non pertinente o associazioni difficili da cancellare. Scrivi le ipotesi di valore separatamente dai fatti di registrazione.
Chiedi al venditore prove coerenti con la transazione: chi controlla il registrar, chi può approvare il trasferimento, quali contenuti o dati sono inclusi, quali account verranno consegnati e quali obblighi resteranno esclusi. Confronta il nome indicato nel contratto con la risposta RDAP o WHOIS e con l’account che effettuerà il passaggio. Non inviare documenti o pagamenti soltanto perché una pagina mostra un timer. Un processo con autorizzazione verificabile, condizioni scritte e tempo per l’analisi è più importante di una presunta occasione irripetibile.
Se il dominio verrà usato per posta, considera il rischio di ricevere messaggi destinati al precedente titolare. Definisci come trattare password reset, fatture, dati personali e richieste dei clienti. Se verrà usato per un sito, verifica che vecchi redirect, script, certificati e record di verifica non concedano accessi indesiderati. Cambiare solo la pagina home non ripulisce un’infrastruttura ereditata. La prima configurazione dovrebbe partire da account nuovi, autenticazione forte, DNS documentato e un piano per comunicare il cambio agli interessati.
Valuta anche il piano di attivazione, non soltanto lo stato del dominio al momento dell’acquisto. Decidi se il nome sarà usato prima per un sito, per la posta, per una landing page o per un reindirizzamento, e assegna un ordine che riduca il rischio. Un dominio destinato alla posta richiede particolare cautela: prima di creare caselle, rimuovi configurazioni ereditate, stabilisci chi controllerà gli account e prepara una procedura per i messaggi indirizzati al precedente titolare. Un dominio destinato a un sito deve avere una baseline di pagine, redirect, certificati e contatti amministrativi prima di ricevere traffico. Se il progetto non ha ancora un uso definito, conserva il nome in uno stato isolato e non pubblicare record che possano sembrare una conferma di fiducia.
Conserva le evidenze in modo che un revisore possa ricostruire la decisione senza conoscere la conversazione commerciale. Cattura le risposte RDAP o WHOIS consentite, i record DNS rilevanti, gli orari, gli URL osservati e le dichiarazioni ricevute, applicando le regole aziendali per dati personali e credenziali. Per ogni anomalia scrivi l’impatto possibile, la probabilità stimata, il responsabile e la data di riesame. Se il venditore dichiara di aver rimosso un vecchio servizio, ripeti il controllo dopo il trasferimento e conserva sia il risultato precedente sia quello nuovo. Questa disciplina evita che una valutazione ottimistica diventi un fatto non verificato quando il dominio entra nei sistemi operativi.
Chiudi il dossier con una decisione motivata: procedere, procedere con condizioni, attendere conferme o rifiutare. Elenca le prove che hanno sostenuto la decisione e le domande ancora aperte. Se una fonte pubblica è oscurata, cerca una conferma ufficiale alternativa, ma non sostituire l’incertezza con un’inferenza. Dopo il passaggio ripeti registrazione, DNS, sito, TLS e reputazione, quindi confronta i risultati con la baseline. Questo secondo controllo dimostra che la squadra ha ricevuto davvero il controllo del nome e non soltanto un accesso temporaneo.
La conclusione positiva non significa che ogni campo sia verde. Significa che il bene è identificato, il diritto di trasferirlo è dimostrato, la storia disponibile è compatibile con il progetto, le incognite hanno proprietario e scadenza, il rischio di marchio è stato esaminato e il piano di pulizia è pronto. Se il venditore non dimostra il controllo, le date non concordano, gli eventi storici mostrano abuso ripetuto o il nome collide con un diritto importante, metti in pausa anche se l’asta sta per finire. La due diligence serve proprio a evitare decisioni irreversibili prese sotto pressione.