▸ 如何获取新注册域名

并不存在一份「过去一小时内注册的所有域名」的单一数据源。注册局不发布这样的东西，ICANN 也没有要求他们发布。真正存在的是观测数据，而构建一份近期注册域名列表，靠的是选择与你的延迟容忍度和覆盖需求相匹配的观测方式：

• ▸ 需要针对 gTLD 的权威性与完整性？对区域文件做差分。24 小时的时间下限，免费，但是实打实的工作量。
• ▸ 需要速度和全部 TLD？证书透明度。落后签发仅数秒，但看不到没有证书的域名。
• ▸ 今天下午就要能用？下载一份现成的列表 - 我们的就在下面，替代方案也在。

三个不同的时间戳被叫成同一个名字，而把它们混为一谈，正是一份新注册域名列表与别人的对不上的最常见原因：

• 1. 注册日期 - 注册局创建记录的时间。具有权威性，可通过 RDAP/WHOIS 逐个域名查询，但没有任何人批量发布。
• 2. 进入区域的时间 - 域名首次在 TLD 区域中拥有名称服务器的时间。通常在注册后数分钟到数小时，但一个注册后从未指向任何地方的域名根本不会出现。
• 3. 首次观测 - 证书日志、解析器或爬虫第一次看到它的时间。这才是任何可下载数据源真正包含的内容，包括我们的。

最接近事实基准的东西。gTLD 注册局在合同上必须通过 ICANN 的集中式区域数据服务（CZDS）提供区域文件。你注册账号，按 TLD 提交说明用途的申请，由各注册局批准或拒绝 - 批准通常有效一年，之后需要续期。通过这种方式大约可以拿到 1,150 个 gTLD，包括 .com 和 .net。多数 ccTLD 则不行：少数几个（瑞典的 .se 和 .nu、瑞士的 .ch）公开发布，其余什么都不发布。

区域文件列出的是委派，不是注册。所以做法是：把今天的委派名称规范化，再减去昨天的。

# 1. Fetch today's zone (CZDS gives you a per-TLD download URL + API token)
curl -s -H "Authorization: Bearer $CZDS_TOKEN" \
     -o com.txt.gz "https://czds-api.icann.org/czds/downloads/com.zone"

# 2. Reduce the zone to a sorted list of delegated second-level names
zcat com.txt.gz \
  | awk '$4=="NS" {print tolower($1)}' \
  | sed 's/\.$//' \
  | sort -u > zone.today

# 3. Everything present today and absent yesterday is a new delegation
comm -13 zone.yesterday zone.today > new-domains-$(date +%F).txt
wc -l new-domains-$(date +%F).txt

# 4. Roll the window
mv zone.today zone.yesterday

注意这里用的是 $4=="NS" 而不是 $3：区域文件的行里带有可选的 TTL，列的下标会因此偏移。在相信字段编号之前，先检查一下你实际文件里的几行 - 这正是会悄无声息把你的列表清空的那个 bug。

存储方面的现实提醒：仅 .com 区域就有约 1.6 亿个委派名称，因此每天排序后的副本未压缩就有好几个 GB。保留两天的数据再加一个永久的已见集合，是最低可行的占用。

每一张公开受信任的 TLS 证书都会被提交到仅可追加的证书透明度日志，而这些日志是公开的。由于真正在配置中的新注册域名几乎总会在几分钟内拿到证书 - 托管面板或反向代理会自动申请 - CT 是免费可得的最快的广覆盖发现渠道，而且与区域文件不同，它覆盖每一个 TLD，包括 ccTLD。

两条实用的入口：

# A. Consume an aggregated CT firehose (easiest)
#    e.g. CertStream-compatible websocket endpoints
websocat wss://certstream.calidog.io \
  | jq -r '.data.leaf_cert.all_domains[]?' \
  | sed 's/^\*\.//' \
  | sort -u

# B. Read the logs directly (RFC 6962) - no third party in the path
#    Each log exposes its tree head and a paged entries endpoint:
curl -s https://ct.googleapis.com/logs/us/argon2026h2/ct/v1/get-sth | jq .tree_size
curl -s "https://ct.googleapis.com/logs/us/argon2026h2/ct/v1/get-entries?start=0&end=9"

DNSniffer 采用的是方案 B。它工作量更大 - 你要为每个日志维护偏移量、解析叶子结构，并应对限速或限制单次请求条目数的日志 - 但你不必依赖别人的聚合服务一直在线。

这就是你正在浏览的站点，所以请自行斟酌看待本节 - 但它之所以值得列入，是因为它就是前两种方法的组合，而且已经在运行。DNSniffer 摄取 gTLD 区域文件，直接读取证书透明度日志，把两者合并到一张域名表中 - 目前覆盖 10,624 个 TLD 上的 368,676,896 个活跃域名，并把其中新检测到的部分以纯 CSV 发布。

每日导出最近一次重建于 2026年10月15日 · 每天重新生成

三种使用方式，都不需要账号：

# 1. List the newly-detected exports and grab the current download URL
curl -s 'https://dnsniffer.com/api/v1/datasets?category=newly_detected' \
  | jq -r '.data[] | "\(.periodicity)\t\(.row_count)\t\(.download_url)"'

# 2. Download and read the daily file (zipped CSV)
URL=$(curl -s 'https://dnsniffer.com/api/v1/datasets?category=newly_detected' \
      | jq -r '.data[] | select(.periodicity=="daily") | .download_url')
curl -sL "https://dnsniffer.com$URL" -o nrd-daily.zip
unzip -p nrd-daily.zip | head

# 3. Filter to one TLD without downloading everything
unzip -p nrd-daily.zip | awk -F, 'NR==1 || $1 ~ /\.com$/'

如果你只关心与自己品牌或某个关键词匹配的名称，监控功能会在服务端完成筛选，并保留可通过 API 拉取的匹配历史 - 这需要一个免费账号而不是匿名下载，但比每天拉取 30 万行只为 grep 一个字符串便宜得多。最新域名页面在浏览器中展示同一数据流，而MCP 服务器则把它直接开放给 Claude、ChatGPT 等智能体。

一些安全厂商和爱好者每天以纯文本或压缩包的形式发布新域名列表 - 通常是昨天的注册，以 gTLD 为主，按固定时间发布。作为零投入的基线它们确实有用，但它们都有三个在依赖之前值得知道的弱点：发布方很少说明覆盖了哪些 TLD，文件在事发 24-48 小时后才出现，而且免费档位可能毫无预警地消失或改为需要注册。

如果免费列表是你的主要来源，请每天把它镜像到自己的存储里。价值在于累积下来的历史，而一个消失的数据源是无法事后补齐的。

WhoisXML API、DomainTools 等厂商以及各类威胁情报平台会出售新注册域名数据源，通常每天交付并附带 WHOIS 字段 - 注册商、注册日期、名称服务器，在未被隐去的情况下有时还有联系人数据。你付费买到的是三样东西：你自己拿不到的 ccTLD 覆盖、作为字段直接给出的注册日期（而不用逐个域名去查），以及由别人来运维这套采集。

签约之前值得问清楚的问题：

• ▸ 究竟覆盖哪些 TLD，这份清单是公开的还是只是「有代表性的」？
• ▸ 日期是注册局的注册日期，还是他们的首次观测时间？
• ▸ 截止时间和交付延迟分别是多少小时？
• ▸ 你是否可以再分发衍生数据，还是只能内部使用？

被动 DNS 提供商记录协作递归解析器所观测到的解析行为，为每个名称给出首次出现的时间戳。它能捕捉到区域文件漏掉的东西 - 子域名、ccTLD，以及在拿到证书之前就已经在解析的域名 - 同时天生带有偏差：你只能看到提供商传感器网络看到的部分，因此一个在某个国家被上百人使用的域名可能根本不会出现。请把它当作 CT 的有力补充，而不是独立的发现来源，并预期真正有量的数据是要付费的。

RDAP 是 WHOIS 的结构化替代品，也是真正的注册日期唯一存在的地方。它无法枚举 - 按设计就没有「列出今天注册的所有域名」这种查询 - 但对任何一个具体名称，它能给出定论：

# rdap.org follows the IANA bootstrap, so you need not know the registry
curl -s https://rdap.org/domain/example.com \
  | jq -r '.events[] | select(.eventAction=="registration") | .eventDate'

# Filter a candidate list down to genuinely new registrations
while read -r d; do
  created=$(curl -s "https://rdap.org/domain/$d" \
            | jq -r '.events[]? | select(.eventAction=="registration") | .eventDate')
  [ -n "$created" ] && echo "$d,$created"
  sleep 1        # be polite: registry RDAP endpoints rate-limit aggressively
done < new-domains.txt > verified.csv

无论你选哪些来源，都是同样这五个步骤，把一份持续有用的列表和一份悄悄烂掉的列表区分开来：

1. 1. 规范化。转小写，去掉末尾的点，把 IDN 转换成 punycode（xn--），并通过公共后缀列表把每个名称归约到可注册形式。Example.CO.UK.、www.example.co.uk 和 example.co.uk 是同一个域名。
2. 2. 保留一个永久的已见集合。「新」是相对于你曾经记录过的一切而言，而不是相对于昨天的文件。没有这一点，每当某个来源改变形态，你就会把老域名重新报一遍。
3. 3. 分开存储首次出现时间和来源。一个在 09:00 出现在 CT、次日 03:00 又出现在区域差分中的域名，是一行记录加两次观测。覆盖写入会丢掉最早的信号，而那正是你在意的。
4. 4. 先打分，再行动。原始 NRD 的体量远超人工审阅的能力。先筛到你需要的范围 - 与品牌相近的字符串、编辑距离相似的仿冒、可疑的 TLD、关键词组合 - 再用 RDAP 验证这份短名单。
5. 5. 预期高流失。相当大一部分新注册域名会在数天内到期，而抢注又让同一个名称反复出现。在把某条记录当成有效资产之前，请重新检查它是否仍然存活。

• ▸ 靠数点号来判断可注册域名。foo.co.uk 和 foo.uk 都是两段式的可注册形式，但依据的规则不同。请使用公共后缀列表。
• ▸ 把区域中不存在当成域名不存在。已注册但未委派的域名，对任何基于区域的方法都是不可见的。
• ▸ 忽略时区和截止时间。区域文件是注册局设定时刻的快照；你流水线里的「昨天」和文件里的「昨天」不是同一个窗口。
• ▸ 把 CT 首次出现等同于注册。它是不错的近似，却是糟糕的事实。
• ▸ 整份 NRD 数据源一律拦截。每天都有几十万个合法域名被注册；一刀切拦截产生的误报，远多于它避免的事件。先打分，再行动。

通过 CZDS 获得的区域文件访问权，是在你按注册局逐一接受的条款下授予的，而这些条款会限制再分发 - 一般来说你可以使用数据，但不能重新发布区域文件。WHOIS 和 RDAP 的联系人数据在 GDPR 下属于个人数据，多数注册默认会被隐去；注册日期不是个人数据，但注册人字段是。如果你要在任何数据源之上构建产品，请在设计导出功能之前先读一遍再分发条款。