Technology & digital policy analysis • Evidence-led expanded edition • Updated: ১৩ আগস্ট ২০২৬
BTCL-এর .bd ডোমেইন ও বাস্তবতা: কাগজপত্রের ঝামেলা, নাকি জাতীয় ডিজিটাল পরিচয়ের নিরাপত্তা?
কিছুদিন পরপর একই ধরনের অভিযোগ চোখে পড়ে।
.bd ডোমেইন নিতে নাকি অনেক নিয়ম।
কাগজপত্র লাগে।
অনুমোদনের জন্য অপেক্ষা করতে হয়।
BTCL নাকি flexible না।
Terms and conditions অনেক বেশি।
একটি সাধারণ ডোমেইনের জন্য এত verification কেন?
এরপর তুলনা শুরু হয়:
.ai আছে,
.tv আছে,
.io আছে,
.co আছে,
.ly আছে,
.gg আছে,
.tk আছে,
.sh আছে,
.al আছে। [IANA .AI, IANA .LY, IANA .GG]
ওই ডোমেইনগুলো অনেক ক্ষেত্রে card দিয়ে কয়েক মিনিটের মধ্যে কেনা যায়। তাহলে .bd কেন একইভাবে পাওয়া যাবে না?
প্রশ্নটি একেবারে অযৌক্তিক নয়। কিন্তু এই প্রশ্ন থেকে অনেকে যে সিদ্ধান্তে পৌঁছান, সেটি খুবই অসম্পূর্ণ এবং বাংলাদেশের বাস্তবতায় বিপজ্জনকও হতে পারে।
কারণ বিষয়টি শুধু একটি domain কত দ্রুত কেনা যাবে, সেটি নয়। মূল প্রশ্ন হলো:
বাংলাদেশের জাতীয় domain space-এ কে প্রবেশ করছে, কী পরিচয়ে প্রবেশ করছে, কোন উদ্দেশ্যে ব্যবহার করছে এবং abuse হলে তাকে শনাক্ত করা যাবে কি না।
প্রথমে একটি বিষয় পরিষ্কার করা দরকার
আমি BTCL-এর ধীরগতির service, জটিল user experience, অস্পষ্ট approval process, outdated policy language কিংবা অপ্রয়োজনীয় manual paperwork সমর্থন করছি না।
একজন বৈধ উদ্যোক্তা, freelancer, developer, startup founder অথবা সাধারণ নাগরিকের একটি .bd ডোমেইন নিতে দিনের পর দিন অপেক্ষা করা উচিত নয়।
একই document বারবার upload করা, application কেন reject হলো সেটি না জানানো, support থেকে পরিষ্কার উত্তর না পাওয়া কিংবা subjective decision-এর মধ্যে পড়ে থাকা কোনোভাবেই ভালো registry management নয়।
কিন্তু এখানে দুটি সম্পূর্ণ আলাদা বিষয়কে এক করে ফেলা হচ্ছে:
একটি হলো registration process সহজ, দ্রুত ও আধুনিক করা।
অন্যটি হলো identity verification এবং accountability তুলে দেওয়া।
প্রথমটি দরকার।
দ্বিতীয়টি ভয়ংকর।
সব সমালোচক scammer বা অসৎ উদ্দেশ্যের মানুষ, এমন blanket statement দেওয়া ঠিক হবে না। অনেকের genuine frustration রয়েছে। কিন্তু যারা একেবারে document-free, purpose-free, anonymous এবং unlimited bulk registration চান, তাদের প্রস্তাব বাস্তবায়িত হলে সবচেয়ে বেশি লাভ কার হবে, সেই প্রশ্ন অবশ্যই করতে হবে। [Interisle/ICANN phishing-abuse evidence]
একজন বৈধ ব্যবসায়ীর প্রয়োজন দ্রুত verification।
কিন্তু একজন scammer-এর প্রয়োজন কোনো verification না থাকা।
দুটো এক জিনিস নয়।
.bd কোনো সাধারণ digital product নয়
.bd হলো বাংলাদেশের country-code top-level domain বা ccTLD।
IANA-এর official delegation record অনুযায়ী .bd-এর ccTLD manager হলো বাংলাদেশ সরকারের Posts and Telecommunications Division, আর BTCL এর technical ও registration-related দায়িত্ব পালন করে। Internet governance-এর foundational document RFC 1591-এ country-code domain manager-কে সংশ্লিষ্ট দেশ এবং global Internet community-এর জন্য একটি “trustee” হিসেবে বিবেচনা করা হয়েছে। অর্থাৎ ccTLD পরিচালনার দায়িত্বটি শুধু domain বিক্রি করে revenue তৈরির বিষয় নয়; এটি স্থানীয় Internet community-এর স্বার্থ, স্থিতিশীলতা এবং বিশ্বাস রক্ষার দায়িত্বও। [IANA .BD delegation record]
তাই .bd-কে শুধু আরেকটি commodity হিসেবে দেখা ভুল।
আরও নির্ভুল ভাষায় বললে, .bd কোনো ব্যক্তিগত সম্পত্তি নয়; এটি বাংলাদেশের নামে পরিচালিত একটি public-trust digital infrastructure।
এই domain-এর শেষে “BD” আছে বলেই একজন সাধারণ ব্যবহারকারী এর সঙ্গে বাংলাদেশ, স্থানীয় প্রতিষ্ঠান, স্থানীয় accountability এবং একধরনের সরকারি oversight-এর ধারণা যুক্ত করেন।
এই trust-এর একটি অর্থনৈতিক মূল্য আছে।
একটি সামাজিক মূল্য আছে।
একটি national-security value-ও আছে।
একটি domain-এর registration সংখ্যা বাড়ানো খুব সহজ। কিন্তু সেই namespace-এর বিশ্বাসযোগ্যতা একবার নষ্ট হলে সেটি ফিরিয়ে আনা বহু গুণ কঠিন।
BTCL-এর বর্তমান ব্যবস্থাও আগের জায়গায় আটকে নেই
অনেকে এখনও এমনভাবে কথা বলেন, যেন .bd domain registration কেবল অফিসে গিয়ে কাগজ জমা দেওয়ার পুরোনো ব্যবস্থাতেই আটকে আছে।
বাস্তবতা হলো BTCL ইতোমধ্যে online application, online domain management এবং bKash, Nagad, Teletalk ও ekPay-এর মাধ্যমে payment-এর ব্যবস্থা রেখেছে। সরাসরি second-level .bd, যেমন abc.bd, ১৯ জানুয়ারি ২০২৬ থেকে সাধারণের জন্য উন্মুক্ত হয়েছে। Official portal অনুযায়ী তিন অক্ষরের বেশি সাধারণ second-level .bd-এর promotional registration price শুরু হয়েছে ১,২৮০ টাকা থেকে এবং সাধারণ third-level domain, যেমন abc.com.bd, শুরু হয়েছে ৭০০ টাকা থেকে। Registration category অনুযায়ী NID, trade licence, approval letter, forwarding letter বা RJSC certificate-এর মতো উপযুক্ত documents চাওয়া হয়। Ownership transfer-এর ক্ষেত্রেও দুই পক্ষের agreement ও verification document প্রয়োজন। [BTCL official domain portal, IANA .AI, IANA .LY, IANA .GG]
BTCL official reseller program-ও চালু করেছে এবং private resellers-এর মাধ্যমে registration, renewal ও management service বিস্তারের উদ্যোগ নিয়েছে। ২০২৬ সালের জানুয়ারিতে প্রকাশিত তথ্যে পাঁচটি private reseller নিয়োগ এবং .bd price ৩৬ শতাংশ কমানোর কথা জানানো হয়েছিল। অর্থাৎ accessibility বাড়ানোর কাজ হচ্ছে, যদিও সেটি আরও দ্রুত, বড় পরিসরে এবং industry-friendly পদ্ধতিতে হওয়া প্রয়োজন। [BTCL official domain portal, BTCL reseller programme]
তাই আলোচনা হওয়া উচিত:
“BTCL কীভাবে verification তুলে দেবে?”
এটি নয়।
আলোচনা হওয়া উচিত:
“BTCL কীভাবে verification বজায় রেখেই কয়েক মিনিটের মধ্যে legitimate registrant-কে domain দিতে পারবে?”
.ai, .tv, .io বা .co আসলে কী?
এখানেই সবচেয়ে বড় misunderstanding হয়।
.ai দেখতে Artificial Intelligence-এর abbreviation মনে হলেও এটি আসলে Anguilla-এর country-code domain। [IANA .AI, IANA .LY, IANA .GG]
.tv television বোঝাতে globally ব্যবহৃত হলেও এটি Tuvalu-এর ccTLD। [IANA .AI, IANA .LY, IANA .GG]
.io technology industry-তে input/output অর্থে জনপ্রিয় হলেও এটি British Indian Ocean Territory-এর country-code domain। [IANA .AI, IANA .LY, IANA .GG, NIXI .IN procedure]
.co company-এর সংক্ষিপ্ত রূপ হিসেবে marketing করা হলেও এটি Colombia-এর ccTLD। [IANA .BD delegation record, IANA .AI, IANA .LY, IANA .GG]
একইভাবে:
.ly হলো Libya,
.gg হলো Guernsey,
.tk হলো Tokelau,
.sh হলো Saint Helena,
.al হলো Albania-এর country-code domain। [IANA .BD delegation record, IANA .AI, IANA .LY, IANA .GG]
পরবর্তী সময়ে এসব দেশের registry তাদের ccTLD-কে global branding-এর জন্য উন্মুক্ত করেছে। কোনোটি technology অর্থে, কোনোটি entertainment অর্থে, কোনোটি word hack হিসেবে আর কোনোটি খুব কম দাম বা free registration model-এর মাধ্যমে জনপ্রিয় হয়েছে।
এতে কোনো সমস্যা নেই। প্রতিটি দেশ বা territory তাদের economy, policy, law এবং strategy অনুযায়ী সিদ্ধান্ত নিতে পারে।
কিন্তু একটি ছোট territory global domain export করে যে business model চালাতে পারে, বাংলাদেশকেও কোনো ধরনের local threat assessment ছাড়াই একই model copy করতে হবে, এমন কোনো নিয়ম নেই।
একটি extension দেখতে সুন্দর অথবা catchy হলেই তার governance model বাংলাদেশের জন্য suitable হয়ে যায় না।
আমাদের legal system, financial ecosystem, law-enforcement capacity, online fraud pattern, population size, mobile financial service usage এবং local trust dynamics সম্পূর্ণ আলাদা।
তাই .ai বা .tv সহজে পাওয়া যায় বলে .bd-কেও anonymous করে দিতে হবে, এই যুক্তি অনেকটা এমন: [IANA .AI, IANA .LY, IANA .GG]
অন্য একটি দেশের airport-এ security check কম, তাই আমাদের airport থেকেও passport verification তুলে দিতে হবে।
তুলনাটা আকর্ষণীয় শোনালেও policy হিসেবে টেকে না।
.SG, .NP, .PK, .MY ও .AI: registration system কীভাবে আলাদা?
Direct answer: এশিয়ার ccTLD-গুলোর registration model এক নয়। Singapore identity verification-কে digital করেছে; Nepal free registration দিলেও document এবং local nexus চায়; Pakistan সাধারণ category-তে local presence বাধ্যতামূলক করে না; Malaysia direct .my-কে global করেছে কিন্তু category ও identity controls রেখেছে; আর Anguilla-এর .ai global registrar channel ব্যবহার করলেও anti-abuse enforcement বজায় রাখে।
| ccTLD | Registration channel | Local eligibility | Identity/document control | Activation ও enforcement |
|---|---|---|---|---|
| .sg | SGNIC-accredited registrar | Singapore address বা foreign owner-এর local administrative contact | NRIC/FIN বা UEN; Singpass/Corppass-এর VerifiedID@SG | Registration-এর ২১ দিনের মধ্যে verification না হলে suspension |
| .np | Official register.com.np portal | Nepali applicant; foreign company হলে Nepal-এ official presence | Domain name-এর সঙ্গে সম্পর্কযুক্ত citizenship/company/authorization documents | Manual review; সাধারণত কমপক্ষে ২৪ ঘণ্টা; incomplete reverification-এ parking |
| .pk | PKNIC এবং registration service channel | General .pk/.com.pk-এর জন্য local presence বাধ্যতামূলক নয় | Accurate registrant data; restricted category ও trademark/dispute ক্ষেত্রে additional proof | First come, first served; policy violation বা rights dispute-এ action |
| .my | MYNIC-appointed registrar | Direct .my বিশ্বব্যাপী open; third-level category-তে eligibility আলাদা | National ID/passport/business certificate; MYNIC প্রয়োজনে identity validate করতে পারে | First come, first served; ১–১০ বছর; policy/abuse breach-এ hold বা suspension |
| .ai | Accredited/sponsoring registrar | Global registrants; technology branding-এর জন্য broadly marketed | Registrar-held accurate contact data; privacy/proxy service permitted | Phishing, malware, spam, DNS abuse ও rights infringement-এ deny, lock, suspend, transfer বা cancel |
.SG: fast registration, কিন্তু verified identity
Singapore-এর registry SGNIC নিজে retail registration না করে accredited registrar model ব্যবহার করে। নতুন .sg registration-এর administrative contact-কে valid NRIC/FIN অথবা organisation-এর UEN দিতে হয়। এরপর VerifiedID@SG-তে Singpass বা Corppass দিয়ে registrant identity ও contact information confirm করতে হয়। এই verification সাধারণত কয়েক মিনিটে করা যায়, কিন্তু ২১ calendar day-এর মধ্যে সম্পন্ন না করলে domain suspend হয় এবং verify না করা পর্যন্ত renewal-ও আটকে থাকতে পারে। Foreign owner-এর ক্ষেত্রে Singapore address-সহ local administrative contact বা eligible SGNICID arrangement প্রয়োজন হতে পারে।
Bangladesh-এর শিক্ষা: document-free হওয়া modernisation নয়। Singapore দেখায়—strong identity control-কে API-grade digital verification দিয়ে user-friendly করা যায়।
.NP: registration free, কিন্তু document ও local connection শক্ত
Nepal-এর official .np registry policy অনুযায়ী domain registration free এবং first-come-first-served হলেও সরাসরি second-level .np নয়; com.np, org.np, edu.np, net.np, gov.np, name.np, coop.np ও mil.np category ব্যবহার হয়। Applicant-কে domain name-এর সঙ্গে সম্পর্ক বোঝায় এমন citizenship, company registration, trademark বা authorization document দিতে হয়। Foreign company-এর Nepal-এ joint venture, partnership, agent বা licensee হিসেবে official presence থাকতে হয়। Nameserver অবশ্যই approved FQDN হতে হবে; IP address দেওয়া যায় না। Review সাধারণত কমপক্ষে ২৪ ঘণ্টা লাগতে পারে। December 2024 থেকে registry reverification process-ও চালাচ্ছে; অসম্পূর্ণ verification-এর domain parked হতে পারে।
Bangladesh-এর শিক্ষা: zero price এবং zero verification এক বিষয় নয়। Nepal registration fee না নিলেও eligibility ও attribution বাদ দেয়নি।
.PK: open access, কিন্তু category ও dispute policy আছে
Pakistan-এর PKNIC policy general .pk registration-এ local presence বা Pakistan-based administrative contact বাধ্যতামূলক করে না। .pk, .com.pk, .net.pk, .org.pk, .biz.pk ও .web.pk-এর পাশাপাশি edu.pk এবং বিভিন্ন government category রয়েছে। তবে category-specific conditions প্রযোজ্য; যেমন edu.pk-এর নাম educational institution-এর নাম বা স্পষ্ট abbreviation-এর সঙ্গে মিলতে হয়। Registration first-come-first-served হলেও trademark infringement, bad-faith use, unlawful activity এবং dispute-resolution framework-এর অধীন।
Bangladesh-এর শিক্ষা: foreign access বা কম friction রাখা সম্ভব, কিন্তু category rules, accurate data, trademark remedy এবং enforceable dispute process বাদ দিতে হয় না।
.MY: direct .my globally open, category domains controlled
Malaysia-এর MYNIC registrant policy অনুযায়ী direct second-level .my এখন যেকোনো দেশের individual বা entity register করতে পারে। Registration হয় appointed registrar-এর মাধ্যমে এবং সাধারণ lifecycle ১ থেকে ১০ বছর। তবে MYNIC identity validation চাইতে পারে; official buying guide-এ Malaysian ও foreign individual-এর National ID/passport এবং organisation-এর business certificate-এর মতো supporting document উল্লেখ আছে। com.my, net.my, org.my, edu.my, gov.my, mil.my, name.my ও coop.my category-র eligibility আলাদা। Personal WHOIS data privacy reasons-এ public view থেকে masked থাকে, কিন্তু lawful investigation ও policy enforcement-এর জন্য registry data ধরে রাখে।
Bangladesh-এর শিক্ষা: global availability, privacy এবং accountability একসঙ্গে রাখা যায়—public WHOIS-এ NID দেখানো ছাড়াই registry identity validate করতে পারে।
.AI: globally marketed, কিন্তু policy-free নয়
.ai Anguilla-এর ccTLD এবং বর্তমানে accredited/sponsoring registrar channel-এর মাধ্যমে global market-এ বিক্রি হয়। official registry technology ও artificial-intelligence branding-এর জন্য extensionটি promote করে। Registrant privacy/proxy service ব্যবহার করতে পারেন, কিন্তু এটি anonymous law-free namespace নয়। Official .AI rules phishing, malware, spam, botnet, DNS hijacking, infringement এবং deceptive two-character domain use নিষিদ্ধ করে; Government of Anguilla প্রয়োজনে domain deny, lock, hold, suspend, redirect, transfer বা cancel করতে পারে। Domain support এবং registrant management sponsoring registrar-এর মাধ্যমে হয়।
Bangladesh-এর শিক্ষা: global sales model নিলেও registry-level abuse power, accurate registration record এবং sponsoring-registrar accountability প্রয়োজন।
এই পাঁচটি system থেকে .BD-এর জন্য practical conclusion
- .SG model: manual paper queue-এর বদলে national digital-ID verification।
- .NP model: low/free price হলেও identity, entitlement এবং local nexus অক্ষুণ্ণ রাখা।
- .PK model: general registration open রেখে sensitive category ও dispute control আলাদা করা।
- .MY model: global access, private WHOIS এবং category-based documentary eligibility একসঙ্গে চালানো।
- .AI model: commercial growth-এর সঙ্গে strong anti-abuse authority ও registrar accountability রাখা।
অতএব .bd-এর reform প্রশ্নটি “paperwork থাকবে কি থাকবে না”—এত সরল নয়। ভালো model হলো: digital identity, risk-based category rules, private registrant data, accredited reseller/API, published SLA এবং enforceable abuse response।
কোনো domain extension নিজে scam নয়
এখানে ন্যায্যতার জন্য আরেকটি কথা বলা জরুরি।
সব foreign ccTLD খারাপ নয়।
সব open domain-ও scam নয়।
এমনকি ccTLD category-কে সামগ্রিকভাবে “scam-heavy” বলাও ভুল হবে।
Interisle-এর ২০২৫ সালের একটি presentation-এর chart অনুযায়ী ccTLD-গুলো মোট registered domain market-এর প্রায় ৩৬ শতাংশ হলেও তাদের dataset-এ phishing domain-এর অংশ ছিল প্রায় ১১ শতাংশ। অন্যদিকে new gTLD-গুলোর market share প্রায় ১১ শতাংশ হলেও phishing domain-এর প্রায় ৫১ শতাংশ সেখানে পাওয়া গেছে। অর্থাৎ সমস্যাটি “country-code domain বনাম অন্য domain” নয়। সমস্যাটি হলো নির্দিষ্ট registry ও registrar-এর pricing, verification, bulk-registration control এবং abuse enforcement। [Interisle/ICANN phishing-abuse evidence]
সুতরাং .gg দেখলেই scam, .ai দেখলেই safe, .com দেখলেই genuine অথবা .bd দেখলেই trustworthy—এমন binary ধারণা প্রযুক্তিগতভাবে ভুল। [IANA .AI, IANA .LY, IANA .GG]
Domain extension একটি signal মাত্র।
আসল নিরাপত্তা নির্ভর করে:
কে domainটি register করেছে,
কী তথ্য দিয়ে করেছে,
কতগুলো একসঙ্গে করেছে,
কীভাবে payment করেছে,
registry তথ্যটি verify করেছে কি না,
abuse report এলে কত দ্রুত ব্যবস্থা নেয়,
এবং registrant-কে আইনিভাবে trace করা যায় কি না।
Case Study 1: Cheap, easy এবং anonymous registration কেন অপরাধীদের পছন্দ?
Domain registration সহজ হওয়া নিজে কোনো অপরাধ নয়।
কম দামও নিজে কোনো অপরাধ নয়।
কিন্তু যখন চারটি বিষয় একসঙ্গে ঘটে, তখন ঝুঁকি দ্রুত বেড়ে যায়:
অস্বাভাবিক কম দাম,
কোনো identity verification নেই,
bulk registration-এর বাধা নেই,
এবং abuse enforcement দুর্বল। [Interisle/ICANN phishing-abuse evidence]
Interisle-এর ২০২৫ analysis-এ প্রায় ৪০ লাখ phishing report বিশ্লেষণ করা হয়েছিল। তাদের হিসাবে phishing-এ ব্যবহৃত domain-এর ৭৭ শতাংশই অপরাধমূলক উদ্দেশ্যে নতুন করে register করা হয়েছিল। একই গবেষণায় বলা হয়, permissive policy এবং cheap, easy access-এর কারণে অপরাধীরা খুব কম risk ও deterrence-এর মধ্যে domain, subdomain এবং hosting সংগ্রহ করতে পারে। [Interisle Phishing Landscape 2025]
আরেকটি Interisle presentation-এ দেখা যায়, abuse proportion সবচেয়ে বেশি এমন শীর্ষ ২৭টি TLD-এর price ছিল ২ ডলার অথবা তার কম। সেখানে সরাসরি বলা হয়, phisher-রা এমন registrar ও TLD target করে যেখানে requirements কম এবং identity verification বা data validation নেই। একই presentation-এ bulk registration-এর ঝুঁকি বোঝাতে বলা হয়, এক বছরে phishing domain-এর ৩৭ শতাংশ bulk-এ register হয়েছিল এবং একটি dataset-এ আট ঘণ্টারও কম সময়ে ১৭ হাজারের বেশি malicious domain register হওয়ার ঘটনা দেখা গেছে। [Interisle/ICANN phishing-abuse evidence]
এর অর্থ এই নয় যে ২ ডলারের প্রতিটি domain scam। [Interisle/ICANN phishing-abuse evidence]
এর অর্থ হলো:
অপরাধীদের জন্য cost যত কম, accountability যত কম এবং automation যত বেশি হবে, একই budget-এ তত বেশি attack চালানো সম্ভব হবে।
একজন legitimate business owner সাধারণত একটি, দুটি অথবা কয়েকটি meaningful domain নেয়।
একজন phisher এক রাতেই ৫০০টি domain register করতে পারে।
৫০টি বন্ধ হলে বাকি ৪৫০টি চালু রাখে।
একটি domain block হওয়ার আগেই দ্বিতীয়টিতে traffic পাঠায়।
দ্বিতীয়টি suspend হলে তৃতীয়টি ব্যবহার করে।
এই model-কে বলা যায় domain churn।
Registry যদি registrant কে না চেনে, payment identity verify না করে এবং bulk behavior monitor না করে, তাহলে scammer-এর operational cost প্রায় শূন্যের কাছাকাছি চলে আসে।
এ কারণেই identity verification শুধু “কাগজ দেখানো” নয়।
এটি cybercrime-এর cost বাড়ানোর একটি mechanism।
Case Study 2: .tk থেকে কী শেখা যায়?
.tk হলো Tokelau-এর ccTLD।
এই extensionটি দীর্ঘ সময় Freenom-এর free registration model-এর কারণে বিশ্বজুড়ে ছড়িয়ে পড়ে। প্রায় যে কেউ কোনো local connection ছাড়াই অসংখ্য .tk domain বিনামূল্যে নিতে পারত। [Spamhaus Freenom/.tk case study]
ফলাফল কী হয়েছিল?
Spamhaus-এর বিশ্লেষণ অনুযায়ী Freenom পরিচালিত .tk, .cf, .ga, .gq ও .ml দীর্ঘ সময় spam, phishing এবং malware-related registration-এর বিভিন্ন পরিসংখ্যানে নিয়মিতভাবে উপরের দিকে ছিল। তাদের মতে free price point এবং যথেষ্ট anti-abuse control না থাকা abuse আকর্ষণ করেছিল। ২০২৩ সালে Freenom নতুন free registration বন্ধ করার পর এসব TLD-তে নতুন registration উল্লেখযোগ্যভাবে কমে যায়। [Spamhaus Freenom/.tk case study]
এখানেও মনে রাখতে হবে, প্রতিটি .tk website scam ছিল না।
অনেক legitimate user-ও সেটি ব্যবহার করেছেন।
কিন্তু registry-level reputation individual good user দেখে তৈরি হয় না। Reputation তৈরি হয় পুরো namespace-এর abuse ratio, enforcement এবং historical behavior থেকে।
একটি TLD যদি দীর্ঘ সময় phishing, malware এবং disposable website-এর জন্য ব্যবহৃত হয়, email provider, firewall vendor, browser security system এবং সাধারণ ব্যবহারকারী ধীরে ধীরে সেটির ওপর আস্থা হারাতে শুরু করে।
এটি collective reputation damage।
একজন ভালো registrant তখন অন্যদের misuse-এর মূল্য দেয়।
এটাই .bd-এর ক্ষেত্রে আমাদের এড়িয়ে চলতে হবে।
আমরা কি চাই .bd এত সহজ ও anonymous হোক যে কয়েক বছর পর browser, email filter অথবা security product সেটিকে সন্দেহের চোখে দেখতে শুরু করে?
Registration সংখ্যা হয়তো বাড়বে।
কিন্তু trust কমে গেলে সেই growth-এর মূল্য কী?
.gg নিয়ে একটি প্রয়োজনীয় সংশোধন
অনেক জায়গায় .gg-কেও “scammer domain” বলা হয়। [IANA .AI, IANA .LY, IANA .GG]
এই blanket claim তথ্যভিত্তিক নয়।
IANA অনুযায়ী .gg হলো Guernsey-এর ccTLD। কোনো domain extension-এ scam পাওয়া গেলেই পুরো extension-কে scammer domain বলা যায় না। একইভাবে .com-এ বিশ্বের সবচেয়ে বেশি scam website পাওয়া গেলেও আমরা .com-কে scam domain বলি না। [IANA .BD delegation record, IANA .AI, IANA .LY, IANA .GG]
তাই শক্ত argument তৈরি করতে হলে extension-এর নাম ধরে character assassination না করে policy characteristics নিয়ে কথা বলতে হবে।
সঠিক বক্তব্য হবে:
যেসব registry-তে identity verification দুর্বল, অস্বাভাবিক কম দামে bulk registration সম্ভব এবং abuse enforcement ধীর, সেগুলো অপরাধীদের কাছে তুলনামূলকভাবে বেশি আকর্ষণীয় হতে পারে। [Interisle/ICANN phishing-abuse evidence]
এটাই evidence-based position।
Case Study 3: .IN কেন আগের মতো সহজ উদাহরণ নয়?
কিছুদিন আগেও অনেকে .IN domain-এর উদাহরণ দিয়ে বলতেন: [NIXI .IN procedure]
“দেখেন, ভারতের domain মুহূর্তে পাওয়া যায়। আমাদের .bd কেন পাওয়া যাবে না?”
কিন্তু ভারতের policy direction এখন উল্টো দিকে যাচ্ছে।
NIXI-এর official public procedure-এ স্পষ্টভাবে বলা আছে, .IN domain booking-এর সময় registrar-এর website-এ KYC requirements অনুযায়ী প্রয়োজনীয় তথ্য দিতে হবে। NIXI-এর official site-এ “KYC is mandatory” কথাটিও স্পষ্টভাবে উল্লেখ করা আছে। [NIXI .IN procedure]
NIXI-এর একটি registry advisory-তে বলা হয়েছে, তারা পুরো registration base-এর তথ্যের accuracy review করছে। Registrar-দের accurate ও reliable registrant contact information নিতে হবে। Privacy protection বা proxy registration অনুমোদিত নয় এবং inaccurate information পাওয়া গেলে domain suspend বা delete করার মতো ব্যবস্থা নেওয়া হতে পারে। [NIXI .IN procedure, NIXI registry advisory]
২৪ ডিসেম্বর ২০২৫-এর Delhi High Court judgment আরও এক ধাপ এগিয়ে ভারতে বা ভারতীয় customer-কে service দেওয়া domain registrar-দের registration-এর সময় registrant details verify করা এবং পরবর্তী সময়ে periodic verification করার নির্দেশ দিয়েছে। অর্থাৎ এটি শুধু .IN-এর বিষয় নয়; India-facing domain registration ecosystem-এর ক্ষেত্রেও verified identity-এর দিকে policy shift দেখা যাচ্ছে।
High Court of Delhi [NIXI .IN procedure]
আরও মজার বিষয় হলো, ২০২৬ সালে NIXI একটি official advisory দিয়ে .IN domain auction, bidding এবং speculative trading-কে non-permissible বলেছে। Violation-এর ক্ষেত্রে server hold, suspension, blacklisting এবং registrar de-accreditation-এর মতো ব্যবস্থার কথাও উল্লেখ করেছে। [NIXI .IN procedure, NIXI registry advisory, BTCL domain terms]
তাই যারা কিছুদিন আগেও .IN-কে “কোনো প্রশ্ন ছাড়াই domain নেওয়ার আদর্শ উদাহরণ” হিসেবে ব্যবহার করতেন, তাদের এখন নতুন বাস্তবতাটিও বলতে হবে। [NIXI .IN procedure]
তবে এখানে একটি factual distinction জরুরি।
সব existing .IN registrant-কে একই format-এ domain কেন দরকার তার লিখিত explanation দিতেই হবে—official public sources বিষয়টিকে এতটা universal ভাষায় বলে না। KYC, accurate registrant data, periodic verification এবং প্রয়োজনে additional compliance review অবশ্যই রয়েছে। তাই কোনো নির্দিষ্ট registrar-এর process অথবা sensitive registration-এর অভিজ্ঞতাকে পুরো namespace-এর universal rule হিসেবে বলা ঠিক হবে না। [NIXI .IN procedure, NIXI registry advisory]
কিন্তু policy direction একেবারে পরিষ্কার:
India domain registration-কে আরও anonymous করছে না; বরং identity accountability বাড়াচ্ছে। [NIXI .IN procedure]
আর KYC মানেই manual paperwork হতে হবে, তাও নয়।
NIXI-এর proposed registry platform specification-এ authorized KYC provider-এর সঙ্গে secure API integration, trusted database-এর মাধ্যমে real-time verification, automated processing, audit trail, data minimization, encryption এবং user-friendly interface-এর কথা বলা হয়েছে। অর্থাৎ strict verification এবং smooth user experience একই সঙ্গে করা সম্ভব।
NIXI [NIXI .IN procedure, NIXI KYC/API EOI]
এটাই বাংলাদেশের জন্যও শেখার জায়গা।
Case Study 4: বাংলাদেশের threat model অন্যরকম
এবার বাংলাদেশের বাস্তবতায় আসি।
আমাদের দেশে প্রতিদিন কী ধরনের online fraud দেখা যায়?
Fake bKash customer care,
Nagad account বন্ধ হয়ে যাওয়ার ভয়,
bank account verification,
credit card update,
lottery বা cashback,
SIM বন্ধ হওয়ার ভয়,
fake police notice,
passport verification,
income tax update,
parcel delivery,
e-commerce refund,
Facebook page verification,
OTP চাওয়া,
PIN চাওয়া,
screen sharing app install করানো। [BTCL official domain portal]
বাংলাদেশ ব্যাংক নিজেই নাগরিকদের সতর্ক করে বলেছে, কোনো সরকারি office, bank, financial institution, mobile financial service provider অথবা তাদের representative কখনো customer-এর PIN, password বা OTP জানতে চাইবে না। বাংলাদেশ ব্যাংকের ICT Security Guideline-এ cyber incident বাড়ছে এবং financial institution, customer, reputation এমনকি national economy-তেও systemic impact তৈরি করতে পারে বলে সতর্ক করা হয়েছে। Guidelineটি bank-এর পাশাপাশি mobile financial service provider, payment service provider এবং payment system operator-এর ক্ষেত্রেও প্রযোজ্য।
BB
এখন একটি কাল্পনিক scenario চিন্তা করুন।
একজন scammer রাত দুইটায় কোনো document ছাড়াই register করল:
bkash-account-update[.]bd
nagad-verification[.]bd
bank-otp-security[.]bd
passport-helpdesk[.]bd
tax-refund-bd[.]bd [BTCL official domain portal]
তারপর official website-এর মতো logo, colour, login page এবং customer-care number দিয়ে কয়েকটি site বানাল।
সকাল থেকে SMS পাঠাল:
“আপনার account আজ বন্ধ হয়ে যাবে। এখনই .bd link-এ গিয়ে verify করুন।”
একজন সাধারণ ব্যবহারকারী যখন link-এর শেষে .bd দেখবেন, তার মনে কী ধারণা তৈরি হতে পারে?
“এটি বাংলাদেশের domain।”
“হয়তো local official service।”
“বিদেশি random link নয়।”
“সম্ভবত verified।”
এই perceived legitimacy-টাই scammer ব্যবহার করবে।
ccTLD phishing নিয়ে প্রকাশিত গবেষণার আলোচনায় বলা হয়েছে, মানুষ country-code domain-কে অনেক সময় একটি brand-এর মতো দেখে এবং সেই brand-এর সঙ্গে trust associate করে। একই গবেষণায় banking ও financial services-কে ccTLD phishing-এর সবচেয়ে বেশি targeted segment-গুলোর একটি হিসেবে পাওয়া গেছে। [APNIC ccTLD phishing research]
তাই .bd-এর national identity শুধু marketing advantage নয়।
এটি attack surface-ও হতে পারে।
আর সেই trust signal যদি anonymous registrant-দের জন্য খুলে দেওয়া হয়, scammer বিদেশি random domain-এর তুলনায় আরও বিশ্বাসযোগ্য local identity তৈরি করতে পারবে।
ঠিক কত গুণ scam বাড়বে, তার কোনো নির্ভরযোগ্য dataset আমাদের হাতে নেই। তাই “৫০০ গুণ” বা এ ধরনের নির্দিষ্ট সংখ্যা ব্যবহার করা দায়িত্বশীল হবে না।
কিন্তু risk বহুগুণ বাড়তে পারে, এটি প্রযুক্তিগতভাবে খুবই অনুমেয়।
কারণ তখন attacker একই সঙ্গে পাবে:
বাংলাদেশের নাম,
local trust signal,
বাংলাদেশি brand-এর কাছাকাছি domain,
instant bulk registration,
এবং দুর্বল attribution। [Interisle/ICANN phishing-abuse evidence]
এটি cybercriminal-এর জন্য প্রায় perfect combination।
বাংলাদেশে domain squatting-এর বাস্তব উদাহরণ আগেই আছে
এটি শুধু কল্পিত আশঙ্কা নয়।
২০২০ সালে The Business Standard-এর একটি অনুসন্ধানী প্রতিবেদনে Facebook, WhatsApp, TikTok, Snapchat, Pinterest, WeChat ও Baidu-এর মতো পরিচিত brand-এর নামের .com.bd domain অন্য ব্যক্তি বা প্রতিষ্ঠানের নামে registered অথবা approval process-এ থাকার কথা উঠে আসে। [IANA .AI, IANA .LY, IANA .GG, The Business Standard reporting]
একই সময় facebook.com.bd নিয়ে legal dispute তৈরি হয়। প্রতিবেদনে বলা হয়েছিল, domainটির registrant Facebook-এর কাছে এটি বিক্রির জন্য প্রায় ৬ million US dollar দাবি করেছিলেন। বিষয়টি আদালত পর্যন্ত গিয়েছিল। [IANA .AI, IANA .LY, IANA .GG, The Business Standard reporting]
এই ঘটনা দুটি গুরুত্বপূর্ণ বিষয় প্রমাণ করে।
প্রথমত, domain speculation এবং cybersquatting বাংলাদেশের কাল্পনিক সমস্যা নয়।
দ্বিতীয়ত, শুধু NID বা trade licence upload করলেই abuse বন্ধ হয় না।
কারণ একজন ব্যক্তি নিজের আসল পরিচয় দিয়েও অন্যের trademark, brand name বা confusingly similar domain register করতে পারে।
তাই আমাদের প্রয়োজন শুধু document verification নয়।
প্রয়োজন intelligent verification।
Registry-কে দেখতে হবে:
নামটি কোনো well-known brand-এর সঙ্গে মিলে কি না,
কেউ trademark ownership দাবি করছে কি না,
একই ব্যক্তি bulk-এ famous brand register করছে কি না,
payment ও registrant identity consistent কি না,
এবং domainটি resale বা deception-এর জন্য নেওয়া হচ্ছে কি না।
অর্থাৎ BTCL-এর পুরোনো manual paperwork যেমন যথেষ্ট নয়, তেমনি কোনো paperwork ছাড়াই registration আরও ভয়ংকর।
কাগজপত্র থাকলেই কি .bd নিরাপদ হয়ে যাবে? না
এখানে BTCL-কেও বাস্তবতা স্বীকার করতে হবে।
Domain abuse মূলত দুইভাবে হয়।
প্রথমত, malicious registration।
অপরাধী শুরু থেকেই phishing, malware, fraud অথবা impersonation-এর জন্য domain register করে।
Identity verification, payment validation, brand screening এবং bulk control এই ঝুঁকি কমাতে সাহায্য করে।
দ্বিতীয়ত, compromised domain।
কোনো legitimate ব্যক্তি বা প্রতিষ্ঠান বৈধভাবে domain register করেছে, কিন্তু পরে তাদের WordPress, hosting account, plugin, server অথবা password compromise হয়েছে। অপরাধী সেই পুরোনো trusted website-এর ভেতরে phishing page বসিয়েছে।
KYC দ্বিতীয় সমস্যাটি থামাতে পারবে না।
Palo Alto Networks Unit 42-এর ২০২১ সালের একটি historical study-তে .bd তাদের dataset-এ high malicious-domain ratio দেখিয়েছিল। গবেষকদের বিশ্লেষণ অনুযায়ী এর বড় একটি অংশ maliciously registered domain নয়, বরং security weakness-এর কারণে compromised legitimate website ছিল। এটি বর্তমান .bd ecosystem-এর সরাসরি measurement নয়, কিন্তু গুরুত্বপূর্ণ শিক্ষা দেয়: strict registration alone কোনো registry-কে secure করে না। [Palo Alto Unit 42 historical study]
তাই BTCL যদি মনে করে শুধু trade licence নিলেই দায়িত্ব শেষ, সেটিও ভুল।
একটি নিরাপদ .bd ecosystem-এর জন্য প্রয়োজন:
secure registry infrastructure,
DNSSEC,
strong account security,
MFA,
registrar security audit,
fast abuse reporting,
compromised website detection,
hosting provider coordination,
malware notification,
এবং registrant education। [BTCL DNSSEC deployment update]
Paper verification দরকার।
কিন্তু সেটি পুরো security architecture-এর মাত্র একটি layer।
BTCL-এর বিরুদ্ধে কোন অভিযোগগুলো বাস্তব ও যৌক্তিক?
.bd নিয়ে সব অভিযোগ সুবিধাভোগী বা অসৎ মানুষের অভিযোগ নয়।
Low adoption একটি বাস্তব সমস্যা।
২০২৪ সালের একটি প্রতিবেদনে বাংলাদেশে মোট domain usage দশ লাখ ছাড়ালেও .bd ব্যবহারকারী website-এর সংখ্যা প্রায় ৪১ হাজার বলা হয়েছিল। ২০২৬ সালের reporting-এ সংখ্যাটি প্রায় ৫০ হাজারের কাছাকাছি বলা হয়। Industry stakeholders দীর্ঘদিন cost, service quality, cumbersome registration এবং BTCL-এর monopoly-কে low adoption-এর কারণ হিসেবে উল্লেখ করেছেন। [The Business Standard reporting]
Reliability concern-ও বাস্তব।
৩ এপ্রিল ২০২৪ সালে একটি technical glitch-এর কারণে .bd-এর অধীন website-গুলো কয়েক ঘণ্টার জন্য unavailable হয়েছিল বলে BTCL জানিয়েছিল। National namespace পরিচালনার ক্ষেত্রে এমন outage অবশ্যই serious matter। [The Business Standard reporting]
Current terms and conditions-এও কিছু language অতিরিক্ত broad এবং outdated মনে হয়। সেখানে BTCL-এর sole discretion-এ application reject করার সুযোগ, registration information disclosure এবং policy change নিয়ে এমন wording আছে, যেগুলো আরও objective, privacy-first এবং transparent হওয়া দরকার। একই সঙ্গে false information, illegal activity, spam ও harmful use-এর বিরুদ্ধে suspension বা cancellation-এর provision থাকা যথার্থ। [BTCL domain terms]
অতএব BTCL-এর প্রতি blind support দেখানোও ঠিক হবে না।
কিন্তু BTCL-এর service problem-এর সমাধান হিসেবে national domain-এর identity verification তুলে দেওয়া অনেকটা hospital-এর queue বড় বলে medical screening বন্ধ করে দেওয়ার মতো।
সমস্যা queue।
সমাধান screening তুলে দেওয়া নয়।
সমাধান হলো screening দ্রুত, automated এবং predictable করা।
তাহলে .bd-এর জন্য সঠিক policy কী হতে পারে?
আমাদের দাবি হওয়া উচিত না:
“কোনো document লাগবে না।”
আমাদের দাবি হওয়া উচিত:
“একবার সঠিকভাবে verify করুন, তারপর legitimate user-কে অযথা হয়রানি করবেন না।”
একটি modern .bd policy নিচের model-এ তৈরি হতে পারে।
১. Manual paperwork-এর বদলে automated eKYC
NID number, date of birth, mobile OTP এবং face/liveness verification-এর মাধ্যমে কয়েক মিনিটে individual registrant verify করা সম্ভব।
Business-এর ক্ষেত্রে trade licence, RJSC, TIN বা relevant approval-এর authenticity API-এর মাধ্যমে check করা যেতে পারে।
একটি document staff-এর monitor-এ দেখে অনুমোদন দেওয়ার বদলে trusted government database-এর সঙ্গে real-time validation করা উচিত।
সঠিক registrant হলে approval কয়েক মিনিটেই হবে।
Mismatch হলে manual review-এ যাবে।
Security বজায় থাকবে।
User experience-ও সহজ হবে।
২. Risk-based registration model
সব domain-কে একই level-এর scrutiny-তে ফেলার প্রয়োজন নেই।
একজন ব্যক্তি নিজের নামের একটি সাধারণ .bd domain নিতে চাইলে NID এবং mobile verification যথেষ্ট হতে পারে।
কিন্তু domain name-এর মধ্যে যদি নিচের মতো sensitive term থাকে, তাহলে enhanced review হতে পারে:
Bank,
Bikash বা bKash-এর কাছাকাছি spelling,
Nagad,
Police,
Government,
Tax,
Passport,
Election,
Hospital,
University,
Insurance,
Loan,
Payment,
OTP,
Support,
Verification। [BTCL official domain portal]
একইভাবে well-known brand, financial institution, government agency অথবা regulated sector-এর নামের কাছাকাছি domain হলে relevant authorization চাওয়া যেতে পারে।
এটি blanket bureaucracy নয়।
এটি risk-based security।
৩. Trademark এবং brand protection system
Bangladesh-এর registered trademark database, RJSC business name এবং well-known national ও international brand-এর একটি protected-name database তৈরি করা উচিত।
কেউ facebook, whatsapp, bkash, nagad অথবা পরিচিত bank-এর নাম register করতে চাইলে automated alert তৈরি হবে। [BTCL official domain portal]
Legitimate brand owner proof দিলে approve হবে।
অন্য কেউ legitimate fair-use reason দাবি করলে human review হবে।
কিন্তু first come, first served বলে famous trademark তুলে দেওয়া যাবে না।
৪. Typo এবং deceptive domain detection
Scammer সব সময় exact brand name নেয় না।
সে নিতে পারে:
bkaash,
bkashh,
nagadd,
sonalibenk,
bracbnk,
passport-bd-help। [BTCL official domain portal]
Registry system-এ similarity detection, Unicode confusable detection এবং typo-squatting screening থাকা উচিত।
Automated system suspicious domainকে reject না করলেও অন্তত manual review-এ পাঠাতে পারবে।
৫. Bulk registration এবং velocity control [Interisle/ICANN phishing-abuse evidence]
একটি নতুন account পাঁচ মিনিটে ৫০০টি domain নিচ্ছে কেন?
একই NID, card, mobile number, IP address অথবা nameserver ব্যবহার করে অসংখ্য brand-related domain নেওয়া হচ্ছে কি না, registry-কে দেখতে হবে।
Legitimate registrar, hosting company বা corporate customer bulk domain নিতে পারবে, তবে verified bulk account এবং enhanced monitoring-এর মাধ্যমে।
Anonymous account দিয়ে mass registration নয়।
৬. Payment identity এবং registrant identity consistency
Domain একজনের নামে, payment আরেকজনের anonymous source থেকে, mobile number disposable এবং email temporary হলে risk score বাড়া স্বাভাবিক।
Payment name সব ক্ষেত্রে হুবহু match করা সম্ভব নাও হতে পারে। Agency বা reseller client-এর হয়ে payment করতে পারে। তাই outright rejection না করে risk flag এবং authorization model থাকা উচিত। [BTCL official domain portal]
Verified reseller হলে client data registry-তে থাকবে, reseller payment করতে পারবে। [BTCL official domain portal]
কিন্তু registry যেন অন্তত জানে ultimate registrant কে।
৭. Reseller, EPP এবং API ecosystem বড় করা [BTCL official domain portal]
BTCL reseller program শুরু করেছে, এটি ভালো উদ্যোগ। [BTCL official domain portal]
কিন্তু reseller সংখ্যা সীমিত রেখে শুধু paperwork-heavy partnership করলে desired scale আসবে না। [BTCL official domain portal]
যোগ্য hosting company, registrar এবং ICT business-কে transparent technical ও financial criteria-এর মাধ্যমে accreditation দিতে হবে।
EPP বা standard registrar API দিতে হবে।
Customer reseller-এর website থেকেই domain search, KYC, payment, registration, DNS management, renewal এবং transfer করতে পারবে। [BTCL official domain portal]
Registry central verification ও policy enforcement করবে।
এই model customer experience দ্রুত করবে, প্রতিযোগিতা বাড়াবে এবং BTCL-এর ওপর direct support pressure কমাবে।
তবে reseller-এর abuse rate, security practice, complaint response এবং data handling নিয়মিত audit করতে হবে। [BTCL official domain portal]
৮. পরিষ্কার SLA এবং rejection reason
Application জমা দেওয়ার পর “pending” লিখে অনির্দিষ্ট সময় ফেলে রাখা যাবে না।
উদাহরণস্বরূপ:
Automated verification: কয়েক মিনিট।
Normal manual review: এক কর্মদিবস।
Sensitive domain review: সর্বোচ্চ তিন কর্মদিবস।
Ownership dispute: নির্দিষ্ট published timeline।
Reject হলে exact reason code দিতে হবে:
NID mismatch,
document expired,
brand conflict,
restricted term,
unclear authorization,
payment issue,
duplicate application।
“Authority decision” বা “document incorrect” ধরনের অস্পষ্ট উত্তর যথেষ্ট নয়।
৯. Independent appeal mechanism
Registry ভুল করতে পারে।
কোনো legitimate startup-এর brand name suspicious মনে হতে পারে।
কোনো সাধারণ শব্দ trademark database-এর সঙ্গে false match করতে পারে।
তাই rejection-এর বিরুদ্ধে low-cost, time-bound appeal system থাকা দরকার।
প্রথম review BTCL staff করবে।
দ্বিতীয় review independent domain-policy panel অথবা trained committee করতে পারে।
Decision এবং reasoning registrant-কে লিখিতভাবে দিতে হবে।
১০. KYC থাকবে, কিন্তু private data public হবে না
Verification মানে NID scan public WHOIS-এ দেখানো নয়।
Registry জানবে registrant কে।
কিন্তু সাধারণ public শুধু প্রয়োজনীয় সীমিত তথ্য দেখবে।
Sensitive personal data encrypt করে রাখতে হবে।
Access log রাখতে হবে।
কোন কর্মকর্তা কখন data দেখেছেন, তার audit trail থাকতে হবে।
Retention period পরিষ্কার করতে হবে।
Domain expire হওয়ার বহু বছর পরও অপ্রয়োজনীয়ভাবে NID copy রেখে দেওয়া উচিত নয়, যদি law সেটি require না করে।
Security-এর নামে privacy sacrifice করা যাবে না।
দুটো একসঙ্গে রক্ষা করতে হবে।
১১. Periodic verification হবে risk-based
প্রতি বছর renewal-এর সময় একই trade licence ও NID আবার upload করানো অপ্রয়োজনীয়।
Reverification trigger হতে পারে যখন:
Ownership change হয়,
contact information বদলায়,
registrant account compromise হওয়ার সন্দেহ হয়,
domain দীর্ঘদিন inactive থাকার পর হঠাৎ sensitive activity শুরু করে,
serious abuse complaint আসে,
অথবা document-এর legal validity শেষ হয়।
অন্যথায় verified account থেকে এক click-এ renewal হওয়া উচিত।
১২. Rapid abuse response system
Phishing domain ১৫ দিন পরে বন্ধ করলে লাভ নেই। [Interisle/ICANN phishing-abuse evidence]
প্রথম ২৪ ঘণ্টাতেই সবচেয়ে বেশি victim তৈরি হতে পারে।
BTCL-এর একটি dedicated 24/7 abuse desk থাকা দরকার যেখানে bank, MFS provider, BGD e-GOV CIRT, law-enforcement agency, hosting provider এবং সাধারণ user evidence জমা দিতে পারবেন। [Bangladesh Bank cyber-security circular]
High-confidence phishing হলে দ্রুত temporary server hold দেওয়া যেতে পারে।
Registrant-কে response-এর সুযোগ দিতে হবে।
ভুল report হলে domain restore হবে।
প্রমাণিত abuse হলে suspension এবং relevant authority-কে verified registrant information দেওয়া হবে, আইন ও due process অনুসরণ করে। [BTCL domain terms]
১৩. Registration-এর পরেও continuous monitoring
Domain approve হওয়ার দিন registrant ভালো ছিল বলেই website সারাজীবন নিরাপদ থাকবে না।
Registry এবং reseller যৌথভাবে monitor করতে পারে: [BTCL official domain portal]
Malware reputation feed,
phishing feed,
sudden nameserver change,
newly issued suspicious certificate,
compromised WordPress path,
mass subdomain creation,
brand impersonation report।
Registry hosting content police হবে না।
কিন্তু credible technical signal পেলে registrant ও hosting provider-কে alert করতে পারে।
১৪. DNSSEC এবং registry infrastructure resilience [BTCL DNSSEC deployment update]
National domain registry-এর uptime ও integrity critical infrastructure-এর মতো বিবেচনা করা উচিত।
Multiple geographically distributed anycast DNS,
DDoS protection,
DNSSEC,
disaster recovery,
regular penetration test,
independent security audit,
change-management control,
public status page
এবং incident transparency থাকা জরুরি। [BTCL DNSSEC deployment update]
BTCL ২০২৫ সালে .gov.bd, .ac.bd, .com.bd ও .net.bd-এর ক্ষেত্রে DNSSEC deployment সম্প্রসারণের উদ্যোগ জানিয়েছে। এটি ইতিবাচক পদক্ষেপ, তবে full ecosystem adoption এবং registrant-side support নিশ্চিত করতে হবে। [BTCL official domain portal, IANA .AI, IANA .LY, IANA .GG, BTCL DNSSEC deployment update]
১৫. Quarterly transparency report
প্রতি তিন মাসে BTCL প্রকাশ করতে পারে:
কতটি নতুন domain register হয়েছে,
কতটি application reject হয়েছে,
কোন category-তে কেন reject হয়েছে,
কতটি abuse report এসেছে,
কতটি phishing-এর কারণে suspended হয়েছে,
average approval time কত,
average support response time কত,
কতটি appeal successful হয়েছে,
কোন reseller-এর abuse rate কত। [BTCL official domain portal]
এতে security-এর অজুহাতে arbitrary decision নেওয়া কমবে।
একই সঙ্গে যারা বলে “সব নিয়ম অযথা”, তারাও data দেখে বুঝতে পারবেন নিয়মগুলো কী ধরনের abuse ঠেকাচ্ছে।
Zero-document registration হলে বাস্তবে কী হতে পারে?
চিন্তা করুন, একজন attacker একটি prepaid বা compromised payment method ব্যবহার করে রাতারাতি ১,০০০টি .bd domain নিল।
তারপর domain-গুলো কয়েকটি category-তে ভাগ করল:
MFS verification,
bank loan,
government allowance,
job application,
passport service,
e-commerce refund,
Facebook support। [Bangladesh Bank cyber-security circular]
প্রতিটি domain-এ একই phishing kit বসাল।
কিছু domain দিয়ে Facebook ad চালাল।
কিছু domain SMS-এ পাঠাল।
কিছু WhatsApp message-এ।
কিছু Google search ad-এ।
প্রথম ৫০টি report হওয়ার পর suspend হলো।
সে পরের ৫০টি চালু করল।
Registry যদি তার verified identity না রাখে, তাহলে একটি domain suspend করলেও ব্যক্তি থেকে যাবে।
কিন্তু verified NID, verified mobile, payment trail এবং device information থাকলে একই attacker-এর নতুন registration block করা সম্ভব।
এই কারণেই identity verification অপরাধ পুরোপুরি বন্ধ না করলেও attacker-এর cost বাড়ায়।
Cybersecurity-তে অনেক সময় লক্ষ্য হয় না “শতভাগ অপরাধ বন্ধ করা।”
লক্ষ্য হয়:
অপরাধ কঠিন করা,
খরচ বাড়ানো,
scale কমানো,
traceability বাড়ানো,
এবং damage হওয়ার আগেই response দেওয়া।
তাহলে কারা কোন system থেকে সুবিধা পায়?
একজন genuine user লাভবান হন যখন registration দ্রুত, দাম যুক্তিসঙ্গত এবং support ভালো হয়।
একজন legitimate reseller লাভবান হন যখন API, automation এবং transparent accreditation থাকে। [BTCL official domain portal]
একজন business owner লাভবান হন যখন তার trademark ও brand protected থাকে।
একজন সাধারণ নাগরিক লাভবান হন যখন .bd link দেখে একটি ন্যূনতম accountability আশা করতে পারেন।
কিন্তু একজন anonymous domain speculator লাভবান হন যখন কোনো justification, identity বা brand-rights check থাকে না।
একজন cybersquatter লাভবান হন যখন শত শত পরিচিত brand আগে register করে resale করতে পারে।
একজন scammer লাভবান হন যখন temporary identity দিয়ে unlimited domain নিতে পারে।
তাই zero-document model-এর সমালোচনা করা মানে innovation-এর বিরোধিতা করা নয়।
বরং innovation যেন fraud-enabling infrastructure না হয়ে যায়, সেটি নিশ্চিত করা।
কারও character না জেনেই তাকে scammer বলা ঠিক নয়।
কিন্তু তার প্রস্তাবটি বাস্তবায়িত হলে সবচেয়ে বেশি সুবিধা কার হবে, সেটি বিশ্লেষণ করা অবশ্যই যুক্তিসঙ্গত।
BTCL-এর কাছে আমাদের দাবি কী হওয়া উচিত?
আমাদের বলা উচিত:
.bd domain registration সহজ করুন।
Price affordable রাখুন।
Online verification আনুন।
Private reseller বাড়ান। [BTCL official domain portal, BTCL reseller programme]
EPP ও API দিন।
Instant DNS management দিন।
Clear SLA দিন।
Support improve করুন।
Objective policy প্রকাশ করুন।
Appeal system দিন।
Privacy রক্ষা করুন।
Infrastructure resilient করুন।
কিন্তু একই সঙ্গে বলতে হবে:
Anonymous registration নয়।
Fake information নয়।
Unlimited unverified bulk purchase নয়।
Trademark grabbing নয়।
Government, bank ও MFS impersonation নয়। [Bangladesh Bank cyber-security circular]
Verified ownership ছাড়া transfer নয়।
Abuse report মাসের পর মাস pending নয়।
শেষ কথা
.bd-এর মূল সমস্যা verification নয়।
মূল সমস্যা হলো verification-এর পুরোনো, manual, ধীর এবং কখনো কখনো অস্পষ্ট পদ্ধতি।
Security এবং user experience পরস্পরের শত্রু নয়।
একটি ভালো registry একই সঙ্গে দুটোই দিতে পারে:
Strict backend, simple frontend।
Customer দুই মিনিটে KYC complete করবে।
System real-time verify করবে।
Risk না থাকলে domain সঙ্গে সঙ্গে active হবে।
Risk থাকলে trained team review করবে।
Abuse হলে registry জানবে domainটির পেছনে কে আছে।
এটাই modern domain governance।
.bd-কে .tk-এর free-for-all model বানানো কোনো modernization নয়। [Spamhaus Freenom/.tk case study]
আবার security-এর নাম করে legitimate উদ্যোক্তাকে সাতদিন file হাতে ঘোরানোও security নয়।
আমাদের middle ground নয়, smart ground দরকার।
যেখানে নিয়ম শক্ত হবে, কিন্তু process সহজ হবে।
যেখানে verification থাকবে, কিন্তু harassment থাকবে না।
যেখানে reseller থাকবে, কিন্তু accountability হারাবে না। [BTCL official domain portal]
যেখানে privacy থাকবে, কিন্তু anonymity দিয়ে অপরাধ লুকানো যাবে না।
যেখানে .bd registration বাড়বে, কিন্তু তার reputation বিক্রি করে নয়।
কারণ .bd শুধু একটি domain extension নয়।
এটি Internet-এ বাংলাদেশের নামের পাশে বসানো একটি trust signal।
এই trust একবার নষ্ট হলে registration সংখ্যা দিয়ে সেটি ফেরত পাওয়া যাবে না।
কাগজের জঞ্জাল কমান, পরিচয় যাচাই নয়।
BTCL-এর bureaucracy ভাঙুন, .bd-এর trust নয়।
Policy summary: শেষে সিদ্ধান্তটি কী?
সংক্ষিপ্ত সিদ্ধান্ত: .bd domain registration দ্রুত, সহজ ও modern হওয়া দরকার—কিন্তু identity verification এবং post-registration accountability বাদ দেওয়া উচিত নয়। বাংলাদেশের local trust signal-কে সুরক্ষিত রাখতে automated eKYC, risk-based screening, verified reseller/API ecosystem, privacy controls এবং rapid abuse response একসঙ্গে চালু করতে হবে।
Policy position at a glance
| Policy question | Evidence-led position | Practical control |
|---|---|---|
| Registration কি দ্রুত হওয়া উচিত? | হ্যাঁ—legitimate user-এর অযথা অপেক্ষা গ্রহণযোগ্য নয়। | Automated eKYC, real-time validation ও clear SLA |
| সব document বাদ দেওয়া উচিত? | না—anonymous bulk access abuse-এর cost কমায়। | Risk-based KYC, velocity limits ও verified payment trail |
| শুধু document কি যথেষ্ট? | না—compromised site, squatting ও typo abuse আলাদা ঝুঁকি। | Similarity detection, DNSSEC, monitoring ও 24/7 abuse desk |
| Privacy কীভাবে রক্ষা হবে? | Verification registry-তে থাকবে; public data সীমিত থাকবে। | Encryption, access log, retention policy ও appeal process |
Scope, method ও evidence standard
এই article-এ source discussion-এর মূল বক্তব্য অক্ষুণ্ণ রেখে claim-গুলোকে official registry record, regulator guidance, technical research এবং reputable reporting-এর সঙ্গে contextualize করা হয়েছে। যেখানে data আছে সেখানে source link দেওয়া হয়েছে; যেখানে নির্দিষ্ট Bangladesh-wide dataset নেই, সেখানে অনুমানকে fact হিসেবে না লিখে policy risk হিসেবে চিহ্নিত করা হয়েছে। এই লেখা BTCL-এর official notice নয়—এটি public-interest technology policy analysis।
Key findings
- Registration friction কমানো এবং accountability তুলে দেওয়া এক জিনিস নয়।
- .bd-এর local trust signal legitimate business-এর পাশাপাশি phishing-এরও target হতে পারে।
- Identity verification দরকার, কিন্তু manual paperwork নয়—automation ও risk-based review দরকার।
- Malicious registration, cybersquatting এবং compromised website—তিনটির জন্য আলাদা control দরকার।
- Transparent SLA, privacy-preserving KYC, reseller/API access এবং rapid abuse response একসঙ্গে না হলে reform অসম্পূর্ণ থাকবে।
Related reading on SwadhinKhan.com
- .bd domain Bangladesh: ব্যবহার, সুবিধা ও ভবিষ্যৎ case study
- Swadhin Khan — infrastructure and digital-systems author profile
- আরও technology, domain ও digital policy articles
Official source links ও further reading
এই analysis-এর factual context যাচাই করার জন্য নিচের primary, regulator, registry ও technical-research sources ব্যবহার করা হয়েছে। Price, policy বা eligibility পরিবর্তিত হতে পারে—registration-এর আগে official BTCL portal-এর সর্বশেষ নির্দেশনা দেখুন।
- IANA .BD delegation record — বাংলাদেশের ccTLD manager এবং BTCL technical contact
- BTCL official domain portal — current registration prices, documents, payment, transfer, reseller এবং abuse contact
- BTCL official reseller programme — accessibility, support, security এবং compliance ecosystem
- Interisle / ICANN GAC: Phishing and Domain Abuse 2025 — malicious registration, cheap pricing, weak validation, bulk registration ও screening evidence
- Interisle Phishing Landscape 2025 — phishing-domain trends ও data methodology
- Spamhaus: Freenom, Tokelau and abuse — free/open .tk model ও historical abuse case study
- IANA .AI delegation record — .ai-এর geographic ccTLD context
- IANA .LY delegation record — .ly-এর geographic ccTLD context
- IANA .GG delegation record — .gg-এর actual ccTLD identity
- NIXI .IN domain procedure — India .IN KYC procedure
- NIXI registry advisory — accurate registrant data ও verification direction
- Delhi High Court judgment — India-facing registrar verification context
- NIXI 2026 registry advisory — .IN auction/speculation policy
- NIXI EOI document — KYC API, trusted database, audit trail ও encryption model
- Bangladesh Bank cyber-security circular — PIN/OTP সতর্কতা ও financial cyber-risk context
- APNIC: ccTLD phishing characterization — ccTLD trust signal ও phishing targeting context
- Unit 42: top-level domains and cybercrime — .bd compromised-site risk-এর historical context
- The Business Standard: .bd adoption challenge — local adoption, cost, service ও ecosystem reporting
- The Business Standard: brand domain disputes — brand squatting ও .com.bd dispute context
- BTCL domain terms — official terms, false information, suspension ও policy language
- BTCL DNSSEC deployment — DNSSEC expansion update
- SGNIC VerifiedID@SG — .sg registrant identity verification, Singpass/Corppass এবং ২১ দিনের suspension rule
- SGNIC registration rules — .sg categories, eligibility এবং accredited registrar framework
- Nepal .NP registry policy — free registration, documentation, local-presence এবং nameserver requirements
- Nepal .NP registration portal — application, reverification এবং renewal-contact process
- PKNIC registration policy — .pk first-come policy, local-presence position এবং dispute controls
- PKNIC domain structure — .pk, .com.pk, .edu.pk, .gov.pk ও category-specific rules
- MYNIC buying a domain — .my categories, supporting documents এবং registrar process
- MYNIC registrant policy — .my global 2LD eligibility, identity validation এবং category rules
- Official .AI registry FAQ — .ai registrar model, privacy/proxy এবং anti-abuse enforcement
- Official .AI registry operator — .ai registry and accredited-registrar channel
FAQ: .bd domain governance নিয়ে দ্রুত উত্তর
কেন .bd domain-এ identity verification দরকার?
.bd বাংলাদেশের local trust signal; registrant accountability না থাকলে impersonation ও phishing-এর cost কমে যেতে পারে।
.SG, .NP, .PK, .MY ও .AI কি একই registration model অনুসরণ করে?
না। .sg digital identity verification, .np free কিন্তু document-based eligibility, .pk comparatively open general registration, .my global direct registrationসহ category controls এবং .ai global registrar distributionসহ anti-abuse enforcement ব্যবহার করে।
Verification থাকলে কি legitimate user ধীর service পাবেন?
অবশ্যই নয়। Automated eKYC, API validation এবং risk-based review ব্যবহার করলে low-risk application কয়েক মিনিটে approve করা সম্ভব।
NID কি public WHOIS-এ দেখানো হবে?
না। Registry verification record encrypted রাখতে পারে; public lookup-এ সীমিত প্রয়োজনীয় তথ্যই দেখানো উচিত।
শুধু document check কি যথেষ্ট?
না। Brand similarity, typo-squatting, bulk velocity, compromised website এবং post-registration abuse monitoring-ও দরকার।
BTCL-এর প্রথম তিনটি priority কী হওয়া উচিত?
Automated eKYC ও clear SLA; accredited reseller/API ecosystem; dedicated abuse desk, DNSSEC এবং transparent quarterly reporting।