Der Code wird vom aktuellen Registrar erzeugt und bei der Registry hinterlegt. Um eine Domain umzuziehen, fordern Sie ihn beim aktuellen Registrar an und geben ihn dem neuen Registrar; dieser legt ihn der Registry zusammen mit dem Transferantrag vor. Stimmt er überein, darf der Transfer fortgesetzt werden.
Bei gTLDs müssen Registrare den Code innerhalb von fünf Kalendertagen nach der Anfrage des Inhabers herausgeben und dürfen das an nichts anderes knüpfen als an eine Identitätsprüfung. Manche ccTLDs verwenden für dieselbe Idee ein anderes Verfahren oder einen anderen Namen; bei .de-Domains heißt der Code AuthInfo.
Behandeln Sie den Code wie ein Passwort: Wer ihn hat und die Domain ungesperrt vorfindet, kann einen Transfer starten. Der einfache Schutz besteht darin, die Registrar-Sperre (clientTransferProhibited) eingeschaltet zu lassen, denn eine gesperrte Domain lässt sich auch mit dem richtigen Code nicht transferieren.