Is uw domein beschermd tegen kaping en stilletjes verlopen?

Een domein is maar zo veilig als het account dat het beheert en de betaling die het in leven houdt. Verliest u een van beide, dan bent u in één klap uw website, uw e-mail en uw merk kwijt — een van de weinige webrampen die echt moeilijk terug te draaien zijn. Want wie het domein uiteindelijk in handen krijgt, heeft ook alles in handen wat eraan vasthangt.

Weet wie elke laag beheert

Er zijn twee accounts die ertoe doen, en dat zijn vaak niet dezelfde:

• Het registrar-account beheert de registratie zelf en de toewijzing van de nameservers.
• Het DNS-hostingaccount beheert de zone: de records voor uw website, e-mail en verificaties.

Zorg dat beide accounts van uw bedrijf zijn — en dat het bedrijf zelf, en niet een medewerker, ontwikkelaar of vroeger webbureau, de geregistreerde houder is. De houder ontvangt de overdrachtscode en kan het domein verhuizen; zie wie uw accounts beheert om dit te ontwarren.

Vergrendel het account en het domein

• Multifactorauthenticatie (MFA) op beide accounts — met een authenticatie-app of hardwaresleutel, liever geen sms als het anders kan. Bewaar de herstelcodes veilig en registreer, waar dat kan, een tweede sleutel of een tweede vertrouwde beheerder: MFA mag het bedrijf niet buitensluiten omdat één persoon of één toestel niet beschikbaar is.
• Registrarvergrendeling (clientTransferProhibited) blokkeert gewone overdrachtspogingen — maar het is maar één laag: iedereen die in het registrar-account kan, kan de vergrendeling opheffen of de nameservers wijzigen. Vraag voor een bijzonder waardevol domein naar een vergrendeling op registerniveau (voor .be biedt DNS Belgium Domain Guard aan), die wijzigingen, overdrachten en opzegging blokkeert tot ze bewust wordt opgeheven.

Houd herstel en verlenging in leven

Openbare WHOIS- of RDAP-resultaten verbergen vaak persoonlijke gegevens, maar wat de registrar en het register in hun dossier hebben, moet nog altijd kloppen — de geregistreerde houder, het e-mailadres van de registrant, het adres voor accountherstel en het facturatiecontact spelen elk een eigen rol, en elk daarvan kan de zwakke schakel zijn.

• Gebruik een goed beveiligde herstelmailbox die niet afhangt van het domein dat ze beschermt — valt het domein of zijn DNS uit, dan valt [email protected] mee uit. En zorg dat een echt persoon die mailbox leest: een genegeerde overdrachtsgoedkeuring of verlengingswaarschuwing is dé manier waarop domeinen stilletjes verloren gaan.
• Veel domeinen gaan verloren om een veel banalere reden dan kaping: de verlenging of de betaling mislukt. Schakel automatische verlenging in en controleer of de betaalkaart nog geldig is — en houd daarnaast zelf een lijstje bij van registrar, verlengingsdeadline en facturatiecontact, want de vervaldatum bij het register en de betaaldeadline van uw registrar zijn niet altijd dezelfde.
• Houd bewijs van eigendom bij de hand: facturen, de bedrijfsregistratie en, waar beschikbaar, een registratiecertificaat (DNS Belgium geeft er een af voor .be). Wordt het account gehackt of ontstaat er discussie over wie de houder is, dan bepalen die papieren hoe snel u de controle terugkrijgt.

Onderteken met DNSSEC

DNSSEC ondertekent uw DNS-gegevens, zodat validerende resolvers vervalste antwoorden kunnen herkennen en weigeren — ook voor de MX-records die uw e-mail routeren. Het bevestigt de echtheid van DNS-gegevens; het versleutelt geen DNS-verkeer, websiteverkeer of e-mail (daar zorgen HTTPS en transportbeveiliging voor e-mail voor), en het kan een wijziging via een gehackt account niet ongedaan maken. Schakel het in wanneer uw DNS-provider het ondertekenen en het vernieuwen van de sleutels betrouwbaar beheert, en controleer de hele vertrouwensketen — DNSKEY, handtekeningen en het DS-record bij het bovenliggende register — niet alleen óf er een DS-record bestaat. Stem vooral DNS-verhuizingen goed af: een verouderd DS-record dat verwijst naar sleutels die uw nieuwe provider niet heeft, laat het hele domein door de validatie zakken — veranderen van registrar of DNS-provider beschrijft de veilige volgorde.

Wat u moet doen

1. Controleer dat het bedrijf de geregistreerde houder is en zowel het registrar- als het DNS-hostingaccount beheert.
2. Zet MFA aan, bewaar de herstelcodes en voeg waar mogelijk een tweede sleutel of vertrouwde beheerder toe.
3. Schakel de registrarvergrendeling in; vraag voor een waardevol domein naar een vergrendeling op registerniveau.
4. Controleer houder, registrant, herstel- en facturatiecontacten; houd de herstelmailbox buiten het domein en in de gaten.
5. Schakel automatische verlenging in, controleer de betaalkaart en houd zelf een lijstje bij van deadlines en eigendomsbewijzen.
6. Schakel DNSSEC in waar het betrouwbaar beheerd wordt; controleer de hele keten, zeker bij het wisselen van DNS-provider.