Checklist voor je eigen domein

Module 8: Veiligheid en problemen oplossen · Leestijd: 10 minuten

Leerdoel: Na deze les controleer je je eigen domein van boven naar beneden met een vaste checklist, en weet je bij welk punt je begint als de website of de mail niet werkt.

Kernbegrippen: registratie, nameservers, A/AAAA, www, certificaat, MX, SPF, DKIM, DMARC, CAA, DNSSEC, TTL, back-up

Waarom van boven naar beneden?

DNS is een keten: zonder registratie geen nameservers, zonder werkende nameservers geen records, zonder A-record geen website. Een fout bovenaan veroorzaakt allerlei klachten onderaan. Daarom loop je de lijst altijd in deze volgorde af en stop je bij het eerste punt dat niet klopt. Los dat eerst op, en begin dan opnieuw bovenaan.

In de lijst staat example.com: vervang dat door je eigen domein. Bij elk punt staat een dig-commando; met een online dig (les 8.3) kan het ook. Een domeingezondheidscheck, zoals die van je hostingpartij of de gratis Domein gezondheid, doet een groot deel van deze lijst in één keer, maar het is goed om te weten wat erachter zit.

Deel A: het fundament

1. Is het domein geregistreerd en actief?

• Hoe: een whois- of RDAP-opzoeking (bijvoorbeeld via de site van de registry, zoals sidn.nl voor .nl), of whois example.com.
• Goed: status actief (bij .nl: "active"), niet "in quarantaine", niet verlopen. De houder klopt.

2. Welke nameservers heeft het domein, en zijn het er minstens twee?

• Hoe: dig +short NS example.com, en voor wat de registry doorgeeft dig +trace example.com.
• Goed: minstens twee nameservers, van de partij waar jij je DNS beheert.

3. Antwoorden alle nameservers, en geven ze hetzelfde?

• Hoe: dig +short SOA example.com @<nameserver> voor elke nameserver.
• Goed: elke nameserver antwoordt (geen time-out, geen REFUSED) en het serienummer (derde veld van de SOA) is overal gelijk. Een nameserver die niet antwoordt voor jouw domein heet lame.

4. Klopt DNSSEC (als het aan staat)?

• Hoe: dig +short DS example.com en dig example.com A @1.1.1.1 (let op de status en de vlag ad); bij twijfel DNSViz.
• Goed: óf geen DS (DNSSEC uit, dat werkt gewoon), óf een DS met status NOERROR en de vlag ad. Fout: SERVFAIL.

Deel B: de website

5. Wijst de domeinnaam naar de juiste server?

• Hoe: dig +short A example.com en dig +short AAAA example.com.
• Goed: het IPv4-adres (en, als je er een hebt, het IPv6-adres) van de server waar je website staat. Geen oude AAAA van een vorige server.

6. Werkt www?

• Hoe: dig +short A www.example.com (of CNAME).
• Goed: een A-record, AAAA-record of CNAME dat op dezelfde site uitkomt. Ontbreekt www, dan krijgen mensen die www typen een foutmelding.

7. Heeft de site een geldig certificaat voor beide namen?

• Hoe: open https://example.com en https://www.example.com en klik op het slotje, of gebruik de websitetest van internet.nl.
• Goed: geen waarschuwing, het certificaat is nog minstens een paar weken geldig en geldt voor beide namen.

8. Mag je certificaatuitgever certificaten maken (CAA)?

• Hoe: dig +short CAA example.com.
• Goed: geen CAA-record (iedereen mag), of een CAA-record met issue voor de partij die jouw certificaat uitgeeft. Fout: een CAA dat jouw uitgever niet noemt.

Deel C: de e-mail

9. Waar komt je mail binnen?

• Hoe: dig +short MX example.com, en daarna dig +short A <mailserver> voor de eerste naam.
• Goed: de MX-records van je huidige mailprovider, en geen achtergebleven MX van een oude provider. Elke mailservernaam heeft een A- of AAAA-record. Gebruik je het domein niet voor mail, dan kan een null MX (0 .) duidelijk maken dat er geen mail binnenkomt.

10. Is er precies één goed SPF-record?

• Hoe: dig +short TXT example.com en kijk naar de regels die met v=spf1 beginnen; een e-mailcheck telt de opzoekingen.
• Goed: precies één SPF-record, met alle diensten die namens je domein mailen, eindigend op ~all of -all (nooit +all), en niet meer dan tien DNS-opzoekingen.

11. Is DKIM ingesteld voor elke dienst die mailt?

• Hoe: dig +short TXT <selector>._domainkey.example.com (of CNAME) voor elke selector die je kent, zoals die van je mailprovider en je nieuwsbriefdienst. De selector vind je in de instructies van de dienst of in de kop DKIM-Signature: ... s=<selector> van een verzonden mail.
• Goed: elk record geeft een sleutel (v=DKIM1; ... p=...) of een CNAME naar de dienst, en een testmail laat bij DKIM PASS zien.

12. Is er een DMARC-record?

• Hoe: dig +short TXT _dmarc.example.com.
• Goed: precies één record dat begint met v=DMARC1 en een geldig beleid heeft (p=none, p=quarantine of p=reject). Begonnen met p=none? Plan dan het aanscherpen.

13. Komt een echte mail goed aan?

• Hoe: stuur een mail naar mail-tester.com of naar een Gmail-adres en bekijk "Origineel weergeven".
• Goed: SPF, DKIM en DMARC op PASS.

Deel D: onderhoud

14. Zijn de TTL's verstandig?

• Hoe: dig example.com A @<jouw nameserver> en kijk naar de TTL.
• Goed: normaal 3600 of hoger. Alleen rond een geplande wijziging tijdelijk 300. Vergeten terug te zetten na een verhuizing is niet erg, maar geeft onnodig veel verkeer.

15. Heb je een back-up van je zone?

• Hoe: de back-up- of exportknop van je DNS-paneel, of dig per record als je die niet hebt.
• Goed: een recente kopie van alle records, bewaard buiten het paneel.

16. Staan er geen vergeten records?

• Hoe: loop alle records in je paneel langs.
• Goed: geen verificatierecords of subdomeinen van diensten die je niet meer gebruikt. Een CNAME naar een opgezegde dienst kan door iemand anders worden "overgenomen" (subdomain takeover): verwijder hem.

Waar begin je bij een klacht?

[FILM: geen; de checklist komt ook als downloadbare pdf]

In de praktijk: zo ziet het eruit in een paneel

Een domeingezondheidscheck doet een groot deel van deze lijst automatisch. In Mijn WebOké staat die op de domeinpagina als kaart Domein / Email gezondheid, met groen, oranje en rood per punt; de openbare versie werkt voor elk domein. Andere hostingpartijen, registrars en DNS-partijen hebben vergelijkbare controles, en internet.nl test een groot deel van deel B en C onafhankelijk. Gebruik zo'n check als startpunt en deze lijst om te begrijpen wat er rood staat.

Samenvatting

• Loop de lijst van boven naar beneden af en stop bij het eerste punt dat niet klopt.
• Fundament: registratie, nameservers, gelijke antwoorden, DNSSEC.
• Website: A/AAAA, www, certificaat, CAA.
• Mail: MX met adres, één SPF, DKIM per dienst, één DMARC, testmail.
• Onderhoud: TTL, back-up, opruimen.

Quiz

Opdracht

Eindopdracht: controleer je eigen domein met deze checklist. Vul je domeinnaam in de cursusomgeving in en beantwoord per punt van deel A, B en C wat je vond (bijvoorbeeld je nameservers, je MX, je SPF-record en je DMARC-beleid). Het programma doet dezelfde controles en vergelijkt. Klopt er iets niet in je domein, dan krijg je uitleg met een verwijzing naar de les. Heb je geen eigen domein, gebruik dan sidn.nl. Opdrachtcode Z8.5.

Verder lezen

Deze artikelen beschrijven de controles bij WebOké; de checklist werkt voor elk domein.

• WebOké handleiding 5.17: Domein en e-mail gezondheid: controleren en herstellen
• Website of e-mail werkt niet na een verhuizing of DNS-wijziging: controleer je domein
• WebOké handleiding 5.7: DNS terugzetten en een DNS-back-up maken
• Een backup van je DNS maken en terugzetten
• Gratis tool Domein gezondheid: https://www.weboke.nl/domein-gezondheid
• Gratis E-mailcheck: https://www.weboke.nl/emailcheck