Proteger o seu nome de domínio

Módulo 4: E-mail, site e domínio · Tempo de leitura: 11 minutos

Objetivo de aprendizagem: Depois desta lição, saberá proteger o seu nome de domínio contra expiração, sequestro e registos DNS incorretos, e verificar o estado, a data de expiração, o DNSSEC e o CAA do seu próprio domínio.
Conceitos chave: registrar (entidade registadora), titular, expirado, quarentena, código de transferência, registrar lock, registry lock, 2FA junto da entidade registadora, DNSSEC, CAA, registo pendente (dangling DNS), sequestro de subdomínio

Quem tem o seu domínio, tem o seu e-mail

O seu nome de domínio parece um pormenor insignificante: uma fatura anual e algumas definições. Mas quase tudo depende dele. O seu site, os seus endereços de e-mail e, com eles, também o botão "esqueceu-se da palavra-passe" de todas as suas outras contas: o seu programa de contabilidade, o seu banco, a sua plataforma de loja online, as suas redes sociais. Quem obtiver o controlo de example.com pode receber e-mail para info@example.com e, assim, redefinir a sua palavra-passe em qualquer lado.

Um domínio pode perder-se ou ser indevidamente utilizado de três formas:

1. expira e outra pessoa regista-o;
2. alguém sequestra-o através da sua conta junto da entidade registadora ou através de uma transferência falsificada;
3. um registo DNS esquecido aponta para algo que já não gere.

No curso de DNS (lição 1.3) aprendeu quem trata de quê: o registry gere a extensão (SIDN (.nl) para .nl), a entidade registadora (registrar) regista em seu nome, e você é o titular. Nesta lição, analisamos essa cadeia com os olhos de um atacante.

O titular está correto?

O titular é o proprietário legal. Se aí constar o seu criador de sites, um ex-colaborador ou uma empresa que já não existe, em caso de conflito ou insolvência será difícil provar que o domínio é seu. Por isso, verifique:

• a sua empresa está registada como titular, com o nome correto?
• o endereço de e-mail do titular está acessível e não se encontra no próprio domínio? Se example.com expirar, o aviso para info@example.com poderá já não chegar. Utilize um segundo endereço, por exemplo, noutro domínio;
• responde a pedidos legítimos para confirmar os seus dados? Para muitas extensões, a ICANN exige que o endereço de e-mail do titular seja confirmado. Se não o fizer, o domínio pode ser suspenso.

Expiração: o risco mais aborrecido e mais frequente

Os domínios perdem-se mais frequentemente por um cartão de crédito expirado, uma fatura que chegou a um colaborador que já saiu, ou uma mudança de fornecedor em que ninguém se lembrou do domínio. O que acontece depois varia consoante a extensão:

Depois disso, qualquer pessoa o pode registar. Existem entidades que registam automaticamente domínios que ficam disponíveis, precisamente porque ainda têm tráfego. Se o novo proprietário configurar um catch-all no e-mail, receberá tudo o que os seus clientes e fornecedores continuarem a enviar para os seus antigos endereços, incluindo e-mails de recuperação de palavra-passe.

Proteção:

• ative a renovação automática e mantenha os dados de pagamento atualizados;
• registe todos os domínios numa lista, incluindo os domínios que tem "só por precaução";
• não cancele sem mais um domínio antigo que alguma vez usou para e-mail. Mantenha-o e proteja-o como domínio sem e-mail ativo (lição 4.1).

Sequestro: a sua conta na entidade registadora e o código de transferência

O caminho mais rápido para um domínio passa pela conta junto da sua entidade registadora. Quem aí iniciar sessão pode alterar os servidores de nomes e, assim, redirecionar de uma só vez o seu site e o seu e-mail. Trate, por isso, essa conta como uma das mais importantes:

• ative a autenticação de dois fatores (módulo 2);
• apenas pessoas com conta própria e as permissões de que necessitam (lição 7.1). O seu criador de sites deverá, de preferência, ter acesso apenas ao DNS, não à conta inteira;
• esteja atento a phishing relacionado com o seu domínio. "O seu domínio expira hoje, pague aqui" ou "confirme os seus dados junto da ICANN" é um truque conhecido. Nunca clique na ligação, inicie sessão diretamente junto da sua entidade registadora.

Um código de transferência (também chamado código de autorização, código EPP ou token) é necessário para transferir um domínio para outra entidade registadora. Veja esse código como uma chave: só o deve pedir quando for você a transferir, partilhe-o apenas com a nova entidade registadora e fique imediatamente alerta se receber uma confirmação de transferência que não esperava.

Existem ainda bloqueios:

• Um registrar-lock define o estado clientTransferProhibited (muitas vezes em conjunto com clientDeleteProhibited e clientUpdateProhibited). O registry recusa, então, uma transferência até que você ou a sua entidade registadora removam o bloqueio. Para .com e extensões semelhantes, isto é habitual; a ICANN recomenda-o.
• Um registry lock vai mais longe: as alterações só são aplicadas junto do próprio registry após uma verificação manual adicional junto do titular. Para .nl, esse serviço chama-se .nl Control. Destina-se sobretudo a grandes marcas e tem um custo adicional; para a maioria das pequenas empresas, a 2FA e uma conta bem gerida junto da entidade registadora já são suficientes.

Registos pendentes e sequestro de subdomínio

Este é o risco menos conhecido e o mais traiçoeiro. Um exemplo prático (anonimizado):

A Padaria Example teve, de 2021 a 2024, uma loja online em winkel.example.com, com um registo CNAME a apontar para bakkerij-example.webwinkelplatform.example, e em 2024 a padaria mudou de plataforma e cancelou a subscrição. O registo CNAME permaneceu. Um ano depois, outra pessoa criou, na mesma plataforma, uma loja com o nome agora disponível bakkerij-example. A partir desse momento, winkel.example.com mostrava uma loja falsa, com um certificado válido e em nome da padaria.

Um registo pendente (dangling DNS) é um registo DNS que aponta para algo que já não gere: um serviço cancelado, um servidor na nuvem eliminado, um endereço IP que, entretanto, foi atribuído a outra entidade. Se outra pessoa conseguir reclamar esse destino, chama-se sequestro de subdomínio (subdomain takeover). O atacante obtém um subdomínio seu e, com ele, pode alojar páginas de phishing com um aspeto totalmente genuíno, por vezes até lendo cookies do seu domínio principal.

Proteção:

1. Cancelar = primeiro remover o registo DNS, só depois cancelar o serviço. Inclua isto no seu procedimento de saída de serviços.
2. Reveja toda a sua zona DNS uma vez por ano. Se não souber para que serve um registo, descubra. Antes de remover algo, faça uma cópia de segurança da zona.
3. Seja especialmente cauteloso com wildcards (*.example.com) que apontem para um serviço externo.

DNSSEC e CAA: fechaduras extra

O DNSSEC coloca uma assinatura digital nas respostas do seu DNS, para que um resolver possa verificar que são autênticas e não foram falsificadas pelo caminho. Para .nl, está ativado por predefinição em muitos fornecedores. Protege contra respostas DNS falsificadas, não contra uma conta de entidade registadora comprometida. Encontra uma explicação em linguagem simples na lição 8.1 do curso de DNS.

O CAA é um registo DNS no qual define quais as autoridades de certificação que podem emitir um certificado para o seu domínio (RFC 8659). Sem CAA, qualquer emissor de confiança o pode fazer. Com CAA, dificulta a um atacante a obtenção de um certificado para o seu nome noutro local. Se definir o CAA, inclua o emissor utilizado pelo seu fornecedor de alojamento, caso contrário o seu próprio certificado deixará de poder ser renovado. Mais informação na lição 5.2 do curso de DNS.

Na prática: é assim que se apresenta

O estado e a data de expiração do seu domínio podem ser consultados nos dados de registo públicos (RDAP, o sucessor do whois). Um domínio .com mostra, por exemplo:

Status:     client delete prohibited, client transfer prohibited, client update prohibited
Registratie: 2019-03-01
Verloopt:   2027-03-01
DNSSEC:     ja

Nem todos os registries mostram uma data de expiração: a SIDN (.nl) não a mostra para .nl no RDAP. Nesse caso, consulte a sua entidade registadora. Na WebOké, a expiração, a renovação automática, a quarentena, o DNSSEC e o CAA aparecem em conjunto no cartão Domínio / Saúde do e-mail da página do domínio em O meu WebOké, e nas definições de DNS existe um botão para criar uma cópia de segurança da sua zona. Noutros fornecedores, o funcionamento é semelhante.

Resumo

• Quem gere o seu domínio recebe o seu e-mail e pode, assim, recuperar a sua palavra-passe em qualquer lado.
• Mantenha os dados do titular corretos, utilize um endereço de titular fora do próprio domínio e ative a renovação automática.
• Proteja a sua conta na entidade registadora com 2FA e contas próprias; veja o código de transferência como uma chave; um registrar-lock bloqueia transferências indesejadas.
• Ao cancelar um serviço, remova primeiro o registo DNS; reveja a sua zona anualmente contra registos pendentes.
• O DNSSEC protege contra respostas DNS falsificadas, o CAA limita quem pode emitir certificados para o seu domínio.

Questionário

Exercício

Exercício A4.3: Verificar a proteção do seu domínio. Introduza o seu próprio nome de domínio (se não tiver nenhum, utilize sidn.nl). O programa obtém o estado e a data de expiração junto do registry (RDAP) e verifica o DNSSEC e o CAA. Recebe, por ponto, verde, laranja ou vermelho, ou uma mensagem informativa.

Exercício D4.3: Lista de domínios e verificação da zona. Faça uma lista de todos os seus domínios com entidade registadora, titular, expiração e quem tem acesso. Depois, reveja a zona DNS do seu domínio principal e descubra para que serve cada registo.

Para saber mais

Os passos descritos nos artigos da WebOké aplicam-se ao ambiente da WebOké; noutros fornecedores, o funcionamento é semelhante.

• E-mails da ICANN ou do registo sobre o seu domínio: verdadeiras ou falsas, e o que deve fazer?
• Manual do WebOké 5.17: Saúde do domínio e e-mail: verificar e resolver
• Fazer e restaurar uma cópia de segurança do seu DNS
• Saúde pública do domínio: https://www.weboke.nl/pt/saude-do-dominio
• Curso de DNS, lições 1.3 (registry, entidade registadora e titular), 5.2 (CAA) e 8.1 (DNSSEC): https://www.weboke.nl/pt/dns-cursus
• ICANN, códigos de estado EPP explicados (em inglês): https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en
• SIDN (.nl), cancelar o seu nome de domínio e quarentena: https://www.sidn.nl/en/nl-domain-name/cancelling-your-domain-name
• MDN, sequestro de subdomínio (em inglês): https://developer.mozilla.org/en-US/docs/Web/Security/Subdomain_takeovers