Je domeinnaam beschermen

Module 4: E-mail, website en domein · Leestijd: 11 minuten

Leerdoel: Na deze les kun je je domeinnaam beschermen tegen verlopen, kaping en verkeerde DNS-records, en de status, het verloop, DNSSEC en CAA van je eigen domein controleren.
Kernbegrippen: registrar, houder, verlopen, quarantaine, verhuiscode, registrar-lock, registry lock, 2FA bij de registrar, DNSSEC, CAA, zwevend record (dangling DNS), subdomeinkaping

Wie je domein heeft, heeft je mail

Je domeinnaam lijkt een klein onderdeel: een jaarlijkse factuur en een paar instellingen. Maar bijna alles hangt eraan. Je website, je mailadressen, en daarmee ook de knop "wachtwoord vergeten" van al je andere accounts: je boekhoudpakket, je bank, je webwinkelplatform, je social media. Wie de controle over example.com krijgt, kan mail voor info@example.com ontvangen en daarmee overal je wachtwoord opnieuw instellen.

Een domein kan op drie manieren kwijtraken of misbruikt worden:

1. het verloopt en iemand anders registreert het;
2. iemand kaapt het via je account bij de registrar of via een vervalste verhuizing;
3. een vergeten DNS-record wijst naar iets wat jij niet meer beheert.

In de DNS-cursus (les 1.3) leerde je wie wat regelt: de registry beheert de extensie (SIDN voor .nl), de registrar registreert namens jou, en jij bent de houder. In deze les kijken we met de ogen van een aanvaller naar die keten.

Klopt de houder?

De houder is de juridische eigenaar. Staat daar je webbouwer, een oud-medewerker of een bedrijf dat niet meer bestaat, dan kun je bij een conflict of faillissement moeilijk aantonen dat het domein van jou is. Controleer daarom:

• staat jouw bedrijf als houder geregistreerd, met de juiste naam?
• is het e-mailadres van de houder bereikbaar, en ligt het niet op het domein zelf? Verloopt example.com, dan komt de waarschuwing op info@example.com misschien niet meer aan. Gebruik een tweede adres, bijvoorbeeld op een ander domein.
• reageer je op echte verzoeken om je adres te bevestigen? Voor veel extensies eist ICANN dat het e-mailadres van de houder wordt bevestigd. Doe je dat niet, dan kan het domein worden geschorst.

Verlopen: het saaiste en meest voorkomende risico

Domeinen gaan het vaakst verloren door een verlopen creditcard, een factuur die bij een vertrokken collega binnenkwam of een overstap waarbij niemand aan het domein dacht. Wat er daarna gebeurt, verschilt per extensie:

Daarna kan iemand anders het registreren. Er bestaan partijen die vrijkomende domeinen automatisch registreren, juist omdat er nog verkeer op zit. Zet de nieuwe eigenaar een catch-all op de mail, dan ontvangt hij alles wat jouw klanten en leveranciers nog naar je oude adressen sturen, inclusief wachtwoordherstelmails.

Bescherming:

• zet automatisch verlengen aan en hou de betaalgegevens actueel;
• leg alle domeinen vast in een lijst, ook de domeinen die je "alleen voor de zekerheid" hebt;
• zeg een oud domein dat je ooit voor mail gebruikte niet zomaar op. Hou het, en beveilig het als niet-mailend domein (les 4.1).

Kaping: je registraraccount en de verhuiscode

De snelste weg naar een domein loopt via het account bij je registrar. Wie daar inlogt, kan de nameservers veranderen en daarmee in één keer je website en mail omleiden. Behandel dat account dus als een van je belangrijkste:

• tweestapsverificatie aan (module 2);
• alleen mensen met een eigen account en de rechten die ze nodig hebben (les 7.1). Je webbouwer krijgt bij voorkeur toegang tot de DNS, niet tot het hele account;
• let op phishing over je domein. "Je domein verloopt vandaag, betaal hier" of "bevestig je gegevens bij ICANN" is een bekende truc. Ga nooit via de link, maar log zelf in bij je registrar.

Een verhuiscode (ook autorisatiecode, EPP-code of token) is nodig om een domein naar een andere registrar te verhuizen. Zie die code als een sleutel: vraag hem alleen op als je zelf verhuist, deel hem alleen met de nieuwe registrar, en wees direct alert als je een verhuisbevestiging krijgt die je niet verwacht.

Daarnaast bestaan er vergrendelingen:

• Een registrar-lock zet de status clientTransferProhibited (vaak samen met clientDeleteProhibited en clientUpdateProhibited). De registry weigert dan een verhuizing tot jij of je registrar de lock eraf haalt. Bij .com en vergelijkbare extensies is dit gebruikelijk; ICANN raadt het aan.
• Een registry lock gaat verder: wijzigingen worden bij de registry zelf pas doorgevoerd na een extra, handmatige controle bij de houder. Voor .nl heet die dienst .nl Control. Die is vooral bedoeld voor grote merken en kost extra; voor de meeste kleine bedrijven zijn 2FA en een goed beheerd registraraccount genoeg.

Zwevende records en subdomeinkaping

Dit is het minst bekende risico en het meest verraderlijke. Een praktijkvoorbeeld (geanonimiseerd):

Bakkerij Example had van 2021 tot 2024 een webwinkel op winkel.example.com, met een CNAME-record naar bakkerij-example.webwinkelplatform.example, en in 2024 stapte de bakkerij over en zegde het abonnement op. Het CNAME-record bleef staan. Een jaar later maakte iemand anders bij hetzelfde platform een winkel aan onder de vrijgekomen naam bakkerij-example. Vanaf dat moment toonde winkel.example.com een nepwinkel, met een geldig certificaat en onder de naam van de bakkerij.

Een zwevend record (dangling DNS) is een DNS-record dat wijst naar iets wat je niet meer beheert: een opgezegde dienst, een verwijderde cloudserver, een IP-adres dat inmiddels aan een ander is uitgegeven. Kan een ander dat doel claimen, dan heet het subdomeinkaping (subdomain takeover). De aanvaller krijgt een subdomein van jou, en kan daarmee phishingpagina's hosten die er volledig echt uitzien, soms zelfs cookies van je hoofddomein lezen.

Bescherming:

1. Opzeggen = eerst het DNS-record weghalen, daarna de dienst opzeggen. Zet dat in je vertrekprocedure voor diensten.
2. Loop één keer per jaar je hele DNS-zone na. Weet je van een record niet waar het voor is, zoek het uit. Maak voor je iets weghaalt een back-up van de zone.
3. Wees extra zuinig met wildcards (*.example.com) die naar een externe dienst wijzen.

DNSSEC en CAA: extra sloten

DNSSEC zet een digitale handtekening op de antwoorden van je DNS, zodat een resolver kan controleren dat ze echt zijn en onderweg niet zijn vervalst. Voor .nl is het bij veel aanbieders standaard aan. Het beschermt tegen vervalste DNS-antwoorden, niet tegen een overgenomen registraraccount. Uitleg in gewone taal staat in les 8.1 van de DNS-cursus.

CAA is een DNS-record waarin je zet welke certificaatautoriteiten een certificaat voor je domein mogen uitgeven (RFC 8659). Zonder CAA mag elke vertrouwde uitgever dat. Met CAA maak je het een aanvaller moeilijker om ergens anders een certificaat voor je naam te krijgen. Zet je CAA, neem dan wel de uitgever op die je hostingpartij gebruikt, anders kan je eigen certificaat niet meer worden verlengd. Meer in les 5.2 van de DNS-cursus.

In de praktijk: zo ziet het eruit

De status en het verloop van je domein zie je in de openbare registratiegegevens (RDAP, de opvolger van whois). Een .com-domein laat bijvoorbeeld zien:

Status:     client delete prohibited, client transfer prohibited, client update prohibited
Registratie: 2019-03-01
Verloopt:   2027-03-01
DNSSEC:     ja

Niet elke registry toont een verloopdatum: SIDN laat die voor .nl niet zien in RDAP. Dan kijk je bij je registrar. Bij WebOké staan verloop, automatische verlenging, quarantaine, DNSSEC en CAA samen op de kaart Domein / Email gezondheid op de domeinpagina in Mijn WebOké, en in de DNS-instellingen staat een knop om een back-up van je zone te maken. Bij andere aanbieders werkt het vergelijkbaar.

Samenvatting

• Wie je domein beheert, ontvangt je mail en kan daarmee overal je wachtwoord herstellen.
• Hou de houdergegevens juist, gebruik een houderadres buiten het domein zelf en zet automatisch verlengen aan.
• Bescherm je registraraccount met 2FA en eigen accounts; zie de verhuiscode als een sleutel; een registrar-lock blokkeert ongewenste verhuizingen.
• Haal bij het opzeggen van een dienst eerst het DNS-record weg; loop je zone jaarlijks na tegen zwevende records.
• DNSSEC beschermt tegen vervalste DNS-antwoorden, CAA beperkt wie certificaten voor je domein mag uitgeven.

Quiz

Opdracht

Opdracht A4.3: De bescherming van je domein controleren. Vul je eigen domeinnaam in (heb je er geen, gebruik dan sidn.nl). Het programma haalt de status en de verloopdatum op bij de registry (RDAP) en controleert DNSSEC en CAA. Je krijgt per punt groen, oranje of rood, of een informatieve melding.

Opdracht D4.3: Domeinlijst en zonecontrole. Maak een lijst van al je domeinen met registrar, houder, verloop en wie toegang heeft. Loop daarna de DNS-zone van je hoofddomein na en zoek bij elk record uit waar het voor is.

Verder lezen

De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• Mails van ICANN of de registry over je domein: echt of nep, en wat moet je doen?
• WebOké handleiding 5.17: Domein en e-mail gezondheid: controleren en herstellen
• Een backup van je DNS maken en terugzetten
• Openbare domeingezondheid: https://www.weboke.nl/domein-gezondheid
• DNS-cursus, lessen 1.3 (registry, registrar en houder), 5.2 (CAA) en 8.1 (DNSSEC): https://www.weboke.nl/dns-cursus
• ICANN, EPP-statuscodes uitgelegd (Engels): https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en
• SIDN, je domeinnaam opheffen en quarantaine: https://www.sidn.nl/en/nl-domain-name/cancelling-your-domain-name
• MDN, subdomeinkaping (Engels): https://developer.mozilla.org/en-US/docs/Web/Security/Subdomain_takeovers