Beskyt dit domænenavn

Modul 4: E-mail, website og domæne · Læsetid: 11 minutter

Læringsmål: Efter denne lektion kan du beskytte dit domænenavn mod udløb, kapring og forkerte DNS-poster, og tjekke status, udløb, DNSSEC og CAA for dit eget domæne.
Nøglebegreber: registrar, indehaver, udløbet, karantæne, flyttekode, registrar-lock, registry lock, 2FA hos registraren, DNSSEC, CAA, hængende post (dangling DNS), subdomænekapring

Den der har dit domæne, har din mail

Dit domænenavn virker som en lille detalje: en årlig regning og et par indstillinger. Men næsten alt hænger sammen med det. Din website, dine mailadresser, og dermed også knappen "glemt adgangskode" på alle dine andre konti: dit bogføringssystem, din bank, din webshop-platform, dine sociale medier. Den der får kontrol over example.com, kan modtage mail til info@example.com og dermed nulstille din adgangskode alle steder.

Et domæne kan mistes eller misbruges på tre måder:

1. det udløber, og en anden registrerer det;
2. nogen kaprer det via din konto hos registraren eller via en forfalsket flytning;
3. en glemt DNS-post peger på noget du ikke længere styrer.

I DNS-kurset (lektion 1.3) lærte du, hvem der styrer hvad: registryen administrerer endelsen (SIDN for .nl), registraren registrerer på dine vegne, og du er indehaveren. I denne lektion ser vi på den kæde med en angribers øjne.

Stemmer indehaveren?

Indehaveren er den juridiske ejer. Står din webbygger, en tidligere medarbejder eller et firma der ikke længere eksisterer der, kan du ved en konflikt eller konkurs have svært ved at bevise, at domænet er dit. Tjek derfor:

• er din virksomhed registreret som indehaver, med det rigtige navn?
• er indehaverens e-mailadresse tilgængelig, og ligger den ikke på selve domænet? Udløber example.com, når advarslen til info@example.com måske ikke længere frem. Brug en anden adresse, for eksempel på et andet domæne.
• reagerer du på rigtige anmodninger om at bekræfte din adresse? For mange endelser kræver ICANN, at indehaverens e-mailadresse bekræftes. Gør du ikke det, kan domænet blive suspenderet.

Udløbet: den kedeligste og mest almindelige risiko

Domæner går oftest tabt på grund af et udløbet kreditkort, en regning der endte hos en kollega der er stoppet, eller et skift hvor ingen tænkte på domænet. Hvad der sker bagefter, afhænger af endelsen:

Derefter kan en anden registrere det. Der findes aktører der automatisk registrerer domæner, der bliver ledige, netop fordi der stadig er trafik på dem. Sætter den nye ejer en catch-all op på mailen, modtager han alt hvad dine kunder og leverandører stadig sender til dine gamle adresser, inklusive mails om nulstilling af adgangskode.

Beskyttelse:

• slå automatisk fornyelse til, og hold betalingsoplysningerne opdaterede;
• før en liste over alle dine domæner, også dem du har "bare for en sikkerheds skyld";
• opsig ikke bare et gammelt domæne, du engang brugte til mail. Behold det, og beskyt det som et domæne uden mail (lektion 4.1).

Kapring: din registrarkonto og flyttekoden

Den hurtigste vej til et domæne går via kontoen hos din registrar. Den der logger ind der, kan ændre nameservere og dermed omdirigere din website og mail på én gang. Behandl derfor den konto som en af dine vigtigste:

• totrinsbekræftelse slået til (modul 2);
• kun personer med en egen konto og de rettigheder de har brug for (lektion 7.1). Din webbygger bør helst kun have adgang til DNS'en, ikke til hele kontoen;
• vær opmærksom på phishing om dit domæne. "Dit domæne udløber i dag, betal her" eller "bekræft dine oplysninger hos ICANN" er et velkendt trick. Klik aldrig på linket, men log selv ind hos din registrar.

En flyttekode (også kaldet autorisationskode, EPP-kode eller token) er nødvendig for at flytte et domæne til en anden registrar. Betragt den kode som en nøgle: bed kun om den, når du selv flytter, del den kun med den nye registrar, og vær straks på vagt hvis du får en flyttebekræftelse, du ikke forventer.

Derudover findes der låse:

• En registrar-lock sætter statussen clientTransferProhibited (ofte sammen med clientDeleteProhibited og clientUpdateProhibited). Registryen afviser så en flytning, indtil du eller din registrar fjerner låsen. For .com og lignende endelser er dette almindeligt; ICANN anbefaler det.
• En registry lock går videre: ændringer bliver hos selve registryen først gennemført efter en ekstra, manuel kontrol hos indehaveren. For .nl hedder den tjeneste .nl Control. Den er primært beregnet til store mærker og koster ekstra; for de fleste små virksomheder er 2FA og en godt administreret registrarkonto nok.

Hængende poster og subdomænekapring

Dette er den mindst kendte risiko og den mest lumske. Et praksiseksempel (anonymiseret):

Bageriet Example havde fra 2021 til 2024 en webshop på winkel.example.com, med en CNAME-post der pegede på bakkerij-example.webwinkelplatform.example, og i 2024 skiftede bageriet og opsagde abonnementet. CNAME-posten blev stående. Et år senere oprettede en anden en butik hos samme platform under det ledige navn bakkerij-example. Fra det øjeblik viste winkel.example.com en falsk butik, med et gyldigt certifikat og under bageriets navn.

En hængende post (dangling DNS) er en DNS-post der peger på noget, du ikke længere styrer: en opsagt tjeneste, en slettet cloudserver, en IP-adresse der i mellemtiden er udstedt til en anden. Kan en anden gøre krav på det mål, kaldes det subdomænekapring (subdomain takeover). Angriberen får et subdomæne under dit navn og kan bruge det til at hoste phishingsider, der ser helt ægte ud, nogle gange kan de endda læse cookies fra dit hoveddomæne.

Beskyttelse:

1. Opsigelse = fjern først DNS-posten, opsig derefter tjenesten. Indfør det i din procedure for at afslutte tjenester.
2. Gennemgå hele din DNS-zone én gang om året. Ved du ikke, hvad en post er til, så find ud af det. Tag en backup af zonen, før du fjerner noget.
3. Vær ekstra forsigtig med wildcards (*.example.com) der peger på en ekstern tjeneste.

DNSSEC og CAA: ekstra låse

DNSSEC sætter en digital signatur på svarene fra din DNS, så en resolver kan kontrollere, at de er ægte og ikke er blevet forfalsket undervejs. For .nl er det slået til som standard hos mange udbydere. Det beskytter mod forfalskede DNS-svar, ikke mod en overtaget registrarkonto. Forklaring i almindeligt sprog findes i lektion 8.1 i DNS-kurset.

CAA er en DNS-post, hvor du angiver, hvilke certifikatmyndigheder der må udstede et certifikat til dit domæne (RFC 8659). Uden CAA må enhver godkendt udsteder gøre det. Med CAA gør du det sværere for en angriber at få et certifikat til dit navn et andet sted. Sætter du CAA op, så medtag den udsteder din hostingudbyder bruger, ellers kan dit eget certifikat ikke længere fornyes. Mere i lektion 5.2 i DNS-kurset.

I praksis: sådan ser det ud

Status og udløb for dit domæne kan du se i de offentlige registreringsoplysninger (RDAP, efterfølgeren til whois). Et .com-domæne viser for eksempel:

Status:     client delete prohibited, client transfer prohibited, client update prohibited
Registrering: 2019-03-01
Udløber:    2027-03-01
DNSSEC:     ja

Ikke alle registries viser en udløbsdato: SIDN viser den ikke for .nl i RDAP. Så kigger du hos din registrar. Hos WebOké står udløb, automatisk fornyelse, karantæne, DNSSEC og CAA samlet på kortet Domæne / Email sundhed på domænesiden i Mit WebOké, og i DNS-indstillingerne er der en knap til at tage en backup af din zone. Hos andre udbydere fungerer det på tilsvarende måde.

Opsummering

• Den der administrerer dit domæne, modtager din mail og kan dermed nulstille din adgangskode alle steder.
• Hold indehaveroplysningerne korrekte, brug en indehaveradresse uden for selve domænet, og slå automatisk fornyelse til.
• Beskyt din registrarkonto med 2FA og egne konti; betragt flyttekoden som en nøgle; en registrar-lock blokerer uønskede flytninger.
• Fjern DNS-posten først, når du opsiger en tjeneste; gennemgå din zone årligt for hængende poster.
• DNSSEC beskytter mod forfalskede DNS-svar, CAA begrænser hvem der må udstede certifikater til dit domæne.

Quiz

Opgave

Opgave A4.3: Kontrollér beskyttelsen af dit domæne. Indtast dit eget domænenavn (har du ikke et, så brug sidn.nl). Programmet henter status og udløbsdato hos registryen (RDAP) og tjekker DNSSEC og CAA. Du får grøn, orange eller rød for hvert punkt, eller en informativ besked.

Opgave D4.3: Domæneliste og zonekontrol. Lav en liste over alle dine domæner med registrar, indehaver, udløb og hvem der har adgang. Gennemgå derefter DNS-zonen for dit hoveddomæne, og find ud af hvad hver post er til.

Læs mere

Trinene i WebOké-artiklerne gælder for WebOkés eget miljø; hos andre udbydere fungerer det på tilsvarende måde.

• Mails fra ICANN eller registry om dit domæne: ægte eller falske, og hvad skal du gøre?
• WebOké vejledning 5.17: Domæne og mailens sundhed: kontrollér og ret problemer
• Lav en backup af din DNS, og gendan den
• Offentlig domænesundhed: https://www.weboke.dk/domaenets-sundhed
• DNS-kursus, lektionerne 1.3 (registry, registrar og indehaver), 5.2 (CAA) og 8.1 (DNSSEC): https://www.weboke.dk/dns-cursus
• ICANN, EPP-statuskoder forklaret (engelsk): https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en
• SIDN, ophævelse af dit domænenavn og karantæne: https://www.sidn.nl/en/nl-domain-name/cancelling-your-domain-name
• MDN, subdomænekapring (engelsk): https://developer.mozilla.org/en-US/docs/Web/Security/Subdomain_takeovers