Beskyt dit domænenavn: udløb, flyttekode, transfer-lock og glemte DNS-records

Den, der administrerer dit domænenavn, modtager også mailen på det domæne. Og med den mail kan vedkommende klikke på "glemt adgangskode" på næsten alle dine andre konti: dit regnskab, din bank, din webshop, dine sociale medier. Derfor er dit domænenavn noget af det vigtigste, du har. I denne artikel kan du læse, hvordan du beskytter det mod udløb, kapring og glemte DNS-records, og hvad du skal sætte op i Mit WebOké for at gøre det.

Lad ikke dit domæne udløbe

Domæner går oftest tabt, fordi de ikke bliver fornyet i tide, for eksempel på grund af et udløbet betalingskort eller en faktura, der landede hos en kollega, som er stoppet. Domænet går så offline og bliver efter et stykke tid ledigt for alle. Den, der registrerer det bagefter, modtager den mail, der stadig sendes til dine gamle adresser.

• Lad Fornyes årligt være slået til på domænesiden i Mit WebOké. Det er standard. Se Fornyelse og automatisk fornyelse.
• Betaler du dine fornyelsesfakturaer via automatisk betaling, kan en glemt faktura ikke koste dig dit domæne.
• Hold en liste over alle dine domæner, også dem, du kun har registreret for en sikkerheds skyld.
• Opsig ikke bare et gammelt domæne, som du engang brugte til mail. Behold det, og luk det af som et domæne, der ikke sender mail (se nedenfor).

Er det alligevel sket? Et .nl-domæne er i karantæne i 40 dage efter opsigelse. I den periode kan kun den sidste registrant få det tilbage. Hvordan det fungerer, også for andre domæneendelser, kan du læse i Få et udløbet eller opsagt domæne tilbage: karantæne og genoprettelsesperiode.

Tjek registranten og registrantens e-mailadresse

Registranten er domænets juridiske ejer. Står din webudvikler, en tidligere medarbejder eller en virksomhed, der ikke længere findes, som registrant, er det svært at bevise, at domænet er dit, hvis der opstår en tvist. Tjek derfor:

• at din virksomhed er registreret som registrant med det rigtige navn;
• at registrantens e-mailadresse virker, og at den ikke ligger på selve domænet. Virker mailen på dit domæne ikke længere, når advarsler om domænet heller ikke frem. Brug derfor en adresse på et andet domæne;
• at du har bekræftet e-mailadressen, hvis du er blevet bedt om det. For mange domæneendelser er det et krav. Gør du det ikke, kan domænet blive suspenderet. På kortet Domæne / E-mail sundhed på domænesiden kan du under Bekræftelse af registrant se, om det er lykkedes, og få bekræftelsesmailen sendt igen.

Får du en mail fra ICANN eller registryet om dit domæne? Læs så først Mails fra ICANN eller registryet om dit domæne: ægte eller falske, og hvad skal du gøre?. Den slags mails bliver også ofte forfalsket.

Beskyt din konto, flyttekoden og overførselslåsen

Den, der kommer ind på din konto i Mit WebOké, kan ændre dit domænes nameservere eller DNS og på den måde omdirigere din hjemmeside og din mail. Behandl derfor den konto som en af dine vigtigste:

• Slå totrinsbekræftelse til. Se Totrinsbekræftelse i Mit WebOké og opsætning af en authenticator-app.
• Log aldrig ind via et link i en mail om dit domæne ("dit domæne udløber i dag, betal her"). Gå selv til Mit WebOké. Se også Genkend phishing: sådan læser du et link og en afsender.

Flyttekoden (også kaldet EPP-kode eller autorisationskode) er nøglen til dit domæne: den, der har den, kan flytte domænet til en anden udbyder. Bed kun om den, hvis du selv flytter, og giv den kun til den udbyder, du flytter til. Får du en flyttebekræftelse, du ikke forventer, så kontakt os med det samme.

En transfer-lock (overførselslås) blokerer flytninger, som du ikke selv har bestilt: så længe låsen er slået til, afviser registryet flytningen. Du finder den på domænesiden i kortet Avanceret under Transfer-lock. Bliver du hos WebOké, så lad låsen være slået til. Ikke alle domæneendelser har en transfer-lock. Ved blandt andet .nl, .eu, .be og .nu er selve flyttekoden sikkerheden. Læs mere i Flyt et domæne væk: flyttekode (EPP) og overførselslås.

Ryd op i glemte DNS-records

Et svævende record er et DNS-record, der peger på noget, du ikke længere bruger: en opsagt webshop, en slettet server eller en tjeneste, du har forladt. Kan en anden overtage det mål, for eksempel ved at oprette en butik med samme navn på samme platform, viser dit subdomæne pludselig vedkommendes sider under dit navn. Det kaldes subdomænekapring.

• Opsiger du en tjeneste? Fjern så først det DNS-record, der peger på den, og opsig derefter tjenesten.
• Gå alle records igennem én gang om året i Mine domæner, fanen DNS. Ved du ikke, hvad et record bruges til, så find ud af det. Tag først en backup af din DNS, se Tag en backup af din DNS og gendan den.
• Vær sparsom med et wildcard-record (*), der peger på en ekstern tjeneste.

Et domæne, der ikke sender mail: luk det af

Har du et domæne, der aldrig sender eller modtager mail, som et varemærke, du kun har registreret, eller et gammelt domæne? Svindlere bruger gerne den slags domæner som afsender, fordi ingen holder øje med dem. Med tre records gør du det klart, at der ikke skal sendes mail til eller fra dette domæne:

MX    @        0 .
TXT   @        v=spf1 -all
TXT   _dmarc   v=DMARC1; p=reject

MX-recordet med 0 . (et null MX) fortæller, at der ikke modtages mail på dette domæne. -all fortæller, at ingen server må sende mail på vegne af domænet, og p=reject beder modtagere om at afvise mail, der alligevel bruger dette domæne som afsender. Gør det kun, hvis der virkelig ikke er nogen postkasser, videresendelser eller tjenester, der bruger domænet til mail.

De tre records opretter du selv i Mine domæner, fanen DNS. Vælg @ som navn for MX-recordet, 0 som prioritet, og skriv kun et punktum som mailserver. Kortet Domæne / E-mail sundhed genkender et null MX: ved MX står der så, at dette domæne bevidst ikke modtager mail. Mangler SPF- eller DMARC-recordet stadig, kan du også se det der.

Ekstra låse: DNSSEC og CAA

DNSSEC sætter en digital signatur på svarene fra din DNS, så ingen kan forfalske dem undervejs. Det beskytter ikke mod nogen, der logger ind på din konto. CAA er et DNS-record, der angiver, hvilke udstedere der må lave et certifikat til dit domæne. Opretter du et CAA-record, så tag også udstederen af det certifikat, du bruger nu, med. Ellers kan det certifikat ikke længere fornyes.

Om DNSSEC og CAA er sat rigtigt op for dit domæne, kan du se på kortet Domæne / E-mail sundhed på domænesiden eller med det offentlige værktøj Domænesundhed. Se også Domæne- og e-mailsundhed: tjek og ret fejl.

Vil du lære mere? Tag det gratis kursus Sikker online, lektion 4.3 Beskyt dit domænenavn.