Hoe bescherm je een domein tegen overname?
Auteur: Redactie Domeny.ForSale Gepubliceerd Bijgewerkt
In het kort: De belangrijkste maatregelen om een domein te beveiligen zijn sterke authenticatie voor het account bij de registrar, een transferblokkade, controle van de houdergegevens en tijdige verlenging. Bescherm ook de mailbox waarmee je de toegang herstelt: als die wordt overgenomen, kan een aanvaller mogelijk de domeininstellingen wijzigen. Binnen een bedrijf moet de organisatie de toegang beheren, niet uitsluitend een medewerker of extern bureau.
Wat kan er precies worden overgenomen?
Een domein wordt beheerd via een registrar: een bedrijf waar je een domeinnaam kunt registreren, verlengen en configureren. Een domeinovername kan bestaan uit een ongeoorloofde verhuizing naar een andere registrar, een wijziging van de domeinhouder of het vervangen van de DNS-servers, waardoor gebruikers naar de website en maildiensten van de aanvaller worden geleid.
Niet elk probleem met een website betekent dat het domein is overgenomen. Een hostingstoring, een onjuist certificaat of een besmetting van het CMS kan de website onbruikbaar maken, terwijl de domeingegevens ongewijzigd blijven. Controleer bij het onderzoeken van een probleem daarom afzonderlijk het registraraccount, de DNS-configuratie, de hosting en de e-mail.
Beveilig het registraraccount en de gekoppelde e-mail
Schakel multifactorauthenticatie in, ook wel MFA of 2FA genoemd. Daarmee is naast een wachtwoord een extra bevestiging nodig, bijvoorbeeld een code uit een authenticatie-app of een fysieke beveiligingssleutel. Als de registrar meerdere methoden aanbiedt, zijn een app of fysieke beveiligingssleutel meestal veiliger dan een SMS-code. Elke extra beveiligingslaag is echter beter dan alleen een wachtwoord.
Stel een uniek, lang wachtwoord in en bewaar het in een wachtwoordmanager. Gebruik niet hetzelfde wachtwoord voor de registrar, hosting en e-mail. Bewaar de MFA-herstelcodes op een plek die niet toegankelijk is vanuit het account dat je beveiligt.
Het e-mailaccount waarmee je het wachtwoord kunt resetten, verdient extra bescherming. Zorg dat het eigen MFA en actuele herstelmethoden heeft. Gebruik bij voorkeur geen mailbox die uitsluitend werkt via het domein dat je beveiligt: een storing in de DNS van dat domein kan het herstellen van de toegang dan bemoeilijken.
Voorbeeld: een bedrijf gebruikt het adres admin (at) bedrijf.pl om de toegang tot het domein bedrijf.pl te herstellen. Na een onjuiste wijziging in de DNS werkt de e-mail niet meer, waardoor herstelberichten niet aankomen. Een onafhankelijk beheeradres dat goed beveiligd is en onder controle van het bedrijf staat, beperkt dit probleem.
Schakel blokkades in en bescherm de transfergegevens
Een transferblokkade maakt het moeilijker om een domein naar een andere registrar te verhuizen zonder het eerst te ontgrendelen. De naam van deze functie verschilt per aanbieder en domeinextensie; je kunt termen tegenkomen als transfer lock, registrar lock of een blokkade voor wijzigingen. Controleer in het beheerpaneel welke wijzigingen de functie precies tegenhoudt.
Behandel de autorisatiecode voor een verhuizing, vaak AuthInfo of AuthCode genoemd, als een wachtwoord. Deel deze niet via gewone correspondentie, openbaar toegankelijke documenten of een ticketsysteem waar veel mensen toegang toe hebben. Controleer na afloop van de verhuizing of de aanbieder je een nieuwe code laat genereren.
Voor domeinen met een hoge zakelijke waarde kun je een uitgebreidere blokkade voor wijzigingen overwegen, soms aangeboden als registry lock. Om die op te heffen is een aanvullende, vaak handmatige verificatie nodig. De beschikbaarheid, de reikwijdte van de bescherming, de noodprocedure en de prijs hangen af van de registrar en het register van de betreffende extensie. Vraag deze informatie daarom rechtstreeks bij de aanbieder na.
Let op verlenging, DNS en meldingen
Een domein gaat niet altijd verloren door een aanval. Ook een gemiste verlenging, een verlopen betaalkaart of berichten die naar een ongebruikt adres worden gestuurd, kunnen de oorzaak zijn. Schakel automatische verlenging in, maar vertrouw daar niet volledig op: controleer de vervaldatum en stel ruim op tijd een onafhankelijke herinnering in.
Schakel meldingen in voor aanmeldingen, wachtwoordwijzigingen, wijzigingen van houdergegevens en DNS-servers en pogingen tot verhuizing, als de aanbieder die meldingen ondersteunt. Controleer na een waarschuwing wat er is gebeurd door zelf naar het beheerpaneel te gaan, niet via een link in het bericht. Valse verzoeken om een domein te verlengen worden vaak gebruikt voor phishing.
Met DNSSEC kan de ontvanger de authenticiteit van DNS-antwoorden controleren. Dit verkleint het risico dat die antwoorden onderweg worden vervalst. Het beschermt het registraraccount echter niet tegen wachtwoorddiefstal en voorkomt ook niet dat het domein verloopt. Voor de invoering is een juiste configuratie nodig bij zowel de DNS-aanbieder als de registrar; onjuiste records kunnen diensten onbereikbaar maken.
Regel het houderschap en de toegang binnen het bedrijf
De houdergegevens moeten de juiste persoon of organisatie vermelden, volgens de regels van het betreffende register. Een bedrijf moet een cruciaal domein niet op het privéaccount van een medewerker, zakenpartner of opdrachtnemer laten staan. Vraag de registrar voor de betreffende extensie naar de actuele eisen voor de gegevens en de procedure voor een wijziging van de domeinhouder.
Beperk het aantal beheerders en trek de toegang direct in wanneer iemands rol verandert of de samenwerking eindigt. Je kunt elk kwartaal een korte controle uitvoeren: loop de beheerders, MFA, het hersteladres, de transferblokkade, de verlengingsdatum, de DNS-servers en de recente handelingen na.
Wat doe je als je een verdachte wijziging ontdekt?
Gebruik eerst een vertrouwd apparaat, wijzig de wachtwoorden voor de e-mail en de registrar en trek actieve sessies in. Neem vervolgens via het officiële noodkanaal contact op met de registrar en vraag om wijzigingen te blokkeren en de wijzigingsgeschiedenis te bewaren. Bewaar berichten, waarschuwingen, ticketnummers en schermafbeeldingen, zonder de sporen van het incident onnodig te veranderen.
Als de DNS is gewijzigd, leg dan de huidige waarden vast voor analyse voordat je de configuratie herstelt. Controleer nadat je de controle hebt teruggekregen ook de e-mail, certificaten, omleidingen en accounts bij diensten waarvan de wachtwoorden via e-mailadressen op dit domein kunnen worden gereset.
Een praktische volgende stap: log vandaag in op het beheerpaneel van je registrar en controleer vier zaken: MFA, de transferblokkade, het hersteladres en de verlengingsdatum.
Zie ook: DNSSEC — is extra beveiliging van je domein de moeite waard?
Lees ook
