Een domein dat niet beveiligd is, is een domein dat op een probleem wacht. Elk jaar raken merken de toegang tot hun domein kwijt door aanvallen die met een paar eenvoudige instellingen te voorkomen waren. De schade gaat verder dan een verloren webadres. Als iemand de controle over je domein krijgt, beheert hij je website, je e-mail, je zoekposities en het vertrouwen dat je bezoekers in je naam hebben. Domeinbeveiliging is niet één hulpmiddel of één instelling. Het is een combinatie van maatregelen die samen je domein moeilijk te kraken maken.
Wat omvat domeinbeveiliging?
Domeinbeveiliging is alles wat een domeinnaam beschermt tegen ongeautoriseerde toegang, ongeautoriseerde verhuizing en ongeautoriseerde wijzigingen. Het omvat drie gebieden.
Het eerste is accountbeveiliging. Dat gaat over het beschermen van je registrar-account, zodat niemand anders kan inloggen en wijzigingen kan doorvoeren. Het omvat sterke wachtwoorden, tweestapsverificatie en het goed afgeschermd houden van je contact-e-mailadres.
Het tweede is verhuisbescherming. Die voorkomt dat iemand je domein zonder jouw toestemming naar een andere registrar verhuist. Registrarvergrendeling en autorisatiecodes zijn hier de belangrijkste middelen.
Het derde is DNS-bescherming. Je DNS-records vertellen internet waar je website staat en waar je e-mail heen gaat. Wijzigt iemand die records, dan kan hij je verkeer omleiden zonder het domein zelf ooit te verhuizen.
De meeste mislukkingen in domeinbeveiliging komen doordat een van deze drie gebieden open is gelaten. Alle drie beveiligen is wat nodig is om je domein veilig te houden.
Wat zijn de grootste bedreigingen voor je domein?
Bedreigingen voor domeinen vallen in meerdere categorieën. Elke categorie richt zich op een andere zwakte en vraagt om een andere verdediging.
Domeinkaping
Bij kaping verhuist iemand je domein naar een andere registrar of verandert hij de eigendom naar zijn eigen account. Zodra de verhuizing klaar is, kun je het domein niet meer beheren, verlengen of ergens heen laten wijzen. Herstel gaat langzaam en lukt niet altijd. Voor een volledige uitleg van hoe kaping werkt en hoe je het voorkomt, behandelt het hoofdstuk over hoe je je domein beschermt tegen kaping elke stap.
Het wegkapen van verlopen domeinen
Als een domeinregistratie verloopt, gaat die in een respijtperiode en komt hij uiteindelijk beschikbaar voor iedereen die hem wil registreren. Aanvallers en domeinspeculanten houden verlopende domeinen actief in de gaten, vooral die met opgebouwd verkeer en backlinks. Op het moment dat een domein vrijkomt, registreren ze het. Dan betekent terugkrijgen onderhandelen met degene die hem heeft gepakt. Het hoofdstuk over het verlopen van een domein legt elke fase van het verlooptijdpad uit en wat er in elke fase gebeurt.
Phishingaanvallen op registrar-accounts
Dit is een van de meest voorkomende toegangspoorten. Een aanvaller stuurt een e-mail die lijkt te komen van je registrar. Daarin staat dat je domein bijna verloopt, dat er een verdachte login is gezien of dat je account geverifieerd moet worden. De link leidt naar een nep-inlogpagina. Vul je daar je gegevens in, dan heeft de aanvaller je gebruikersnaam en wachtwoord en kan hij inloggen op je echte account.
De verdediging is eenvoudig maar vraagt discipline. Klik nooit op inloglinks in e-mails. Ga altijd rechtstreeks naar de website van je registrar via je browser.
DNS-manipulatie
Bij DNS-manipulatie verandert de aanvaller waar je domein naar wijst zonder te veranderen wie de eigenaar is. Een aanvaller die toegang krijgt tot je registrar-account of je DNS-aanbieder kan je A-records, MX-records of nameservers wijzigen. Je websiteverkeer wordt naar een andere server gestuurd. Je e-mail wordt naar een inbox geleid die je niet beheert. Bezoekers zien een pagina die op de jouwe lijkt maar het niet is.
Het lastige is dat DNS-manipulatie uren of dagen onopgemerkt kan blijven als je je DNS-records niet actief in de gaten houdt. Tegen de tijd dat je het merkt, heeft de aanvaller misschien klantgegevens onderschept, inloggegevens vastgelegd of je reputatie beschadigd.
Social engineering
Sommige aanvallers slaan de technische aanpak helemaal over. Ze bellen de support van je registrar, doen zich voor als jou en vragen om de inloggegevens van het account te resetten. Zijn je WHOIS-gegevens openbaar zichtbaar, dan hebben ze al je naam, e-mailadres, telefoonnummer en adres om hun verhaal geloofwaardig te maken. Met genoeg persoonlijke details kunnen ze identiteitscontroles doorstaan die bedoeld waren om jou te beschermen.
Hoe beveilig je je domein met een registrarvergrendeling?
Registrarvergrendeling, ook wel verhuisvergrendeling genoemd, is een statusinstelling die voorkomt dat je domein naar een andere registrar wordt verhuisd. Staat de vergrendeling aan, dan wordt elk verhuisverzoek automatisch afgewezen. Het is de meest effectieve bescherming tegen ongeautoriseerde verhuizingen.
De meeste registrars bieden deze functie gratis aan. Sommige laten hem standaard uit, wat betekent dat je zelf moet inloggen en hem moet inschakelen. Je zet hem alleen uit als je het domein actief naar een nieuwe registrar verhuist, en je zet hem direct daarna weer aan.
Het volgende hoofdstuk behandelt domeinvergrendeling in detail, met de verschillende soorten vergrendeling en wanneer elk van toepassing is.
Waarom is tweestapsverificatie belangrijk voor domeinen?
Tweestapsverificatie (2FA) voegt een tweede verificatiestap toe als je inlogt op je registrar-account. Zelfs als een aanvaller je wachtwoord steelt via phishing of een datalek, komt hij er niet in zonder ook je tweede factor te beheersen.
Gebruik een authenticatie-app in plaats van sms-verificatie. Sms-codes kunnen worden onderschept via SIM-swapaanvallen, waarbij iemand je mobiele provider overhaalt je telefoonnummer over te zetten naar een apparaat dat hij beheert. Een authenticator-app is moeilijker te kraken.
Schakel 2FA in op je registrar-account en op het e-mailadres dat aan dat account is gekoppeld. Is een van beide onbeschermd, dan kan een aanvaller het als ingang gebruiken.
Hoe beschermt een sterk wachtwoord je domein?
Het wachtwoord van je registrar-account is de eerste barrière tussen een aanvaller en je domein. Is het kort, gangbaar of hergebruikt van een andere dienst, dan is die barrière in feite weg.
Aanvallers gebruiken geautomatiseerde tools die gelekte combinaties van gebruikersnaam en wachtwoord uit andere datalekken proberen op inlogpagina's van registrars. Heb je hetzelfde wachtwoord gebruikt op een forum dat drie jaar geleden is gehackt, dan loopt je registrar-account nu gevaar.
Gebruik een wachtwoordmanager om een willekeurig wachtwoord van minimaal 16 tekens te genereren. Bewaar het in de wachtwoordmanager. Schrijf het niet op, hergebruik het niet en gebruik geen variant van een wachtwoord dat je elders gebruikt.
Welke rol speelt WHOIS-privacy in domeinbeveiliging?
WHOIS-privacy vervangt je persoonlijke registratiegegevens in de openbare WHOIS-database door proxygegevens van je registrar. Je echte naam, e-mailadres, telefoonnummer en adres blijven verborgen voor iedereen die een openbare opzoeking doet.
Dit is belangrijk voor beveiliging, omdat elk stukje persoonlijke informatie dat een aanvaller kan vinden social engineering makkelijker maakt. Kent hij je naam, e-mailadres en adres, dan is zich voordoen als jou eenvoudig. WHOIS-privacy haalt die gegevens uit het openbaar zicht. Het hoofdstuk over domeinprivacy legt uit hoe het werkt en wie het aan moet hebben staan.
Moet je automatisch verlengen aanzetten?
Ja. Automatisch verlengen voorkomt dat je domein verloopt omdat je de verlengdatum bent vergeten of omdat een verlengmail in je spammap is beland. Een verlopen domein is een makkelijk doelwit. Aanvallers houden verloopdatabases in de gaten en registreren waardevolle domeinen zodra ze beschikbaar komen.
Zet automatisch verlengen aan op elk domein dat je bezit. Controleer dan of de betaalmethode die je hebt opgeslagen actueel is. Een mislukte betaling maakt automatisch verlengen nutteloos. Zet als reserve een herinnering in je agenda 60 dagen voor de verloopdatum. Mislukt automatisch verlengen om wat voor reden dan ook, dan heb je tijd om het op te lossen voordat het domein vrijkomt.
Hoe kies je een registrar die beveiliging serieus neemt?
Niet alle registrars bieden hetzelfde beschermingsniveau. Controleer voordat je een registrar kiest of ze 2FA ondersteunen, of ze registrarvergrendeling bieden, of WHOIS-privacy is inbegrepen en hoe hun support omgaat met verzoeken om accountherstel.
Een registrar die identiteit grondig verifieert voordat hij accountwijzigingen doorvoert, is veiliger dan een die verzoeken snel en met minimale controle afhandelt. Het gemak van snelle support wordt een kwetsbaarheid als een aanvaller degene is die belt.
Zoek registrars die alle beveiligingsfuncties bij de standaardregistratie aanbieden, niet als betaalde extra's die je moet onthouden aan te zetten.
Hoe ziet je checklist voor domeinbeveiliging eruit?
Loop deze lijst langs voor elk domein dat je bezit. Is een punt niet afgevinkt, los het dan nu op.
- Registrarvergrendeling staat aan
- Tweestapsverificatie staat aan voor je registrar-account
- Tweestapsverificatie staat aan voor het e-mailadres dat aan je registrar-account is gekoppeld
- Het wachtwoord van je registrar is uniek, willekeurig en minimaal 16 tekens lang
- Het wachtwoord van je registrar-e-mail is uniek en beschermd met 2FA
- WHOIS-privacy staat aan
- Automatisch verlengen staat aan
- Je opgeslagen betaalmethode is actueel en verloopt niet vóór je volgende verlenging
- Je hebt gecontroleerd dat het accountherstelproces van je registrar sterke identiteitsverificatie vereist
- Je controleert je DNS-records regelmatig om te bevestigen dat er niets is veranderd
Elk punt op deze lijst richt zich op een specifieke bedreiging. Registrarvergrendeling stopt ongeautoriseerde verhuizingen. 2FA zorgt dat gestolen wachtwoorden nutteloos zijn. WHOIS-privacy haalt het ruwe materiaal voor social engineering weg. Automatisch verlengen voorkomt aanvallen die op verlopen gebaseerd zijn. Samen vormen ze een complete opzet voor domeinbeveiliging.
Hoe beveiligt WEMASY je domein?
Domeinen die via WEMASY zijn geregistreerd, hebben standaard verhuisvergrendeling aan, WHOIS-privacy zonder extra kosten en automatisch verlengen vanaf het moment van registratie. Je WEMASY-account ondersteunt tweestapsverificatie, dus om je domein te beheren heb je zowel je wachtwoord als je tweede factor nodig.
Verlengherinneringen gaan 90, 60 en 30 dagen voor de verloopdatum de deur uit. DNS-instellingen worden beheerd vanuit hetzelfde account als je website, dus er is één plek om in de gaten te houden en één set inloggegevens om te beschermen.
Bekijk wat er in elk pakket zit op de prijzenpagina van WEMASY.
Veelgestelde vragen
Kan iemand mijn domein stelen als ik alle beveiligingsinstellingen heb ingeschakeld?
Geen beveiliging is volledig onkraakbaar, maar registrarvergrendeling, 2FA, een sterk uniek wachtwoord en WHOIS-privacy samen maken een geslaagde aanval uiterst onwaarschijnlijk. Elke laag blokkeert een andere aanvalsmethode. Een aanvaller zou ze allemaal tegelijk moeten omzeilen, en dat kost veel meer moeite dan een domein met zwakkere bescherming te kiezen. Met de websitebouwer van WEMASY stel je dit direct op je website in.
Hoe vaak moet ik mijn instellingen voor domeinbeveiliging controleren?
Minstens eens per drie maanden. Log in op je registrar-account, bevestig dat de registrarvergrendeling nog aanstaat, controleer of je contact-e-mailadres nog bereikbaar is, kijk of automatisch verlengen actief is en bekijk je DNS-records op wijzigingen die jij niet hebt gedaan. Stuurt je registrar meldingsmails, zorg dan dat ze naar een inbox gaan die je actief in de gaten houdt.
Is domeinbeveiliging iets anders dan websitebeveiliging?
Ja. Domeinbeveiliging beschermt de domeinnaam zelf, inclusief wie hem bezit, waar hij naar wijst en wie hem kan verhuizen. Websitebeveiliging beschermt de content, de code en de gegevens op de server waar je domein naar wijst. Je hebt allebei nodig. Een perfect beveiligde website is nog steeds kwetsbaar als iemand de controle over het domein krijgt en het verkeer ervan wegleidt.
Telt een SSL-certificaat als domeinbeveiliging?
Een SSL-certificaat versleutelt de verbinding tussen de browser van je bezoeker en je server. Het beschermt gegevens onderweg, maar niet wie het domein bezit of beheert. Verhuist een aanvaller je domein naar zijn eigen account, dan kan hij er een nieuw SSL-certificaat voor aanvragen. SSL hoort bij de algemene websitebeveiliging, niet specifiek bij domeinbeveiliging.
Wat moet ik eerst doen als ik denk dat mijn domein is gecompromitteerd?
Verander meteen het wachtwoord van je registrar-account en schakel 2FA in als dat nog niet aanstaat. Controleer daarna je DNS-records op ongeautoriseerde wijzigingen. Neem contact op met de support van je registrar en meld de vermoedelijke compromittering. Is er een verhuizing gestart, vraag dan om die te bevriezen. Leg alles vast met screenshots voor een eventueel geschil dat volgt.
Het volgende hoofdstuk behandelt domeinvergrendeling, met de verschillende soorten vergrendeling, hoe ze werken en wanneer je welke gebruikt.