Elke keer dat je een domein registreert zonder privacybescherming, komen je persoonlijke gegevens rechtstreeks in een openbaar record terecht. Je naam, je e-mailadres, je telefoonnummer, je postadres. Alles wordt doorzoekbaar voor iedereen met een internetverbinding. Dat openbare record heet WHOIS en bestaat al sinds de eerste dagen van internet. Begrijpen wat WHOIS is helpt om te snappen waarom domeinprivacy bestaat.
Wat betekent domeinprivacy?
Domeinprivacy is een dienst die je persoonlijke registratiegegevens in de openbare WHOIS-database vervangt door vervangende contactgegevens. In plaats van je echte naam, adres, telefoonnummer en e-mailadres toont de vermelding een proxy die je registrar levert.
Je registrar heeft je echte gegevens nog steeds in het dossier. Domeinprivacy verandert wat het publiek ziet, niet wat de registrar bewaart. Doet iemand een WHOIS-opzoeking op je domein met privacy aan, dan ziet hij algemene proxygegevens. Je persoonlijke gegevens blijven verborgen voor vluchtige zoekopdrachten, dataverzamelaars en iedereen die door de WHOIS-database bladert.
De proxy bevat meestal een doorstuur-e-mailadres. Echte berichten naar dat adres bereiken je nog steeds. De rest wordt eruit gefilterd. Voor een nadere blik op hoe de techniek werkt, behandelt het hoofdstuk over WHOIS-privacy het instellen en hoe het proxyrecord eruitziet.
Wat gebeurt er als je registratiegegevens openbaar zijn?
Je WHOIS-record onbeschermd laten is geen theoretisch risico. Het heeft echte, meetbare gevolgen die beginnen op het moment dat je domein live gaat.
Spam is het meest directe probleem. Bots scrapen de WHOIS-database constant, halen e-mailadressen eruit en stoppen ze in marketinglijsten. Binnen enkele dagen na het registreren van een onbeschermd domein krijgen de meeste eigenaren ongevraagde e-mails van SEO-bedrijven, webontwerpers, domeinmakelaars en advertentienetwerken. Die stroom stopt nooit. Hij groeit alleen.
Phishing komt daarna. Oplichters gebruiken de gegevens in je WHOIS-record om e-mails te sturen die lijken te komen van je registrar. Ze noemen je echte naam, verwijzen naar je echte domein en vragen je je account te "verifiëren" via een link. Omdat de e-mail kloppende persoonlijke gegevens bevat, lijkt hij betrouwbaar. Veel mensen trappen erin.
Social engineering is de gevaarlijkere variant. Iemand die toegang wil tot je registrar-account, je hosting of je e-mail hoeft niets te hacken. Hij heeft genoeg persoonlijke informatie nodig om een supportmedewerker te overtuigen dat hij jou is. Een WHOIS-record zonder privacy geeft hem je naam, e-mailadres, telefoonnummer en fysieke adres. Dat is genoeg om de meeste identiteitscontroles per telefoon te doorstaan.
Naast deze gerichte aanvallen is de combinatie van je naam, e-mailadres, telefoonnummer en adres precies het profiel dat bij identiteitsfraude wordt gebruikt. Je WHOIS-gegevens kunnen terechtkomen in databases van datahandelaren, gelekte inloglijsten en geautomatiseerde fraudesystemen. De gevolgen reiken veel verder dan je domein.
Hoe heeft de AVG domeinprivacy veranderd?
In 2018 dwong de Algemene Verordening Gegevensbescherming (AVG, in het Engels GDPR) van de Europese Unie een grote verschuiving af in hoe WHOIS-gegevens worden behandeld. Onder de AVG mogen persoonsgegevens niet zonder geldige wettelijke grondslag in een openbare database worden gepubliceerd. Omdat WHOIS-records persoonsgegevens bevatten, moesten registrars die onder Europees recht werken die gegevens standaard gaan afschermen.
Registreer je een domein via een Europese registrar, of woon je in de EU, dan worden je persoonlijke gegevens nu automatisch verborgen voor openbare WHOIS-opzoekingen. Je hoeft je er niet voor aan te melden. De registrar regelt het als wettelijke verplichting.
Dit was een grote verandering. Vóór de AVG was domeinprivacy altijd opt-in. Je moest weten dat het bestond, de instelling vinden en het aanzetten. Veel registrars rekenden er extra voor. De AVG draaide dat model om voor Europese registraties. Privacy werd de standaard, en persoonsgegevens blootleggen werd de uitzondering die een rechtvaardiging vereist.
Het addertje: de AVG geldt alleen voor registraties van EU-inwoners of via registrars in de EU. Registreer je een domein bij een Amerikaanse registrar en woon je in de VS, dan beschermt de AVG je niet. Je gegevens komen in het openbare record, tenzij je zelf privacy inschakelt. De regels hangen volledig af van waar je bent en wie je registrar is.
Welke rol speelt ICANN bij WHOIS-privacy?
ICANN (Internet Corporation for Assigned Names and Numbers) stelt de regels vast die registrars moeten volgen bij het verzamelen en publiceren van domeinregistratiegegevens. Tientallen jaren eiste ICANN dat registrars voor elk domein juiste contactgegevens verzamelden en via WHOIS openbaar maakten.
Toen de AVG van kracht werd, voerde ICANN een Tijdelijke Specificatie in waarmee registrars persoonsgegevens uit openbare WHOIS-records mochten afschermen. Dat tijdelijke beleid is meerdere keren verlengd en geldt nog steeds. ICANN werkt aan een permanente opvolger, het System for Standardized Access/Disclosure (SSAD), dat een procedure zou invoeren waarmee bevoegde partijen toegang kunnen vragen tot afgeschermde WHOIS-gegevens.
In de praktijk betekent dit dat ICANN nu accepteert dat volledig openbare WHOIS niet langer de norm is. Maar het permanente beleid wordt nog uitgewerkt. Registrars werken onder tijdelijke regels, en hoeveel gegevens openbaar zichtbaar zijn, verschilt per registrar, per TLD en per woonplaats van de registrant.
Wat is het verschil tussen privacy als standaard en opt-in privacy?
Deze twee modellen bepalen of je persoonlijke gegevens openbaar of verborgen zijn op het moment dat je een domein registreert.
- Privacy als standaard betekent dat je persoonlijke gegevens bij registratie automatisch verborgen zijn voor openbare WHOIS-opzoekingen. Je hoeft geen instelling te zoeken of extra te betalen. Dit is het model van Europese registrars onder de AVG en van veel moderne registrars wereldwijd.
- Opt-in privacy betekent dat je persoonlijke gegevens standaard openbaar zijn en je zelf actie moet ondernemen om ze te verbergen. Sommige registrars rekenen daar een jaarbedrag voor. Andere bieden het gratis aan, maar vragen dat je het tijdens of na de registratie handmatig inschakelt.
Welk model je krijgt, hangt af van je registrar, je woonplaats en de specifieke TLD die je registreert. Sommige landextensies hebben eigen privacyregels die voorgaan op wat de registrar aanbiedt. Behandelt je registrar privacy nog als een extra waarvoor je betaalt, kijk dan of andere registrars het zonder extra kosten bij dezelfde extensie opnemen.
Maakt domeinprivacy je anoniem?
Nee. Domeinprivacy en anonimiteit zijn niet hetzelfde.
Domeinprivacy verbergt je persoonlijke gegevens in het openbare WHOIS-record. Het stopt vluchtige opzoekingen, dataverzamelaars en spambots die je contactgegevens willen bemachtigen. Maar je registrar heeft je echte naam, e-mailadres, telefoonnummer en adres nog steeds in het dossier. Die informatie wordt privé bewaard en is onder bepaalde omstandigheden toegankelijk.
Opsporingsdiensten kunnen via juridische procedures je echte registratiegegevens opvragen. Geschillenpanels van ICANN (gebruikt bij geschillen over merken en domeineigendom) hebben er ook toegang toe. Rechtbanken kunnen registrars verplichten gegevens van registranten bekend te maken als dat nodig is.
Domeinprivacy beschermt je tegen het grote publiek. Het beschermt je niet tegen juridische verantwoordelijkheid. Je identiteit blijft via de juiste kanalen te herleiden. Dit is een belangrijk onderscheid. Privacy betekent dat je gegevens niet de wereld in worden geslingerd. Het betekent niet dat je gegevens niet bestaan.
Wie moet domeinprivacy aan hebben staan?
Iedereen. Op heel weinig uitzonderingen na zou elke persoon en elk merk dat een domein registreert privacy ingeschakeld moeten hebben.
De uitzonderingen zijn beperkt. Sommige overheidsinstanties en publieke instellingen laten hun registratiegegevens uit transparantie zichtbaar. Sommige merken in lopende merkgeschillen geven de voorkeur aan een openbaar WHOIS-record als bewijs van eigendom, al dienen registrarrecords in formele procedures hetzelfde doel.
Voor iedereen anders heeft het geen voordeel om je persoonlijke gegevens in een openbare database te hebben. De risico's (spam, phishing, social engineering, identiteitsfraude) zijn echt en goed gedocumenteerd. De bescherming is eenvoudig in te schakelen. Neemt je registrar het gratis op, dan is er geen reden om het uit te laten. Rekent je registrar ervoor, dan zijn de kosten bijna altijd lager dan de tijd die je kwijt bent aan de gevolgen van het ontbreken ervan.
Wat kost het om domeinprivacy over te slaan?
De kosten zijn niet alleen financieel. Een onbeschermd WHOIS-record kost je tijd, aandacht en veiligheid.
- Spam-e-mails die dagelijks je inbox overspoelen en filters en opruimwerk vragen
- Phishingpogingen die je echte gegevens gebruiken om geloofwaardig te lijken
- Telefoontjes van domeinmakelaars en verkopers die je nummer uit WHOIS hebben gehaald
- Het voortdurende risico op social-engineeringaanvallen op je registrar-account
- Je persoonlijke gegevens die circuleren in netwerken van datahandelaren zonder dat je ze kunt terughalen
Zijn je gegevens eenmaal gescrapet en verspreid, dan stopt privacybescherming later alleen toekomstige blootstelling. Het kan niet ongedaan maken wat al is verzameld. Hoe eerder je het aanzet, hoe minder gegevens terechtkomen op plekken die je niet kunt controleren. Voor een uitgebreide uitleg over hoe domeinprivacybescherming bij de registrar werkt, behandelt dat hoofdstuk de praktische stappen.
Hoe beschermt WEMASY je privacy?
Domeinen die via WEMASY zijn geregistreerd, hebben privacybescherming bij elke registratie. Je persoonlijke contactgegevens worden niet gepubliceerd in het openbare WHOIS-record. Er zijn geen extra kosten, geen schakelaar om te zoeken en geen stap om privacy zelf aan te zetten. Privacy staat aan vanaf het moment dat je domein is geregistreerd.
Met je WEMASY-account heb je één plek om domeininstellingen, DNS-records en privacystatus te beheren. Koppel je een extern domein dat elders is geregistreerd, dan worden de privacy-instellingen voor dat domein beheerd bij de registrar waar het oorspronkelijk is geregistreerd.
Bekijk wat er in elk pakket zit op de prijzenpagina van WEMASY.
Wat komt er na domeinprivacy?
Je persoonlijke gegevens beschermen tegen het openbare record is één beveiligingslaag. Het domein zelf beschermen is een aparte uitdaging. Iemand die toegang krijgt tot je registrar-account kan je domein wegverhuizen, je DNS-instellingen wijzigen of je verkeer omleiden zonder je WHOIS-gegevens ooit nodig te hebben. Het volgende hoofdstuk behandelt domeinkaping en de specifieke stappen om je registrar-account af te sluiten.
Veelgestelde vragen
Heeft domeinprivacy invloed op hoe zoekmachines mijn site ranken?
Nee. Zoekmachines ranken pagina's op basis van contentkwaliteit, relevantie, autoriteit en technische factoren. Of je WHOIS-record je echte gegevens of een proxy toont, heeft geen invloed op je plek in de zoekresultaten. Google heeft bevestigd dat WHOIS-privacy geen rankingsignaal is. Met de websitebouwer van WEMASY stel je dit direct op je website in.
Kan ik domeinprivacy toevoegen nadat ik mijn domein al heb geregistreerd?
Ja. De meeste registrars laten je op elk moment na de registratie privacybescherming inschakelen. De wijziging is meestal binnen een paar uur actief. Houd er rekening mee dat persoonsgegevens die al uit het openbare record zijn gescrapet voordat je privacy inschakelde, niet meer zijn te verwijderen van waar ze zijn opgeslagen.
Zijn er domeinextensies waarvoor privacybescherming niet beschikbaar is?
Sommige landextensies hebben lokale registryregels die vereisen dat gegevens van de registrant openbaar blijven. Bepaalde Europese en Aziatisch-Pacifische extensies hebben het gebruik van proxydiensten van oudsher beperkt. Is privacy niet beschikbaar voor een bepaalde extensie, dan geeft je registrar dat meestal aan tijdens de registratie.
Beschermt de AVG mij als ik een domein registreer via een Amerikaanse registrar?
Dat hangt af van waar je bent. De AVG geldt voor inwoners van de EU, ongeacht waar de registrar is gevestigd. Woon je in de EU en registreer je via een Amerikaanse registrar, dan moet de registrar de AVG nog steeds naleven voor jouw persoonsgegevens. Woon je in de VS en registreer je via een Amerikaanse registrar, dan geldt de AVG niet en kunnen je gegevens openbaar zijn, tenzij je zelf privacy inschakelt.
Als ik domeinprivacy heb ingeschakeld, kan iemand dan nog achterhalen wie mijn domein bezit?
Niet via een openbare WHOIS-opzoeking. Het openbare record toont proxygegevens in plaats van je echte gegevens. Je registrar heeft je echte contactgegevens echter nog steeds in het dossier. Opsporingsdiensten, rechtbanken en geschillenpanels van ICANN kunnen via formele juridische procedures toegang tot je echte gegevens vragen. Privacy verbergt je gegevens voor het grote publiek, niet voor juridische verantwoordelijkheid.