Je domeinnaam beschermen: verlopen, verhuiscode, transfer-lock en vergeten DNS-records

Wie je domeinnaam beheert, ontvangt ook de mail op dat domein. En met die mail kan hij bij bijna elk ander account op "wachtwoord vergeten" klikken: je boekhouding, je bank, je webwinkel, je social media. Daarom is je domeinnaam een van de belangrijkste dingen die je hebt. In dit artikel lees je hoe je hem beschermt tegen verlopen, kaping en vergeten DNS-records, en wat je daarvoor in Mijn WebOké regelt.

Laat je domein niet verlopen

Domeinen gaan het vaakst verloren doordat ze niet op tijd worden verlengd, bijvoorbeeld door een verlopen betaalkaart of een factuur die bij een vertrokken collega binnenkwam. Het domein gaat dan uit de lucht en komt na een tijd vrij voor iedereen. Wie het daarna registreert, ontvangt de mail die nog naar je oude adressen wordt gestuurd.

• Laat op de domeinpagina in Mijn WebOké Wordt jaarlijks verlengd aan staan. Dat is de standaard. Zie Verlengen en automatisch verlengen.
• Betaal je verlengfacturen met een automatische incasso, dan kan een vergeten factuur je je domein niet kosten.
• Houd een lijst bij van al je domeinen, ook van de domeinen die je alleen voor de zekerheid hebt vastgelegd.
• Zeg een oud domein dat je ooit voor mail gebruikte niet zomaar op. Houd het, en zet het dicht als domein dat niet mailt (zie hieronder).

Is het toch gebeurd? Een .nl-domein blijft na opheffen 40 dagen in quarantaine. In die tijd kan alleen de laatste houder het terugkrijgen. Hoe dat werkt, ook voor andere extensies, lees je in Verlopen of opgezegd domein terugkrijgen: quarantaine en herstelperiode.

Controleer de houder en het e-mailadres van de houder

De houder is de juridische eigenaar van het domein. Staat daar je webbouwer, een oud-medewerker of een bedrijf dat niet meer bestaat, dan is het bij een conflict lastig om aan te tonen dat het domein van jou is. Controleer daarom:

• of jouw bedrijf als houder geregistreerd staat, met de juiste naam;
• of het e-mailadres van de houder werkt, en of het niet op het domein zelf ligt. Werkt de mail op je domein niet meer, dan komen waarschuwingen over dat domein ook niet aan. Gebruik daarom een adres op een ander domein;
• of je het e-mailadres hebt bevestigd als daarom werd gevraagd. Voor veel extensies is dat verplicht. Doe je het niet, dan kan het domein worden geschorst. Op de kaart Domein / Email gezondheid op de domeinpagina zie je bij Bevestiging houder of het gelukt is, en kun je de bevestigingsmail opnieuw laten sturen.

Krijg je een mail van ICANN of de registry over je domein? Lees dan eerst Mails van ICANN of de registry over je domein: echt of nep, en wat moet je doen?. Zulke mails worden ook vaak nagemaakt.

Bescherm je account, de verhuiscode en het transferslot

Wie in je account in Mijn WebOké komt, kan de nameservers of de DNS van je domein veranderen en zo je website en mail omleiden. Behandel dat account dus als een van je belangrijkste:

• Zet tweestapsverificatie aan. Zie Tweestapsverificatie in Mijn WebOké en een authenticator-app instellen.
• Log nooit in via een link in een mail over je domein ("je domein verloopt vandaag, betaal hier"). Ga zelf naar Mijn WebOké. Zie ook Phishing herkennen: zo lees je een link en een afzender.

De verhuiscode (ook EPP-code of autorisatiecode) is de sleutel van je domein: wie hem heeft, kan het domein naar een andere aanbieder verhuizen. Vraag hem alleen op als je zelf verhuist, en geef hem alleen aan de aanbieder waar je naartoe gaat. Krijg je een verhuisbevestiging die je niet verwacht, neem dan meteen contact met ons op.

Een transfer-lock (transferslot) blokkeert verhuizingen die jij niet hebt aangevraagd: zolang het slot aan staat, weigert de registry de verhuizing. Je ziet het op de domeinpagina in de kaart Geavanceerd, bij Transfer-lock. Blijf je bij WebOké, laat het slot dan aan. Niet elke extensie kent een transfer-lock. Bij onder meer .nl, .eu, .be en .nu is de verhuiscode zelf de beveiliging. Meer hierover lees je in Een domein weg verhuizen: verhuiscode (EPP) en transferslot.

Ruim vergeten DNS-records op

Een zwevend record is een DNS-record dat wijst naar iets wat je niet meer gebruikt: een opgezegde webwinkel, een verwijderde server of een dienst waar je bent vertrokken. Kan iemand anders dat doel overnemen, bijvoorbeeld door bij hetzelfde platform een winkel met dezelfde naam aan te maken, dan toont jouw subdomein opeens zijn pagina's, onder jouw naam. Dat heet subdomeinkaping.

• Zeg je een dienst op? Haal dan eerst het DNS-record weg dat ernaar wijst, en zeg daarna de dienst op.
• Loop één keer per jaar alle records na in Mijn Domeinen, tabblad DNS. Weet je van een record niet waar het voor is, zoek het dan uit. Maak eerst een back-up van je DNS, zie Een backup van je DNS maken en terugzetten.
• Wees zuinig met een wildcard-record (*) dat naar een externe dienst wijst.

Een domein dat niet mailt: zet het dicht

Heb je een domein dat nooit mail verstuurt of ontvangt, zoals een merknaam die je alleen hebt vastgelegd of een oud domein? Oplichters gebruiken zulke domeinen graag als afzender, omdat niemand ze in de gaten houdt. Met drie records maak je duidelijk dat er geen mail van en naar dit domein hoort:

MX    @        0 .
TXT   @        v=spf1 -all
TXT   _dmarc   v=DMARC1; p=reject

Het MX-record met 0 . (een null MX) zegt dat er op dit domein geen mail aankomt. -all zegt dat geen enkele server namens het domein mag mailen, en p=reject vraagt ontvangers om mail die toch dit domein als afzender gebruikt te weigeren. Doe dit alleen als er echt geen mailboxen, doorsturingen of diensten zijn die het domein voor mail gebruiken. De kaart Domein / Email gezondheid toont bij zo'n domein bij MX een rode stip. Voor een domein dat nooit mail ontvangt, is dat te verwachten. Lukt het instellen niet, maak dan een ticket aan.

Extra sloten: DNSSEC en CAA

DNSSEC zet een digitale handtekening op de antwoorden van je DNS, zodat niemand ze onderweg kan vervalsen. Het beschermt niet tegen iemand die in je account inlogt. CAA is een DNS-record waarin staat welke uitgevers een certificaat voor je domein mogen maken. Zet je een CAA-record, neem dan ook de uitgever op van het certificaat dat je nu gebruikt, anders kan dat certificaat niet meer worden verlengd.

Of DNSSEC en CAA bij jouw domein goed staan, zie je op de kaart Domein / Email gezondheid op de domeinpagina, of met de openbare tool Domein gezondheid. Zie ook Domein en e-mail gezondheid: controleren en herstellen.

Meer leren? Volg de gratis cursus Veilig online, les 4.3 Je domeinnaam beschermen.