Domeinnaam beveiligen tegen kaping: 8 praktische stappen

Een domeinnaam beveiligen tegen kaping is geen detail voor later. Als iemand uw domein overneemt, kan die persoon niet alleen uw website verplaatsen of uitschakelen, maar ook e-mail onderscheppen, bezoekers omleiden en uw bedrijfsnaam misbruiken. Voor een webshop, zzp’er of mkb-organisatie kan dat direct omzetverlies, reputatieschade en onrust bij klanten veroorzaken.

Domeinkaping gebeurt niet altijd door een technisch geavanceerde aanval. Vaak begint het met een hergebruikt wachtwoord, een oud e-mailadres als herstelcontact of een medewerker die meer rechten heeft dan nodig. De oplossing zit daarom niet in één instelling, maar in een aantal heldere maatregelen die samen voorkomen dat één fout grote gevolgen krijgt.

Wat is domeinkaping precies?

Bij domeinkaping krijgt een onbevoegde controle over uw domeinnaam. Dat kan gebeuren doordat iemand inlogt bij uw registrar, een verhuizing naar een andere provider aanvraagt of de DNS-instellingen wijzigt. DNS bepaalt onder meer waar uw website en e-mail naartoe verwijzen. Wie deze instellingen beheert, kan bezoekers ongemerkt naar een andere server sturen.

Soms is er sprake van een gerichte aanval. Denk aan een phishingmail die lijkt te komen van uw hostingprovider, of een frauduleus verzoek om contactgegevens te wijzigen. Maar ook interne veranderingen leveren risico op. Een voormalig medewerker kan nog toegang hebben, de domeinnaam staat privé op naam van een oud-collega, of de automatische verlenging loopt via een verlopen creditcard.

De gevolgen verschillen per situatie. Een persoonlijk domein is vaak relatief snel te herstellen. Voor een organisatie met zakelijke e-mail, een webshop en gekoppelde systemen kan herstel dagen duren, vooral wanneer niet duidelijk is wie juridisch en administratief eigenaar is.

1. Gebruik een uniek wachtwoord en tweefactorauthenticatie

De inlog van uw domeinregistrar verdient minstens dezelfde bescherming als internetbankieren. Kies een lang, uniek wachtwoord dat nergens anders wordt gebruikt. Een wachtwoordmanager helpt daarbij, omdat u dan niet hoeft te vertrouwen op makkelijk te onthouden varianten.

Schakel vervolgens tweefactorauthenticatie in, bij voorkeur met een authenticator-app of beveiligingssleutel. Alleen een wachtwoord is kwetsbaar bij phishing en datalekken. Met tweefactorauthenticatie is een buitgemaakt wachtwoord meestal niet genoeg om uw domein over te nemen.

Controleer ook wie toegang heeft tot het account. Een gedeelde inlog lijkt praktisch, maar maakt het achteraf onmogelijk om te zien wie wijzigingen heeft uitgevoerd. Werk liever met persoonlijke accounts en duidelijke rollen.

2. Zet een registrar lock op uw domein

Een registrar lock, ook wel transfer lock genoemd, blokkeert een ongewenste verhuizing van uw domeinnaam naar een andere registrar. Voor veel domeinen is deze beveiliging standaard beschikbaar, maar het is verstandig om dit actief te controleren.

Zonder lock kan iemand die toegang krijgt tot uw account soms een verhuiscode opvragen en het domein verplaatsen. Met een lock moet deze eerst bewust worden uitgezet. Dat geeft u een extra controlemoment en verkleint de kans dat een aanvaller ongezien handelt.

Houd er rekening mee dat u de lock tijdelijk moet opheffen wanneer u zelf van provider wisselt. Plan zo’n verhuizing daarom zorgvuldig, controleer de nieuwe partij en zet de lock direct terug zodra de overdracht is afgerond.

3. Houd de domeineigenaar en contactgegevens actueel

De registrantgegevens bepalen wie als houder van een domein bekendstaat. Controleer daarom regelmatig of de bedrijfsnaam, contactpersoon, het adres en het e-mailadres nog correct zijn. Vooral het e-mailadres is cruciaal: daar komen bevestigingen van wijzigingen, verlengingen en verhuizingen binnen.

Gebruik bij zakelijke domeinen geen privé-adres van een medewerker als enig herstelcontact. Kies liever een functioneel e-mailadres dat onder beheer van de organisatie staat, met beperkte toegang en een duidelijke opvolgingsregeling. Zo blijft de controle bij het bedrijf als functies of medewerkers veranderen.

Leg ook vast wie de domeinnaam heeft geregistreerd, bij welke registrar deze staat en wie bevoegd is om wijzigingen goed te keuren. Dit lijkt administratief, maar is bij een incident vaak het verschil tussen een snelle oplossing en een langdurige discussie over eigenaarschap.

4. Bescherm DNS-wijzigingen tegen misbruik

DNS-instellingen zijn aantrekkelijk voor aanvallers, omdat een kleine wijziging grote gevolgen kan hebben. Een aangepast MX-record kan bijvoorbeeld zakelijke e-mail naar een andere server sturen. Een gewijzigde A-record kan uw website vervangen door een frauduleuze pagina.

Beperk daarom wie DNS-records mag aanpassen. Geef niet iedereen met toegang tot hosting ook automatisch volledige DNS-rechten. Voor kleinere organisaties kan één beheerder voldoende zijn, mits er een tweede bevoegde persoon beschikbaar is voor noodgevallen.

Overweeg DNSSEC wanneer uw provider en domeinextensie dit ondersteunen. DNSSEC helpt te controleren of DNS-antwoorden authentiek zijn en verkleint het risico op manipulatie onderweg. Het is geen vervanging voor goede accountbeveiliging en vereist een correcte configuratie. Een verkeerd ingestelde DNSSEC-sleutel kan uw domein tijdelijk onbereikbaar maken. Laat de inrichting daarom controleren als u hier geen ervaring mee heeft.

5. Beperk toegangsrechten voor medewerkers en leveranciers

Een marketingbureau heeft misschien toegang nodig tot DNS voor een campagne. Een webbouwer moet mogelijk een tijdelijk record aanpassen. Dat betekent niet dat deze partijen permanent beheerder van uw domeinaccount hoeven te zijn.

Werk volgens het principe van minimale rechten: iemand krijgt alleen toegang tot wat nodig is, zolang dat nodig is. Verwijder accounts van oud-medewerkers en voormalige leveranciers meteen nadat de samenwerking eindigt. Controleer dit niet alleen bij vertrek van personeel, maar bijvoorbeeld ook ieder kwartaal.

Maak daarnaast onderscheid tussen websitebeheer, e-mailbeheer en domeinbeheer. Wanneer één account alles kan aanpassen, is de impact van een fout of gestolen inlog veel groter.

6. Stel meldingen in en reageer direct

De meeste registrars kunnen meldingen sturen bij inlogpogingen, wijzigingen in contactgegevens, DNS-aanpassingen, verlengingen en verhuisverzoeken. Zorg dat deze berichten terechtkomen bij een actief bewaakt e-mailadres. Laat ze niet verdwijnen in een algemene mailbox waar niemand dagelijks kijkt.

Neem een onverwachte melding altijd serieus. Een verhuisverzoek dat u niet zelf heeft gestart, een wijziging van uw e-mailadres of een onbekende DNS-aanpassing vraagt om directe actie. Wijzig uw wachtwoord, controleer actieve sessies, zet de registrar lock aan en neem contact op met uw provider.

Snelheid is hierbij belangrijk. Aanvallers profiteren van vertraging, zeker als zij proberen e-mail of bezoekersverkeer om te leiden voordat iemand het merkt.

7. Beveilig ook de e-mail achter uw domeinaccount

Wie toegang heeft tot het hersteladres van uw registrar, kan mogelijk wachtwoorden resetten en beveiligingsmeldingen onderscheppen. Beveilig die mailbox daarom met een uniek wachtwoord, tweefactorauthenticatie en actuele herstelgegevens.

Let extra op phishing. Een mail over een “dringende verlenging” of “verplichte verificatie” kan overtuigend ogen, zeker rond de verlengdatum van een domein. Log niet in via een link uit zo’n bericht. Open zelf het bekende klantenportaal of neem telefonisch contact op als u twijfelt.

Bespreek dit ook met collega’s. Technische beveiliging werkt beter wanneer medewerkers weten dat een domeinwijziging, betaalverzoek of verificatiemail eerst gecontroleerd moet worden.

8. Maak vooraf een herstelplan voor domeinkaping

Ondanks goede voorzorgsmaatregelen is een herstelplan verstandig. Noteer bij welke registrar het domein staat, welke contactgegevens daar bekend zijn, wie contractueel eigenaar is en wie de bevoegdheid heeft om namens de organisatie te handelen. Bewaar relevante facturen, registratiedocumenten en correspondentie op een veilige plek.

Leg ook vast welke systemen afhankelijk zijn van uw domein. Denk aan de website, webwinkel, e-mail, VPN, klantportalen en externe diensten die e-mail gebruiken voor wachtwoordherstel. Bij een incident wilt u niet eerst hoeven uitzoeken welke processen geraakt worden.

Een goede hosting- en IT-partner kan helpen met monitoring, toegangsbeheer en snelle beoordeling van verdachte wijzigingen. Bij DeltaServ staat daarbij niet alleen de server of het domein centraal, maar de continuïteit van de omgeving eromheen.

Controleer uw domeinbeheer vandaag nog

U hoeft niet te wachten op een verdacht bericht om actie te ondernemen. Log in bij uw registrar, controleer de eigenaar, zet tweefactorauthenticatie en de registrar lock aan, en kijk kritisch naar alle accounts met toegang. Dat kost weinig tijd, maar beschermt een bedrijfsmiddel waar uw website, e-mail en online reputatie direct van afhankelijk zijn.

Wanneer u niet zeker weet wie uw domein beheert of welke instellingen veilig zijn, is het verstandig dit samen met een vaste technische contactpersoon te controleren. Juist bij domeinen geldt: duidelijk eigenaarschap en snel kunnen handelen geven de meeste zekerheid.