Hoe deze controle werkt
Deze controle bevraagt de DNS en de registratie van je domein, en klimt daarbij de domeinketen op (van app.jouwdomein.nl naar jouwdomein.nl) omdat deze gegevens op het registreerbare domein leven. Hij kijkt naar drie dingen. CAA: zijn er op geen enkel niveau CAA-records, lage ernst. DNSSEC: hij vraagt via DNS over HTTPS om DS-records; zijn er op geen enkel niveau, lage ernst. Vervaldatum: hij zoekt de vervaldatum op via RDAP, de opvolger van whois; nog 7 dagen of minder, hoog; 30 of minder, gemiddeld; 60 of minder, laag. Publiceert het register de datum niet of mislukt een query, dan is er geen bevinding: bij twijfel wordt niets verzonnen.
Waarom dit belangrijk is
Alle drie beschermen het domein zelf, dat onder al het andere ligt. Zonder CAA kan elk van de ruim honderd certificaatautoriteiten ter wereld een geldig certificaat voor je domein uitgeven; met CAA alleen die welke jij toestaat, wat een frauduleuze uitgifte detecteerbaar maakt. Zonder DNSSEC zijn de DNS-antwoorden van je domein niet ondertekend en kan een aanvaller die de cache van een resolver vergiftigt je gebruikers naar een andere server sturen zonder dat iets dat verraadt. En de vervaldatum is het domste en meest definitieve risico: een domein dat verloopt valt helemaal weg (website, e-mail, API) en na de respijtperiode kan iemand anders het registreren. Het overkomt grote bedrijven elk jaar door een verlopen kaart.
Hoe je het oplost
CAA
jouwdomein.nl. CAA 0 issue "letsencrypt.org"
jouwdomein.nl. CAA 0 issuewild ";"
jouwdomein.nl. CAA 0 iodef "mailto:security@jouwdomein.nl"Sta de autoriteit toe die je certificaten uitgeeft. Gebruik je Vercel of Netlify, dan is dat Let's Encrypt; gebruik je Cloudflare, raadpleeg dan de documentatie voor de lijst van autoriteiten die het inzet en voeg ze allemaal toe; koop je certificaten, dan die van je leverancier. Een CAA die je werkelijke autoriteit niet bevat, laat de volgende vernieuwing stilletjes mislukken, dus controleer de eerste vernieuwing na het toevoegen. issuewild ";" verbiedt wildcards als je die niet gebruikt, en iodef geeft aan waar een ongeautoriseerde uitgiftepoging gemeld wordt.
DNSSEC
Je schakelt het op twee plekken in. Eerst bij de DNS-aanbieder (Cloudflare, Route 53, de registrar zelf): meestal een knop die de zone ondertekent en je een DS-record toont. Daarna publiceer je die DS bij de registrar van het domein, die hem doorgeeft aan het register van het TLD. Zitten DNS en registratie op dezelfde plek, dan is het één klik. Een waarschuwing: wissel je ooit van DNS-aanbieder, verwijder dan de DS voordat je de zone verhuist, anders stopt het domein met resolven.
Vervaldatum
Zet automatische verlenging aan bij de registrar, controleer dat de gekoppelde kaart niet vóór het domein verloopt, en houd het contact-e-mailadres geldig, want daar komen de meldingen binnen. Is het domein dat van je bedrijf, verleng dan voor meerdere jaren en zet de overdrachtsvergrendeling aan. Scanaris mailt je 30, 14 en 3 dagen voor het verloopt, net als bij certificaten.
Controleer of het opgelost is
dig +short CAA jouwdomein.nl
dig +short DS jouwdomein.nl
curl -s https://rdap.org/domain/jouwdomein.nl | grep -oE '"eventAction":"expiration","eventDate":"[^"]+"'Verwacht: minstens één issue-regel in de eerste, een of meer regels in de tweede, en een verre vervaldatum in de derde. DNS-wijzigingen duren minuten tot uren; de DS kan tot een dag nodig hebben om bij het TLD te verschijnen.
Veelgestelde vragen
Kan DNSSEC mijn site breken?
Alleen bij een verkeerde configuratie: een DS die niet bij de sleutels van de zone past, zorgt dat validerende resolvers je domein afwijzen. Daarom is het beter het in te schakelen bij een aanbieder die de sleutels voor je beheert en met het commando hierboven en een externe validator te bevestigen dat alles klopt voordat je het als klaar beschouwt.
Mijn domein verloopt over een jaar. Waarom verschijnt er niets?
Omdat het in orde is. De bevinding verschijnt pas bij 60 dagen of minder. Wil je gerust zijn, zet dan nu automatische verlenging aan, nu het nog niet dringend is.
Vervangt CAA een goed certificaat?
Nee, dat zijn verschillende dingen. CAA beperkt wie mag uitgeven; de kwaliteit van het certificaat en protocol dat je hebt, meet TLS-certificaat. En de e-mailconfiguratie van hetzelfde domein bekijkt e-mailauthenticatie.