Zabezpečení domény

Každá z těchto situací má jinou příčinu. V první někdo zneužil vaši e-mailovou adresu, ve druhé jste ztratili kontrolu nad doménou. Oběma se ale dá většinou předejít správným nastavením, zabezpečenými přístupy a pravidelnou kontrolou. V tomto článku popisuji, co se může pokazit, jak to poznáte včas a co s tím dělám já.

Obsah

1. 5 signálů, že vaše doména není pod kontrolou
2. Kdo má nad doménou skutečnou kontrolu
3. Jak může někdo poslat fakturu vaším jménem
4. Proč zámeček v prohlížeči nestačí
5. Co zvládnete sami
6. Co dělat, když už se něco stalo
7. Jak probíhá kontrola domény a co dostanete

5 signálů, že vaše doména není pod kontrolou

Odpovězte si na 5 otázek. Stačí jedno „nevím“ a vyplatí se doménu zkontrolovat.

1. Víte, u koho máte doménu registrovanou a kdo se do účtu přihlašuje?
2. Chodí vaše e-maily spolehlivě? Nebo občas končí ve spamu či se vracejí jako nedoručitelné?
3. Zakládal doménu někdo, kdo už s vámi nespolupracuje? Bývalý dodavatel, zaměstnanec, známý, který „uměl s počítači“.
4. Kontroloval někdo nastavení po poslední změně hostingu nebo e-mailu? Staré záznamy často zůstávají a odkazují na služby, které už neplatíte.
5. Znáte datum, kdy registrace domény vyprší?

Žádný z těchto bodů neznamená, že je vaše doména napadená. Znamená jen, že nevíte, v jakém je stavu. A to je nejlepší chvíle na opravu. Před výpadkem je levnější než během něj.

Kdo má nad doménou skutečnou kontrolu

Kolem domény se pohybují 3 role. Držitel je ten, komu doména patří. Registrátor je firma, u které je doména registrovaná. Správce je člověk, který v účtu mění nastavení. Problém nastává, když tyto role splynou v jednu osobu mimo vaši firmu.

Co by mělo platit u každé firemní domény:

• Držitelem jste vy nebo vaše firma. Ne dodavatel, ne zaměstnanec. Pokud doménu drží někdo jiný, má to být vědomé rozhodnutí.
• Kontaktní e-mail držitele je aktuální a funkční. U domén .cz na něj chodí upozornění na expiraci i kód potřebný k převodu domény jinam. Pozor, tento e-mail není totéž co přístup do účtu u registrátora. Hlídat je potřeba obojí.
• Do účtu u registrátora mají přístup jen oprávnění lidé a chrání ho dvoufázové ověření. Kdo ukradne heslo, může doménu nasměrovat jinam a převzít váš web i poštu.
• Víte, kde doména je a jak se k ní dostanete, i když ji za vás spravuje dodavatel. Dodavatel se může změnit, doména má zůstat vaše.

Domény svých klientů registruji u Forpsi. Jejich administrace umožňuje kromě dvoufázového ověření také přihlášení jen z povolených IP adres a upozornění e-mailem na každé přihlášení. Možnosti se ale liší podle registrátora, proto je při kontrole vždy ověřuji u konkrétního účtu.

U domén .cz jde ochranu posílit ještě o úroveň výš. CZ.NIC umožňuje zablokovat doménu proti změnám přímo v registru. Převod ani změnu držitele pak nejde provést jen s přístupem do účtu u registrátora. Jestli se tento krok vyplatí i u vaší domény, posoudím při kontrole.

Hlídání domény, přístupů a prodloužení je běžnou součástí správy webu, kterou pro klienty zajišťuji.

Když registrace vyprší

U domén .cz běží po vypršení registrace 60denní ochranná lhůta. Prvních 30 dní doména ještě funguje a je snadné ji přehlédnout. Dalších 30 dní je web i e-mail mimo provoz, doménu ale pořád jde prodloužit. 61. den registrace zaniká a doménu si může zaregistrovat kdokoli jiný, třeba spekulant, který vám ji pak nabídne k odkupu.

Automatické prodloužení pomáhá, ale samo nestačí. Selže, když má registrátor neplatné platební údaje nebo když upozornění chodí na e-mail, který nikdo nečte. Datum expirace proto patří i do vašeho kalendáře.

Doména, DNS a hosting nemusí být na jednom místě

Doména může být registrovaná u jedné firmy a web s poštou běžet u jiné. Mezi nimi stojí DNS, tedy nastavení, které říká, kde najít váš web a kam doručovat poštu.

Klíčové je vědět, kde DNS skutečně běží. Záznamy lze upravovat jen tam, kam doména ukazuje. Častá chyba vypadá takto: někdo upraví záznamy u registrátora, ale doména ukazuje na DNS u hostingu. Změna se nikde neprojeví a nikdo neví proč. Proto u každé domény nejdřív zjišťuji, kde DNS běží, a teprve potom cokoli měním.

Jak může někdo poslat fakturu vaším jménem

Adresa odesílatele v e-mailu funguje jako zpáteční adresa na obálce. Napsat na ni může kdokoli cokoli. Příjemce proto potřebuje způsob, jak ověřit, že zpráva opravdu přišla od vás. K tomu slouží 3 záznamy v DNS:

• SPF určuje, které servery smějí posílat poštu za vaši doménu.
• DKIM připojuje ke zprávám digitální podpis. Příjemce podle něj pozná, že podepsaný obsah cestou nikdo nezměnil.
• DMARC říká příjemci, co udělat se zprávou, která neprojde ověřením SPF ani DKIM ve shodě s vaší doménou. Může ji jen sledovat, přesunout do spamu, nebo odmítnout. Pokud si to nastavíte, chodí vám navíc souhrnná hlášení, odkud se pod vaší doménou posílá pošta.

Jednu věc je potřeba říct otevřeně. Tyto záznamy chrání před podvrženou adresou odesílatele. Pokud ale útočník ukradne heslo k vaší skutečné schránce, posílá poštu legálně z vašeho účtu a záznamy v DNS ho nezastaví. Proto patří k zabezpečení domény i zabezpečení samotných schránek, hlavně dvoufázové ověření.

Na nastavení záleží i kvůli doručitelnosti. Gmail od roku 2024 vyžaduje od všech odesílatelů alespoň SPF nebo DKIM a od hromadných odesílatelů navíc DMARC. Chybějící nebo špatné ověření může vést k tomu, že vaše zprávy skončí ve spamu nebo je příjemce odmítne.

Kde se nastavení nejčastěji pokazí

Firma obvykle neposílá poštu z jednoho místa. Odesílají schránky na hostingu, newsletter, fakturační systém, e-shop, rezervační formulář. Každá z těchto služeb musí projít ověřením přes SPF nebo DKIM ve shodě s vaší doménou.

Pokud na některou zapomenete a rovnou zpřísníte DMARC, mohou zákazníkům přestat chodit třeba faktury. Proto DMARC zavádím postupně. Nejdřív jen sleduji, kdo za doménu posílá poštu. Až když vím, že jsou všechny služby v pořádku, pravidla zpřísním.

U e-mailu na hostingu Websupport je podpis DKIM zapnutý automaticky. Pokud posíláte poštu i přes další službu, dá se nastavit více podpisů vedle sebe, každý pod jiným označením. To je přesně situace, kterou je potřeba pohlídat při zavádění newsletteru nebo nového fakturačního systému.

Proč zámeček v prohlížeči nestačí

Zámeček v adresním řádku dnes vidí většina lidí jako znak bezpečného webu. Chrání ale jen jednu věc. Doména má ochranných vrstev více a žádná nenahradí jinou:

• HTTPS chrání spojení mezi návštěvníkem a webem. Nikdo cestou nepřečte, co návštěvník vyplnil do formuláře. O tom, kdo ovládá doménu nebo poštu, ale neříká nic.
• DNSSEC pomáhá ověřit, že odpovědi DNS pocházejí ze správného zdroje a cestou je nikdo nezměnil. Chrání tak před některými druhy podvržení. Neověřuje ale, jestli je v DNS zadaná správná adresa, a nenahradí zabezpečení účtu ani serveru.
• Zabezpečený účet u registrátora brání tomu, aby někdo doménu převedl nebo přesměroval.

U DNSSEC záleží na tom, kde DNS běží. Forpsi ho zapíná zdarma, ale jen pro domény registrované u nich, které zároveň používají jejich DNS servery. Pokud DNS běží jinde, například u hostingu, musí podpis zajistit tento poskytovatel. U každé domény proto volím postup podle toho, jak je skutečně nastavená.

Co zvládnete sami

Několik kroků zvládnete bez technických znalostí:

1. Zjistěte, u koho je doména registrovaná a na koho. U domén .cz to najdete ve vyhledávání na webu CZ.NIC.
2. Ověřte, že se do účtu u registrátora dostanete a že kontaktní e-mail držitele je aktuální.
3. Zapněte dvoufázové ověření u registrátora i u firemního e-mailu.
4. Zapněte automatické prodloužení domény a zapište si datum expirace do kalendáře.
5. Sepište si, odkud všude odchází pošta s vaší firemní adresou. Nejen běžné schránky, ale také newsletter, fakturační program, e-shop s potvrzením objednávek nebo formulář na webu. Každá z těchto služeb musí projít ověřením odesílatele. Na kterou se zapomene, té mohou zprávy padat do spamu.

Kdy už je lepší přizvat odborníka? Při změně DNS serverů, zapínání DNSSEC a úpravách SPF, DKIM nebo DMARC. Chyba v těchto nastaveních znamená výpadek webu nebo pošty. A protože se změny v DNS neprojeví všude okamžitě, nemusíte chybu poznat hned. Před každou změnou je proto potřeba zapsat si současný stav a po ní ověřit, že web i pošta fungují.

Co dělat, když už se něco stalo

Máte podezření, že někdo zneužívá vaši doménu nebo e-mail? Jednejte v tomto pořadí:

1. Změňte hesla k účtu u registrátora, k hostingu a k napadeným schránkám. Zapněte dvoufázové ověření všude, kde ještě není.
2. Zkontrolujte, kdo má k účtům přístup, a odeberte ty, kteří ho mít nemají.
3. Pokud chodí podvodné e-maily z vaší adresy, řešte i samotnou schránku, ne jen DNS. Zkontrolujte v ní pravidla pro přeposílání, která mohl útočník nastavit.
4. Pokud se změnilo nastavení DNS, kontaktujte registrátora nebo správce DNS a zjistěte, které záznamy se změnily a kdy.
5. Varujte klienty, pokud mohli dostat podvržené faktury. Raději jeden telefonát navíc než zaplacená faktura na cizí účet.

Jak probíhá kontrola domény a co dostanete

Kontrolu stavím na tom, jak máte doménu skutečně nastavenou. Univerzální sada záznamů, kterou najdete v návodech na internetu, nemusí pro vaši firmu platit.

1. Zjistím, kdo je držitelem, kde je doména registrovaná, kde běží DNS a kdo má přístupy.
2. Projdu záznamy v DNS. Web, pošta, staré záznamy na služby, které už nepoužíváte.
3. Sepíšu s vámi služby, které posílají poštu, a ověřím SPF, DKIM a DMARC.
4. Zkontroluji DNSSEC, HTTPS a platnost certifikátu.
5. Navrhnu opravy, provedu je v domluveném čase a ověřím, že nastavení DNS je správné, web je dostupný a testovací zprávy se doručují.

Co dostanete:

• srozumitelný přehled stavu vaší domény,
• seznam rizik seřazený podle důležitosti,
• provedené opravy a ověření, že fungují,
• záznam o změnách, co se upravilo a proč,
• přístupy a důležité údaje sepsané na jednom místě,
• doporučení pro další správu, kdo má mít přístup a co hlídat.

Doménu zkontroluji bez ohledu na to, u koho ji máte registrovanou a kde běží web nebo e-mail. Pokud mi dáte potřebná oprávnění, opravy po dohodě provedu sám. Jinak vás jejich zajištěním u vašeho poskytovatele krok po kroku provedu.

Pokud tušíte, že problém není jen v doméně, ale i v samotném webu, kontrolu domény spojím s auditem webu. Co všechno může audit odhalit, popisuji v článku Jak poznat, že váš web potřebuje audit.

Absolutní bezpečí vám neslíbím, to nemůže slíbit nikdo. Stejně tak nikdo nezaručí, že žádná zpráva nikdy neskončí ve spamu. Slíbit mohu, že budete vědět, v jakém stavu vaše doména je, a že změny neohrozí web ani firemní poštu.

Napište mi, jakou doménu chcete zkontrolovat. Ozvu se vám a domluvíme další postup.