Nezabezpečená doména je doména, která čeká na problém. Každý rok značky ztrácejí přístup ke svým doménám kvůli útokům, kterým by zabránilo pár jednoduchých nastavení. Škoda přesahuje ztrátu webové adresy. Když někdo převezme kontrolu nad vaší doménou, ovládá váš web, váš e-mail, vaše pozice ve vyhledávání a důvěru, kterou mají návštěvníci ve vaše jméno. Zabezpečení domény není jeden nástroj ani jedno nastavení. Je to kombinace opatření, která spolupracují, aby vaši doménu bylo těžké napadnout.
Co zabezpečení domény pokrývá?
Zabezpečení domény je vše, co chrání doménu před neoprávněným přístupem, neoprávněným převodem a neoprávněnými změnami. Pokrývá tři oblasti.
První je zabezpečení účtu. Jde o ochranu účtu u registrátora, aby se do něj nikdo jiný nemohl přihlásit a provádět změny. Zahrnuje silná hesla, dvoufázové ověření a udržování kontaktního e-mailu zabezpečeného.
Druhá je ochrana převodu. Ta brání tomu, aby někdo přesunul vaši doménu k jinému registrátorovi bez vašeho svolení. Hlavními nástroji jsou zámek registrátora a autorizační kódy.
Třetí je ochrana DNS. Vaše záznamy DNS říkají internetu, kde váš web žije a kam jde váš e-mail. Když někdo tyto záznamy změní, může přesměrovat vaši návštěvnost, aniž by doménu vůbec převáděl.
Většina selhání zabezpečení domén pochází z toho, že jedna z těchto tří oblastí zůstane otevřená. K udržení domény v bezpečí je potřeba zabezpečit všechny tři.
Jaké jsou největší hrozby pro vaši doménu?
Hrozby pro domény spadají do několika kategorií. Každá míří na jinou slabinu a každá vyžaduje jinou obranu.
Únos domény
Únos je, když někdo převede vaši doménu k jinému registrátorovi nebo změní vlastnictví na svůj účet. Jakmile se převod dokončí, ztratíte možnost doménu spravovat, obnovit ji nebo ji někam nasměrovat. Získání zpět je pomalé a ne vždy úspěšné. Úplný rozbor toho, jak únos funguje a jak mu předejít, popisuje každý krok v kapitole jak chránit doménu před únosem.
Vykupování vypršelých domén
Když registrace domény propadne, vstoupí do odkladné lhůty a nakonec se stane dostupnou k registraci komukoli. Útočníci a spekulanti s doménami aktivně sledují vypršující domény, zejména ty s etablovanou návštěvností a zpětnými odkazy. V okamžiku, kdy doména spadne, ji zaregistrují. V tu chvíli znamená její získání zpět vyjednávání s tím, kdo ji uchvátil. Kapitola o vypršení domény vysvětluje každou fázi časové osy vypršení a co se děje v každé z nich.
Phishingové útoky na účty u registrátorů
Toto je jeden z nejběžnějších vstupních bodů. Útočník pošle e-mail, který vypadá, že přišel od vašeho registrátora. Varuje, že vaše doména brzy vyprší, že bylo zjištěno podezřelé přihlášení nebo že váš účet potřebuje ověření. Odkaz vede na falešnou přihlašovací stránku. Pokud zadáte své údaje, útočník má vaše uživatelské jméno a heslo a může se přihlásit do vašeho skutečného účtu.
Obrana je jednoduchá, ale vyžaduje disciplínu. Nikdy neklikejte na přihlašovací odkazy v e-mailech. Vždy raději přejděte přímo na web svého registrátora přes prohlížeč.
Manipulace s DNS
Manipulace s DNS mění, kam doména ukazuje, aniž by se změnilo, komu patří. Útočník, který získá přístup k vašemu účtu u registrátora nebo poskytovateli DNS, může změnit vaše záznamy A, záznamy MX nebo nameservery. Provoz na váš web se pošle na jiný server. Váš e-mail se nasměruje do schránky, kterou nekontrolujete. Návštěvníci uvidí stránku, která vypadá jako vaše, ale není.
Záludné je, že manipulace s DNS může zůstat nepovšimnutá hodiny nebo dny, pokud záznamy DNS aktivně nesledujete. Než si toho všimnete, útočník mohl zachytit data zákazníků, získat přihlašovací údaje nebo poškodit vaši pověst.
Sociální inženýrství
Někteří útočníci technický přístup úplně přeskočí. Zavolají podpoře vašeho registrátora, vydávají se za vás a požádají o obnovení přihlašovacích údajů k účtu. Pokud jsou vaše údaje ve WHOIS veřejně viditelné, už mají vaše jméno, e-mail, telefon a adresu, aby byl jejich příběh přesvědčivý. S dostatkem osobních údajů mohou projít ověřením totožnosti, které bylo navrženo, aby vás chránilo.
Jak zabezpečit doménu zámkem registrátora?
Zámek registrátora, někdy nazývaný zámek převodu, je nastavení stavu, které blokuje převod vaší domény k jinému registrátorovi. Když je zámek zapnutý, každá žádost o převod je automaticky zamítnuta. Je to nejúčinnější jednotlivá ochrana proti neoprávněným převodům.
Většina registrátorů tuto funkci nabízí zdarma. Někteří ji ve výchozím stavu nechávají vypnutou, což znamená, že se musíte přihlásit a zapnout ji sami. Vypnout ji byste měli jen tehdy, když doménu aktivně převádíte k novému registrátorovi, a ihned poté ji zase zapnout.
Další kapitola popisuje zamykání domény v plných detailech, včetně různých typů zámků a toho, kdy se který používá.
Proč na dvoufázovém ověření u domén záleží?
Dvoufázové ověření (2FA) přidává druhý krok ověření při přihlášení do účtu u registrátora. I když útočník ukradne vaše heslo phishingovým útokem nebo únikem dat, nedostane se dovnitř, aniž by ovládal i váš druhý faktor.
Používejte raději aplikaci pro ověřování než ověření přes SMS. SMS kódy lze zachytit útoky typu SIM swap, kdy někdo přesvědčí vašeho mobilního operátora, aby převedl vaše telefonní číslo na zařízení, které ovládá. Ověřovací aplikaci je těžší napadnout.
Zapněte 2FA na účtu u registrátora i na e-mailové adrese, která k účtu patří. Pokud je kterýkoli z nich nechráněný, útočník ho může použít jako cestu dovnitř.
Jak silné heslo chrání vaši doménu?
Heslo k účtu u registrátora je první bariéra mezi útočníkem a vaší doménou. Pokud je krátké, běžné nebo použité u jiné služby, ta bariéra je v podstatě pryč.
Útočníci používají automatické nástroje, které zkoušejí na přihlašovacích stránkách registrátorů uniklé kombinace uživatelských jmen a hesel z jiných úniků dat. Pokud jste stejné heslo použili na fóru, které bylo před třemi lety napadeno, váš účet u registrátora je dnes v ohrožení.
Použijte správce hesel a nechte si vygenerovat náhodné heslo o délce alespoň 16 znaků. Uložte ho ve správci hesel. Nepište si ho, nepoužívejte ho znovu a nepoužívejte variantu hesla, které používáte jinde.
Jakou roli hraje ochrana soukromí WHOIS v zabezpečení domény?
Ochrana soukromí WHOIS nahrazuje vaše osobní údaje z registrace ve veřejné databázi WHOIS zástupnými informacemi od registrátora. Vaše skutečné jméno, e-mail, telefon a adresa zůstávají skryté před každým, kdo spustí veřejné vyhledání.
Pro bezpečnost to má význam, protože každý osobní údaj, který útočník najde, usnadňuje sociální inženýrství. Pokud zná vaše jméno, e-mail a adresu, vydávat se za vás je jednoduché. Ochrana soukromí WHOIS tyto údaje z veřejného pohledu odstraní. Kapitola o soukromí domény popisuje, jak funguje a kdo by ji měl mít zapnutou.
Měli byste zapnout automatickou obnovu?
Ano. Automatická obnova brání tomu, aby doména vypršela proto, že jste zapomněli datum obnovy nebo že e-mail o obnově skončil ve spamu. Vypršelá doména je snadný cíl. Útočníci sledují databáze vypršení a cenné domény registrují v okamžiku, kdy se uvolní.
Zapněte automatickou obnovu u každé domény, kterou vlastníte. Pak zkontrolujte, že je platební metoda uložená u registrátora aktuální. Neúspěšná platba dělá automatickou obnovu k ničemu. Jako zálohu si nastavte připomínku v kalendáři 60 dní před vypršením. Pokud automatická obnova z jakéhokoli důvodu selže, máte čas to opravit, než doména spadne.
Jak vybrat registrátora, který bere bezpečnost vážně?
Ne všichni registrátoři nabízejí stejnou úroveň ochrany. Než si registrátora vyberete, zkontrolujte, jestli podporuje 2FA, jestli nabízí zámek registrátora, jestli je v ceně ochrana soukromí WHOIS a jak jejich podpora řeší žádosti o obnovení účtu.
Registrátor, který před změnami účtu důkladně ověřuje totožnost, je bezpečnější než ten, který vyřizuje žádosti rychle a s minimem kontrol. Pohodlí rychlé podpory se stává zranitelností, když volá útočník.
Hledejte registrátory, kteří nabízejí všechny bezpečnostní funkce jako součást standardní registrace, ne jako placené doplňky, které si musíte pamatovat zapnout.
Jak by měl vypadat váš kontrolní seznam zabezpečení domény?
Projděte tento seznam u každé domény, kterou vlastníte. Pokud není některá položka splněná, opravte ji hned.
- Zámek registrátora je zapnutý
- Dvoufázové ověření je zapnuté u vašeho účtu u registrátora
- Dvoufázové ověření je zapnuté u e-mailu, který patří k vašemu účtu u registrátora
- Vaše heslo u registrátora je jedinečné, náhodné a dlouhé alespoň 16 znaků
- Heslo k e-mailu u registrátora je jedinečné a chráněné 2FA
- Ochrana soukromí WHOIS je zapnutá
- Automatická obnova je zapnutá
- Vaše uložená platební metoda je aktuální a nevyprší před další obnovou
- Ověřili jste, že proces obnovení účtu u registrátora vyžaduje silné ověření totožnosti
- Pravidelně kontrolujete své záznamy DNS, abyste potvrdili, že se nic nezměnilo
Každá položka na tomto seznamu řeší konkrétní hrozbu. Zámek registrátora zastaví neoprávněné převody. 2FA zařídí, že ukradená hesla jsou k ničemu. Ochrana soukromí WHOIS odebírá surovinu pro sociální inženýrství. Automatická obnova brání útokům založeným na vypršení. Dohromady tvoří kompletní nastavení zabezpečení domény.
Jak WEMASY pomáhá zabezpečit doménu?
Doména a web se ve WEMASY spravují v jednom účtu. Nastavení DNS spravujete ze stejného účtu jako svůj web, takže máte jedno místo ke sledování a jedny přihlašovací údaje k ochraně.
Pomůže vám i to, co jste právě četli. Zapněte u svého účtu a e-mailu silná hesla a pravidelně kontrolujte záznamy DNS.
Co je v jednotlivých tarifech, zjistíte v ceníku WEMASY.
Často kladené otázky
Může mi někdo ukrást doménu, i když mám zapnutá všechna bezpečnostní nastavení?
Žádné zabezpečení není úplně neprolomitelné, ale když máte společně zapnutý zámek registrátora, 2FA, silné jedinečné heslo a ochranu soukromí WHOIS, úspěšný útok je extrémně nepravděpodobný. Každá vrstva blokuje jinou metodu útoku. Útočník by musel obejít všechny najednou, což je mnohem víc úsilí než zaměřit se na doménu se slabší ochranou. V Tvůrci webů WEMASY to můžete nastavit přímo u svého webu.
Jak často mám kontrolovat nastavení zabezpečení domény?
Alespoň jednou za tři měsíce. Přihlaste se do účtu u registrátora, ověřte, že je zámek registrátora pořád zapnutý, že je kontaktní e-mail stále dostupný, že je aktivní automatická obnova, a zkontrolujte záznamy DNS, jestli v nich nejsou změny, které jste neudělali vy. Pokud vám registrátor posílá oznamovací e-maily, ujistěte se, že chodí do schránky, kterou aktivně sledujete.
Liší se zabezpečení domény od zabezpečení webu?
Ano. Zabezpečení domény chrání samotný název domény, tedy kdo ji vlastní, kam ukazuje a kdo ji může převést. Zabezpečení webu chrání obsah, kód a data na serveru, na který doména ukazuje. Potřebujete obojí. Dokonale zabezpečený web je stále zranitelný, pokud někdo převezme kontrolu nad doménou a přesměruje návštěvnost pryč.
Počítá se certifikát SSL jako zabezpečení domény?
Certifikát SSL šifruje spojení mezi prohlížečem návštěvníka a vaším serverem. Chrání data při přenosu, ale nechrání to, kdo doménu vlastní nebo ovládá. Pokud útočník převede vaši doménu na svůj účet, může pro ni vystavit nový certifikát SSL. SSL je součástí celkového zabezpečení webu, ne konkrétně zabezpečení domény.
Co mám udělat jako první, když si myslím, že moje doména byla napadena?
Okamžitě změňte heslo k účtu u registrátora a zapněte 2FA, pokud ještě není zapnuté. Pak zkontrolujte záznamy DNS, jestli v nich nejsou neoprávněné změny. Kontaktujte podporu registrátora a nahlaste podezření na napadení. Pokud byl zahájen převod, požádejte je, aby ho zmrazili. Vše zdokumentujte snímky obrazovky pro případné následné řízení o sporu.
Další kapitola se věnuje zamykání domény, včetně různých typů zámků, toho, jak fungují, a toho, kdy který použít.