Når et domene forsvinner, forsvinner nettsiden og e-posten samtidig. Det skjer sjelden dramatisk. Oftest er årsaken kjedelig: et kort som gikk ut, en gammel e-postadresse ingen leser, en registrarkonto som eies av en som sluttet for tre år siden.

Rutinen som hindrer det, tar noen minutter noen ganger i året. Først må du vite hva du egentlig vedlikeholder.

Registrering, DNS og hosting er tre forskjellige ting #

Det blandes sammen hele tiden, og da blir feilsøking gjetting.

  • Registrering er at du har rett til å bruke et navn. Du betaler en registrar, som bestiller det hos registeret. For .no er det Norid. Norids regelverk presiserer at registreringen gir en bruksrett, ikke eierskap, og at registraren betaler abonnementsavgiften, ikke du direkte til Norid (Norid, regelverk for .no).
  • DNS er telefonkatalogen: hvilke servere som svarer for navnet, og hvilke poster som peker nettsiden og e-posten dit de skal. Den kan ligge hos registraren, hos hosting-leverandøren eller hos en egen DNS-tjeneste.
  • Hosting er der filene til nettsiden faktisk ligger.

Alle tre kan ligge hos forskjellige selskaper. Når noe er borte, er første spørsmål: hvilket lag svikter? Utløpt domene, feil DNS-post og nedlagt hosting ser likt ut utenfra, men fikses tre helt ulike steder.

Registrarkontoen er det svakeste leddet #

Domenet er bare så trygt som kontoen som styrer det.

  • E-post du kommer til å ha om fem år. Ikke en jobbadresse, ikke en gammel internettleverandør. Mister du tilgangen til e-posten, mister du kanskje kontoen.
  • Totrinnsbekreftelse på. Med autentiseringsapp eller sikkerhetsnøkkel der det støttes. Lagre gjenopprettingskodene på papir eller i en passordbehandler, ikke på samme sted som passordet.
  • Riktig kontaktinformasjon. For .no er dette et regelverkskrav. Kontakt- og teknisk informasjon skal holdes oppdatert, og et domene kan slettes hvis kontaktpersonen ikke lar seg nå. De fleste slike saker skal ha minst 60 dagers varsel på e-post (Norid). Varselet er til ingen nytte hvis det går til en postkasse ingen sjekker.
  • Registrarlås der registraren tilbyr det, slik at domenet ikke kan flyttes uten at du aktivt åpner for det.
  • Riktig innehaver. Hvis domenet står på en bedrift, må du vite hva som skjer når bedriften skifter navn eller avvikles. Norids regelverk lister blant annet en innehaver som ikke lenger eksisterer som grunnlag for sletting.

Fornyelse og betaling #

  • Slå på automatisk fornyelse. Det er den enkleste forsikringen du har.
  • Sjekk betalingsmåten. Auto-fornyelse hjelper ikke hvis kortet er utløpt. Legg inn en reserve hvis registraren tillater det.
  • Ikke stol på påminnelser. ICANNs regler for utløpte registreringer krever at registrarer for generiske toppdomener (som .com) sender minst to varsler før utløp, omtrent en måned og en uke før, og et til hvis ikke noe har skjedd fem dager etter (ICANN, Expired Registration Recovery Policy). For .no gjelder Norids eget regelverk, og uansett går varselet til kontaktadressen din. Sett heller opp en kalenderpåminnelse selv, 60 og 14 dager før utløp.

Hva som skjer hvis du glipper, varierer. For generiske domener skal den som hadde registreringen kunne fornye fra utløpet og gjennom perioden der DNS er avbrutt, og registraren kan slette navnet etter utløp. Der registeret tilbyr det, følger en gjenopprettingsperiode på 30 dager, ofte med ekstra gebyr. For .no kan Norid slette et abonnement som er gått ut uten å bli forlenget, og et slettet navn er utilgjengelig for ny registrering i minst 30 dager etter at det forlot DNS (begge steder i regelverket). Poenget er: nettsiden og e-posten din er borte lenge før du får vite om det finnes en vei tilbake.

Merk også at Norid sier de ikke er ansvarlige hvis registraren ikke bestiller fornyelsen, selv om du har betalt registraren. Betalingen din er et forhold mellom deg og registraren.

DNS-endringer: ta en kopi og se etter forandringer #

DNS er stedet der små feil gir store utslag. En endret post kan ta ned nettsiden. En manglende MX-post stopper e-posten.

  • Lagre en kopi av postene. Eksporter sonen hvis leverandøren tillater det, ellers ta skjermbilder. Du vil ha den dagen du bytter leverandør eller noen endrer noe ved et uhell.
  • Begrens hvem som kan endre. Samme regel som for registrarkontoen: få personer, totrinnsbekreftelse.
  • Slå på varsler om endringer hvis leverandøren tilbyr det.
  • Se selv etter. Et lite skript som sammenligner dagens svar med en forventet liste, kjørt hver uke, fanger det meste. Dette er et illustrativt eksempel for Linux eller macOS med dig:
bash 
#!/usr/bin/env bash
# Sammenligner dagens DNS-svar med en lagret, forventet liste.
DOMENE="eksempel.no"
for type in A MX TXT; do
  echo "== $type"
  dig +short "$DOMENE" "$type" | sort
done > dns-na.txt

if diff dns-forventet.txt dns-na.txt > /dev/null; then
  echo "DNS er uendret."
else
  echo "DNS har endret seg:" >&2
  diff dns-forventet.txt dns-na.txt >&2
  exit 1
fi

Første gang lager du dns-forventet.txt fra en kjøring du vet er riktig. Husk at TXT-poster ofte inneholder oppsett for e-post (som SPF), så en endring der kan være like viktig som en endring i nettsideposten.

DNSSEC: hva det gjør og hva det ikke gjør #

DNSSEC legger digitale signaturer på DNS-svar, slik at en maskin som slår opp navnet ditt kan kontrollere at svaret ikke er endret underveis. Det beskytter mot manipulerte svar, for eksempel at en kompromittert mellomtjener sender folk til en falsk side (ICANN, DNSSEC-oversikt).

Det gjør ikke noe av dette:

  • Det hindrer ikke at domenet utløper. Signerte svar på et domene som er utløpt, hjelper ingen.
  • Det erstatter ikke backup. Signaturene sikrer at svarene er ekte, ikke at du har en kopi av postene.
  • Det beskytter ikke registrarkontoen. Den som kommer inn på kontoen din kan fortsatt endre alt, inkludert DNSSEC-oppsettet.
  • Det krypterer ikke noe og holder ikke nettsiden oppe.

Og det har en driftsrisiko: når DNSSEC er slått på, må nøkkelinformasjonen hos registeret passe med det DNS-leverandøren din signerer med. Bytter du leverandør uten å håndtere det, kan det føre til at maskiner som kontrollerer signaturer, slutter å finne domenet ditt. Skal du flytte DNS, planlegg DNSSEC-steget først.

Rutinen: femten minutter noen ganger i året #

Gjør dette to til fire ganger i året. Legg det i kalenderen med en lenke til denne listen.

  1. Logg inn hos registraren. Hvis du ikke kommer inn, vet du det nå og ikke på utløpsdagen.
  2. Sjekk utløpsdato på hvert domene, og at automatisk fornyelse er på.
  3. Sjekk betalingsmåten. Gyldig minst et halvt år frem?
  4. Test kontaktadressen. Send en e-post dit. Står kontaktinformasjonen riktig?
  5. Finn gjenopprettingskodene for totrinnsbekreftelsen. Finnes de, og virker de?
  6. Sammenlign DNS-postene med lagret kopi.
  7. Se på DNSSEC hvis det er på: stemmer nøkkelinformasjonen hos registeret med det leverandøren bruker?
  8. Sett kalenderpåminnelser 60 og 14 dager før hver utløpsdato.

Én gang i året: ta stilling til om du fortsatt trenger alle domenene. Et domene du ikke bruker, er noe mer å vedlikeholde og noe mer å miste.

Dette er ikke spennende. Det er poenget. Domenet ditt er ikke noe du vil oppleve noe med.