Een onbeheerde oude subdomaininventaris opruimen

Een subdomein is in DNS meestal een A-, AAAA- of CNAME-record. Het probleem ontstaat wanneer het record blijft bestaan terwijl de dienst erachter verdwenen is. Een CNAME naar een hostingplatform dat je account niet meer heeft, kan in theorie door een ander worden geclaimd. MDN beschrijft webbeveiliging als het beschermen van websites en gebruikers tegen schade door kwaadwillende derden, en heeft een sectie met gidsen over veelvoorkomende aanvallen (MDN over webbeveiliging). Het genoemde fragment bevat geen specifieke uitleg over subdomain takeover; dat risico beschrijven we hier als eigen praktijkuitleg. Voor jouw kmo betekent dit: een vergeten record kan onder jouw domeinnaam content tonen die je niet kent.

Of een bepaald platform dit misbruik daadwerkelijk toelaat, verschilt per aanbieder en kan wijzigen. Controleer dat per dienst in de eigen documentatie van die aanbieder. Dit artikel geeft je de procedure om je eigen records te onderzoeken, niet een oordeel over specifieke platformen.

Begin bij de bron van waarheid: de DNS-zone zelf. Vraag de beheerder van je domeinregistratie of DNS-host een volledige export van alle records. Let op: een publieke opzoeking toont alleen wat je al kent. Een export toont ook records die je vergeten was.

1. Exporteer alle records van elk domein dat je bezit, inclusief secundaire domeinen en oude merknamen. Waar je dit in je DNS-beheer vindt, verschilt per aanbieder.
2. Vul aanvullende bronnen aan: certificaatlogs, het archief van je hostingaccounts, facturen van tools en je sitemap- en analysegegevens. Zo vind je subdomeinen die nooit in een lijst stonden.
3. Zet alles in één werkblad met kolommen: naam, recordtype, doel, laatst gewijzigd (indien bekend), eigenaar, functie, besluit.

Behandel dit werkblad als levend document. Een eenmalige opruiming zonder register leidt binnen een paar jaar tot dezelfde chaos.

Elk record krijgt een naam van een persoon of team die verantwoordelijk is, niet alleen een functietitel. Is er geen eigenaar te vinden, dan is dat zelf een bevinding.

1. Stuur per record een korte vraag aan de vermoedelijke eigenaar: gebruik je dit nog, waarvoor, en tot wanneer?
2. Controleer het doel technisch: lost de naam nog op, wat geeft de server terug, en wijst een CNAME naar een dienst waar je nog een actief account hebt?
3. Noteer afwijkingen: een foutpagina van een hostingplatform, een leeg domein of een doel dat naar iets onverwachts leidt. Dat zijn kandidaten voor snelle actie.
4. Controleer of er nog interne links, e-mailinstellingen, API-koppelingen of cookies afhangen van het subdomein.

Reactie van een eigenaar is geen bewijs dat het record veilig is. Het is een aanwijzing die je met een technische controle bevestigt.

Gebruik onderstaande tabel per record. Een gecontroleerde verwijdering is altijd te verkiezen boven een gokje.

Bewaar bij elke verwijdering de oorspronkelijke recordwaarde, zodat je kunt terugdraaien als er toch iets afhangt. Een redirect van het oude subdomein naar een passende pagina kan beter zijn dan een kale verwijdering als er nog inkomende links bestaan.

Stel: een bedrijf met drie domeinen vindt in de export twaalf subdomeinen. Dit zijn fictieve invoergegevens, bedoeld om de procedure te oefenen.

• Vier records hebben een actieve eigenaar en een werkend doel: houden en registreren.
• Drie records wijzen naar een campagnetool waar het account is opgezegd: omdat het doel niet meer onder jouw beheer valt, trek je deze records direct in of herstel je het account. Bewaar de oude recordwaarde en controleer afhankelijkheden daarna. Een foutpagina of werkende respons bewijst niet of het doel veilig of claimbaar is.
• Twee records horen bij een vertrokken medewerker maar de dienst draait nog: overdragen aan een nieuwe eigenaar.
• Drie records hebben geen eigenaar en geen verkeer in de serverlogs: eerst een wachtperiode, daarna verwijderen.

Verwachte technische controles na elke wijziging: de naam geeft geen oplossing meer terug (of de bedoelde redirect), er komen geen foutmeldingen in je monitoring, en het register is bijgewerkt. Je mag hier geen resultaat of tijdsduur van verwachten: dat hangt volledig af van je DNS-instellingen en caching.

Na elke verwijdering of overdracht controleer je drie dingen: de DNS-opzoeking, de reactie van het eigen domein en eventuele afhankelijke diensten zoals e-mail of inloggen. Wil je ook beveiligen wie toegang heeft tot je DNS-beheer, schakel dan waar mogelijk tweestapsverificatie in bij je DNS-host of registrar; controleer in hun documentatie welke opties bestaan. Ter illustratie beschrijft Google voor Google-accounts dat tweestapsverificatie een extra beveiligingslaag toevoegt als je wachtwoord wordt gestolen (Google over tweestapsverificatie); die bron gaat niet over DNS-beheer. Gebruik je een account via werk of een groep, dan kunnen de stappen verschillen. Vraag dan je beheerder.

Plan een vaste herziening, bijvoorbeeld per kwartaal of bij elke tool die je opzegt. Voeg aan je offboardingproces toe dat records van vertrekkende collega's worden overgedragen. Wil je zien welke signalen van je website publiek zichtbaar zijn, bekijk dan je site via Marketing Scan. Die publieke scan meet zichtbare signalen en vervangt je interne DNS-inventaris niet.