Domæneporteføljen kontrolleres ved at lave en liste over alle domæner med registrator, konto, kontaktoplysninger, låse og udløbsdato, og derefter se på de konti, der kan ændre eller flytte dem. Den, der har login til registratoren, kan skifte navneservere for hele domænet og dermed bestemme, hvor mail og web peger hen.
Første del af SAMSIK’s domænevejledning (2022) henvender sig til IT-ledelsen og handler om netop det. Den del er målestokken her.
Login hos registratoren er privilegeret
Vejledningen siger det direkte: Login til registratorkonti er privilegerede og bør sikres tilsvarende, med sikre passwords og flerfaktor, hvor registratoren understøtter det (punkt 1.5). Adgangen begrænses til de administratorer, der har brug for den, og lukkes straks ved fratrædelse (1.4). Navneregisterkonti gennemses også (1.3).
I praksis betyder det, at kontoen hos registratoren skal på samme liste som domæneadministratorer og globale administratorer. Gennemgangen ser efter:
- hvem der har login, og om de stadig er ansat
- om login kræver flerfaktor
- om kontoen er personlig eller delt
- om kontoen er oprettet med en privat mailadresse
Listen over domæner
Vejledningen anbefaler at dokumentere domæner og registratorer og at overveje at samle dem hos én registrator, hvis sikring man så ser på, fx flerfaktor (1.1). Listen gennemses, og ubrugte domæner nedlægges, men brandnære domæner kan med fordel beholdes en tid (1.2). Der bør være en politik for nye domæner (1.10), og .dk bruges til danske brugere, mens domæner til enkeltstående formål begrænses (1.11).
Listen er udgangspunktet for resten af gennemgangen. Domæner, der ikke står på den, bliver ikke fornyet, ikke signeret og ikke beskyttet med SPF og DMARC.
Kontaktoplysninger
Registrant, fuldmægtig og betaler skal have korrekte kontaktoplysninger (1.6). Vejledningen anbefaler funktionspostkasser og aldrig private mailadresser. Den nævner også muligheden for at bruge kontaktadresser i et andet domæne under en anden registratorkonto. Begrundelsen er enkel: Hvis det domæne, kontaktadressen ligger i, mistes, mistes også muligheden for at få det tilbage.
Kontrolpunktet er, at kontaktadresserne findes, modtager mail og ikke tilhører en person, der er stoppet.
Låse
Vejledningen anbefaler registrator- og navneregisterlåse og nævner statuskoderne clientTransferProhibited, clientUpdateProhibited og clientDeleteProhibited (1.12). Spørg registratoren, hvis portalen ikke viser dem. Gennemgangen noterer for hvert domæne, hvilke låse der er sat.
Fornyelse og ændringer
Hold øje med udløb, og forny i god tid. Vejledningen anbefaler en egen proces ud over registratorens påmindelser (1.8). Påmindelser, der sendes til en tidligere medarbejders adresse, når ingen.
Ændringer følger en formel proces, og der gennemses regelmæssigt for uautoriserede ændringer (1.9). Kend også registratorens proces for at få et kapret domæne tilbage, og hav dokumentationen klar (1.7).
Domæner registreret af andre
En del domæner bliver registreret uden om IT, fx af marketing til en kampagne eller af et bureau, der byggede en hjemmeside. De står så på en anden registratorkonto, ofte med bureauets kontaktadresser. Gennemgangen spørger derfor også ud over IT: Hvilke domæner bruger virksomheden, og hvem har registreret dem? Svaret sammenholdes med listen. Domæner, der står på en andens konto, flyttes til jeres egen, eller der aftales, hvem der fornyer og låser dem.
Hvem kravene gælder for
SAMSIK’s vejledning er en anbefaling. I staten er hvert domæne og hvert delegeret subdomæne omfattet af domænekravene i de tekniske minimumskrav, men de binder kun myndighederne.
Hvem der kan ændre selve zonen, og glemte poster i den, er et kontrolpunkt for sig, beskrevet i DNS-gennemgang.
Det kan driften selv
Lav listen over domæner med kolonner for registrator, konto, udløbsdato, låse og kontaktadresser. Log på hver registratorkonto, og se, hvem der har adgang, og om flerfaktor er slået til. Sæt udløbsdatoerne ind i en fælles kalender, der ikke afhænger af én person. Det kan klares på en dag for de fleste porteføljer.
Hvad det kræver, og hvad det koster at lade være
Det kræver adgang til registratorkontiene og et overblik over, hvilke domæner der findes. Det tunge er at finde de domæner, der blev registreret af en marketingafdeling eller et bureau på deres egen konto.
Et domæne, der udløber, holder op med at virke. Et domæne, der flyttes uden jeres viden, kan bruges til at modtage jeres mail. Og et domæne registreret på et bureaus konto er reelt ikke jeres.
Det skal I lade være med
- At registrere domæner med en privat mailadresse som kontakt · brug funktionspostkasser.
- At dele ét login hos registratoren uden flerfaktor · det er en privilegeret konto.
- At stole på registratorens påmindelser alene · lav en egen proces for fornyelse.
Det skal gennemgangen kunne vise
- ☐ En liste over alle domæner med registrator, konto og udløbsdato.
- ☐ Personlige logins med flerfaktor hos registratorerne.
- ☐ Funktionspostkasser som kontaktadresser.
- ☐ Registrator- og navneregisterlåse på domænerne.
- ☐ En egen proces for fornyelse.
Kilder
- SAMSIK, Vejledning: Domænesikkerhed (revideret september 2022), afsnit 1, læst 13. november 2026.
- SAMSIK, Vejledning til de tekniske minimumskrav til it-sikkerhed i staten (september 2025), afsnit 3.7, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Log på jeres registratorkonto, og se, hvem der har adgang, og om flerfaktor er slået til.
Læs også: Administratorrettigheder på tværs · SPF, DKIM og DMARC
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
