Uw domeinnaam beveiligen begint bij het account bij uw registrar: tweestapsverificatie, het domein op naam van uw bedrijf en automatische verlenging met een geldige betaalmethode. Wie dat regelt, voorkomt de meeste problemen.
Daarna volgen DNSSEC, een slot op uw belangrijkste domein (Domain Guard voor een .be) en een opgeruimde DNS-zone zonder verwijzingen naar diensten die u niet meer gebruikt.
In het kort
- In mei 2024 kocht een ethisch hacker 107 verlopen domeinnamen van Belgische OCMW’s, politiezones, CLB’s en ziekenhuizen en kreeg zo toegang tot 848 mailadressen.
- Een .be-domeinnaam die niet verlengd wordt, gaat 40 dagen in quarantaine en komt daarna vrij voor iedereen.
- De meeste problemen ontstaan niet door gesofisticeerde kaping maar door nalatigheid: een vervallen domein, een vergeten DNS-record, een account zonder tweestapsverificatie.
- Vijf afspraken voorkomen het meeste, en de meeste zijn administratief.
Waarom uw domeinnaam meer is dan uw website
Aan een domeinnaam hangt veel meer dan de website. Alle mailadressen van het bedrijf gebruiken hem, net als het wachtwoordherstel van online accounts die op die mailadressen staan. Wie het domein controleert, ontvangt die mails.
Hoe dat in de praktijk loopt, toonde ethisch hacker Inti De Ceukelaire in mei 2024. Hij kocht 107 verlopen domeinnamen die gebruikt waren door OCMW’s, politiezones, CAW’s, CLB’s, ziekenhuizen en juridische diensten, en kreeg zo toegang tot 848 professionele mailadressen, meldde VRT NWS. In één week kwamen er duizenden berichten binnen, waaronder documenten over bewindvoering en persoonlijke hulpvragen. Hij las ze niet, maar iemand met andere bedoelingen had dezelfde mails gekregen.
Vier manieren waarop het misgaat
| Wat er gebeurt | Gevolg | Voorbeeld |
|---|---|---|
| Het domein vervalt | Na de quarantaine registreert iemand anders het domein en ontvangt alle mail. | 107 Belgische overheidsdomeinen, mei 2024 (VRT NWS) |
| Oude accounts via een verlopen domein | Wie het domein koopt, maakt mailadressen van ex-medewerkers opnieuw aan en logt in bij diensten die op het mailadres vertrouwen. | Truffle Security raakte in januari 2025 via één gekocht domein van een failliete start-up binnen in Slack, Notion en Zoom |
| Een vergeten subdomein | Een DNS-record wijst nog naar een vervallen domein of opgezegde dienst; wie dat overneemt, controleert uw subdomein. | Guardio Labs vond in februari 2024 misbruik bij meer dan 8.000 domeinen en 13.000 subdomeinen van onder meer MSN en eBay |
| Het account bij de registrar wordt overgenomen | De aanvaller wijzigt de verwijzingen en leidt website en mail om. | Squarespace, juli 2024: domeinen van cryptobedrijven gekaapt, volgens getroffen bedrijven omdat tweestapsverificatie niet was meegekomen bij een migratie |
Drie van de vier gaan over iets dat vergeten of niet verlengd werd. Een domeinnaam beveiligen gaat dus vooral over niet vergeten.
Op wiens naam staat uw domeinnaam?
Dat is de vraag die zelden gesteld wordt. Het domein hoort op naam van het bedrijf te staan, niet op naam van een zaakvoerder, een medewerker, het webbureau of de IT-partner. Een webbureau mag het technische beheer doen zonder houder te zijn. Staat het domein op naam van iemand anders, dan hangt u bij een conflict, een vertrek of een faillissement af van die persoon of dat bedrijf.
Ga bij uw registrar na wie als houder geregistreerd staat. Voor een .be-domein kan een geschil over de houder via de procedure van CEPANI of via de rechtbank lopen; DNS Belgium zet het domein dan “on hold”. Beter is het om het nooit zover te laten komen. Zet in uw IT-inventaris een tabblad “domeinen” met per domein de houder, de registrar, wie toegang heeft, de vervaldatum, en of DNSSEC en een slot actief zijn. Hoe u zo’n inventaris opbouwt, leest u in ons artikel over IT-asset management voor kmo’s.
Vijf afspraken om uw domeinnaam te beveiligen
| Afspraak | Waarom | Waar instellen | Wie doet het |
|---|---|---|---|
| 1. Het domein staat op naam van uw bedrijf | Bij een conflict of vertrek houdt u de controle | Houdergegevens bij de registrar | Zaakvoerder, met de registrar |
| 2. Tweestapsverificatie en persoonlijke toegang tot het account bij de registrar | Een gestolen wachtwoord volstaat dan niet om het domein over te nemen | Account bij de registrar | IT-verantwoordelijke |
| 3. Automatische verlenging met een geldige betaalmethode | Een vervallen kredietkaart mag het domein niet kosten | Facturatie bij de registrar | Boekhouding of zaakvoerder |
| 4. DNSSEC en een slot op uw belangrijkste domein | DNSSEC gaat omleiding tegen; een slot blokkeert wijzigingen en verhuis zonder bevestiging | Via de registrar (DNSSEC, Domain Guard) | IT-verantwoordelijke, met de registrar |
| 5. Een opgeruimde DNS-zone | Geen verwijzingen naar diensten of domeinen die u niet meer gebruikt | DNS-beheer | IT-partner of webbureau |
Bij afspraak 2 hoort ook: geen gedeelde login, en de toegang van vertrekkers afsluiten. Hoe u dat organiseert, staat in ons artikel over toegangsrechten bij een personeelswissel. Kies voor tweestapsverificatie bij voorkeur een app of sleutel; het verschil leest u in ons artikel over phishingbestendige MFA en passkeys. Zet de contactgegevens bij de registrar op een algemeen functieadres dat niet aan één persoon hangt.
Bij afspraak 3 hoort een gewoonte: handel verlengingen altijd af via uw eigen account bij de registrar, nooit via een link in een mail. Malwarebytes waarschuwde in juni 2026 voor valse mails over domeinverlenging.
Wat biedt DNS Belgium aan?
Voor .be-domeinnamen biedt DNS Belgium, de beheerder van ongeveer 1,7 miljoen .be-domeinnamen, twee sloten aan via uw registrar:
- Domain Guard is een registry lock. De registrar kan de gegevens van het domein dan niet wijzigen, en het domein kan niet verhuisd of verwijderd worden. Elke wijziging gaat pas door nadat DNS Belgium een gemachtigde van de houder opbelt. Tijdelijk uitschakelen voor een wijziging kan maximaal vier keer per jaar. U vraagt het aan via uw registrar met een formulier en een bewijs van eigendom; het is een betalende dienst.
- Domain Shield is een lichtere versie. Het blokkeert dezelfde wijzigingen, maar de registrar keurt ze zelf goed, zonder telefoon van DNS Belgium.
DNSSEC zet u eveneens via de registrar aan. Het voegt digitale handtekeningen toe aan de DNS-gegevens, zodat een resolver kan nagaan of een antwoord echt is. Dat gaat omleiding naar nepsites tegen. DNS Belgium zegt er zelf bij dat DNSSEC geen oplossing is voor typosquatting of phishing. Laat het instellen door uw registrar of IT-partner: een foute configuratie kan het domein onbereikbaar maken.
Wat gebeurt er als uw domeinnaam vervalt?
Betaalt u de verlenging niet, dan verwijdert de registrar het .be-domein. Het gaat dan 40 dagen in quarantaine: de website en mail werken niet, maar niemand anders kan het domein registreren. In die periode kan de houder het via dezelfde registrar heractiveren, wat DNS Belgium aanraadt. Een verhuis uit quarantaine naar een andere registrar kan ook. Na 40 dagen komt de naam vrij, en volgens DNS Belgium kan iedereen hem dan overnemen. Voor .vlaanderen en .brussels gelden andere termijnen.
Wat is een vergeten subdomein, en hoe ruimt u het op?
Een subdomein zoals actie.uwbedrijf.be wijst in de DNS vaak naar een externe dienst: een oude campagnesite, een webshopplatform, een testomgeving. Zegt u die dienst op, of laat u het externe domein vervallen, maar blijft het record staan, dan kan een aanvaller de dienst of het domein overnemen. Wat er dan op uw subdomein verschijnt, bepaalt hij.
Bij SubdoMailing, de campagne die Guardio Labs in februari 2024 beschreef, verstuurden spammers via zulke subdomeinen miljoenen mails per dag die door filters raakten, omdat de afzender een bekend merk leek.
De oplossing is eenvoudig: laat de DNS-zone nakijken en verwijder records die naar niets of naar opgezegde diensten wijzen, en verwijder bij elke opzegging het record meteen mee. De e-mailkant van het verhaal, met de records die bepalen wie namens uw domein mag mailen, behandelen we in ons artikel over SPF, DKIM en DMARC. Wie uw naam misbruikt met een vervalste afzender, leest meer in wat is spoofing.
Domeinkaping overkomt een kmo toch niet?
Dat klopt deels: gerichte kapingen via oplichting bij de registrar treffen vooral waardevolle doelwitten, zoals de cryptobedrijven in 2024. Maar het Belgische voorbeeld ging over OCMW’s en CLB’s, en een verlopen domein opnieuw registreren kost weinig. Aanvallers zoeken automatisch naar domeinen die vrijkomen en records die blijven staan. Het risico zit dus minder in kaping en meer in vergeten, en dat is met één gesprek met uw registrar en IT-partner grotendeels geregeld. Is uw website zelf gehackt, dan is ons artikel over een gehackte website de juiste plek.
Wat is er van uw domein vanaf het internet zichtbaar?
Bij een cybersecurity audit kijkt Cyberplan ook naar uw domeinen: wie de houder is, wie toegang heeft en welke DNS-records naar diensten wijzen die niet meer bestaan. Cyberplan staat op de VLAIO-lijst van dienstverleners voor de cybersecurity verbetertrajecten, waarmee kmo’s 50 procent steun kunnen krijgen. Vraag de gratis scan aan.
Veelgestelde vragen
Hoe beveilig ik mijn domeinnaam?
Zet het domein op naam van uw bedrijf, beveilig het account bij de registrar met tweestapsverificatie, zet automatische verlenging aan met een geldige betaalmethode, activeer DNSSEC en vraag voor uw belangrijkste domein een slot zoals Domain Guard. Ruim daarnaast DNS-records op die naar diensten wijzen die u niet meer gebruikt.
Hoe lang blijft een .be-domeinnaam in quarantaine?
Een .be-domeinnaam die niet verlengd wordt, gaat 40 dagen in quarantaine. In die periode werkt hij niet, maar kan niemand anders hem registreren. De houder kan hem via dezelfde registrar heractiveren. Na 40 dagen komt de naam vrij en kan iedereen hem registreren, ook iemand die de mail wil ontvangen.
Wat is Domain Guard?
Domain Guard is de registry lock van DNS Belgium voor .be-domeinnamen. Met dit slot kan de registrar de gegevens van het domein niet wijzigen en kan het domein niet verhuisd of verwijderd worden zonder dat DNS Belgium een gemachtigde van de houder opbelt. U vraagt het aan via uw registrar; het is een betalende dienst.
Op wiens naam moet mijn domeinnaam staan?
Op naam van uw bedrijf, niet op naam van een zaakvoerder, medewerker, webbureau of IT-partner. Een webbureau mag het technische beheer doen zonder houder te zijn. Staat het domein op naam van een derde, dan bent u bij een conflict, vertrek of faillissement afhankelijk van die persoon of dat bedrijf om het terug te krijgen.
Wat is een subdomain takeover?
Een subdomain takeover is de overname van een subdomein dat in de DNS nog naar een externe dienst of een vervallen domein wijst. Wie die dienst of dat domein registreert, bepaalt wat er op uw subdomein verschijnt. In 2024 werden zo meer dan 13.000 subdomeinen van bekende merken misbruikt om spam te versturen.
