Een klant van ons had drie jaar geleden een tijdelijke actiepagina laten bouwen op actie.hunbedrijf.nl, gekoppeld aan een externe dienst. De actie liep af, de dienst werd opgezegd, maar het DNS-record naar die dienst bleef gewoon staan. Vorig jaar nam iemand anders die service-naam over bij dezelfde aanbieder en kon zo, zonder ook maar in te breken op de website, content publiceren onder een subdomein van hun eigen bedrijfsnaam. Dit heet subdomain takeover en het is een van de meest onderschatte risico’s in het MKB, omdat het niets te maken heeft met een gehackte website, maar met vergeten DNS-instellingen.
Wat is een ‘dangling DNS record’ precies?
Elke keer dat u een externe dienst koppelt aan uw domein — een landingspagina-tool, een helpdesksysteem, een tijdelijke campagnepagina, een oude CDN-instelling — wordt daar een DNS-record voor aangemaakt, meestal een CNAME. Zolang die dienst actief is, werkt alles prima. Maar zegt u de dienst op zonder het DNS-record te verwijderen, dan blijft die verwijzing bestaan zonder dat er nog iets achter zit. Dat noemen we een dangling record: het wijst naar niets, tot iemand anders de vrijgekomen naam bij die dienst claimt. Op dat moment wijst uw eigen domeinnaam naar de content van een vreemde.
Het gevaarlijke: bezoekers en Google zien nog steeds uwbedrijf.nl in de adresbalk. Er verschijnt geen waarschuwing, geen SSL-foutmelding. Een aanvaller kan dat subdomein gebruiken voor phishing, malware-verspreiding of om zoekmachines te misleiden — en dat alles met het vertrouwen van uw eigen merknaam als dekmantel.
Hoe vaak komt dit voor?
Uit onderzoek van meerdere securitybedrijven blijkt dat gemiddeld 1 op de 20 tot 1 op de 50 subdomeinen van bedrijven een dergelijk verweesd record heeft staan. Bij bedrijven die in de afgelopen vijf jaar meer dan drie keer van marketingtool, leadformulier of hostingpartij zijn gewisseld, ligt dat percentage hoger, simpelweg omdat niemand structureel opruimt.
Het andere blinde vlek-probleem: uw domein als afzender van andermans spam
Naast dangling records is er nog een DNS-gerelateerd risico dat vaak over het hoofd wordt gezien: de afwezigheid van correcte SPF-, DKIM- en DMARC-records. Deze drie DNS-instellingen bepalen wie er namens uw domein e-mail mag versturen. Ontbreken ze, of zijn ze verkeerd ingesteld, dan kan iedereen ter wereld een e-mail versturen die eruitziet als afkomstig van facturen@uwbedrijf.nl, zonder dat u daar iets van merkt totdat een klant belt over een verdachte factuur.
Een rekenvoorbeeld uit de praktijk: een installatiebedrijf met acht medewerkers kreeg te maken met een spoofing-actie waarbij namens hun domein nepfacturen naar 40 vaste klanten werden gestuurd. Twee klanten betaalden daadwerkelijk, samen goed voor 6.400 euro schade bij die klanten. Het bedrijf zelf verloor geen geld, maar wel het vertrouwen van een langjarige klant die daarna is overgestapt naar een concurrent. De oorzaak: een DMARC-record dat op ‘none’ stond in plaats van ‘quarantine’ of ‘reject’, waardoor spoofmail simpelweg werd doorgelaten door ontvangende mailservers.
Stappenplan: uw DNS-zone opruimen en beveiligen
- Stap 1 — Exporteer uw volledige DNS-zone. Vraag bij uw hostingpartij of registrar een export van alle actieve records op (A, CNAME, TXT, MX). Dit lijstje is vaak langer dan ondernemers denken; tien tot dertig records is geen uitzondering.
- Stap 2 — Controleer elk CNAME-record op een werkende bestemming. Test elk subdomein handmatig in de browser. Krijgt u een foutmelding als ‘NXDOMAIN’, ‘No such app’ of een lege pagina van een externe dienst, dan is dat record een kandidaat voor takeover.
- Stap 3 — Verwijder alles wat u niet actief herkent of gebruikt. Twijfel is geen reden om te laten staan; twijfel is precies de reden om te verwijderen. Een record verwijderen kost niets, een gehackt subdomein kost reputatie.
- Stap 4 — Controleer uw SPF-, DKIM- en DMARC-status. Tools als MXToolbox of dmarcian geven binnen een minuut een rapport. Staat DMARC nog niet op ‘reject’ of ‘quarantine’, bouw dat gefaseerd op: begin met ‘p=none’ om te monitoren wie er namens u mailt, en zet na een paar weken door naar ‘quarantine’.
- Stap 5 — Plan dit elk half jaar opnieuw in. DNS-hygiëne is geen eenmalige actie. Elke nieuwe marketingtool, elk nieuw leadformulier of testomgeving voegt weer een record toe dat ooit weer opgeruimd moet worden.
Waarom webbouwers dit vaak niet signaleren
Een webbouwer kijkt naar de website zelf: is de code veilig, zijn plugins up-to-date, werkt de SSL-verbinding. DNS-beheer valt vaak buiten die scope, zeker als het domein via een andere partij is geregistreerd dan waar de hosting draait. Het resultaat is een gat tussen twee verantwoordelijkheden: de webbouwer gaat ervan uit dat de registrar het regelt, de registrar gaat ervan uit dat de klant zelf beheert wat er aan het domein hangt. Bij Rondom Internet nemen we DNS-audits daarom standaard mee in ons beheertraject, juist omdat dit tussen de kieren valt bij de meeste losse dienstverleners.
Wat u vandaag al kunt doen
Log in bij uw registrar of hostingpaneel en open het DNS-beheerscherm. Tel het aantal records. Weet u van elk record waar het naar wijst en waarom? Zo niet, dan heeft u vandaag al een concrete actie te ondernemen die geen technische kennis vereist, alleen twintig minuten aandacht en de moed om te verwijderen wat u niet herkent.