Hvad er DNS-sikkerhed?
DNS (Domain Name System) er internettets telefonbog - det oversætter domænenavne som domainify.dk til IP-adresser som computere kan forstå. DNS-sikkerhed handler om at beskytte dette kritiske system mod angreb og misbrug.
Uden ordentlig DNS-sikkerhed kan angribere:
- Omdirigere din trafik til falske websites
- Sende phishing-mails der ser ud til at komme fra dit domæne
- Aflytte fortrolig kommunikation
- Overtage kontrollen med dit domæne
De mest almindelige DNS-trusler
DNS Spoofing / Cache Poisoning
Ved DNS spoofing forsøger angribere at indsætte falske records i en DNS-resolvers cache. Når det lykkes, vil alle der bruger den resolver blive sendt til angriberens server i stedet for den rigtige.
Beskyttelse: Aktivér DNSSEC på dit domæne.
DNS Hijacking
DNS hijacking sker når angribere får adgang til din registrar-konto eller DNS-administration og ændrer dine records. Dette kan ske gennem:
- Svage passwords
- Phishing mod domæne-administratorer
- Udnyttelse af sårbarheder hos registraren
Beskyttelse: Brug stærke, unikke passwords og to-faktor autentificering hos din registrar.
DDoS mod DNS
Distributed Denial of Service angreb mod DNS-servere kan gøre dit website utilgængeligt, selvom webserveren kører fint.
Beskyttelse: Brug flere navneservere og overvej en DNS-udbyder med DDoS-beskyttelse.
DNSSEC: Den vigtigste DNS-sikkerhedsprotokol
DNSSEC (DNS Security Extensions) tilføjer kryptografiske signaturer til DNS-svar. Det betyder at din computer kan verificere at et DNS-svar faktisk kommer fra den rigtige kilde og ikke er blevet manipuleret undervejs.
Sådan fungerer DNSSEC
- Domæneejeren signerer sine DNS-records med en privat nøgle
- Den offentlige nøgle publiceres i DNS
- Resolver kan verificere signaturen med den offentlige nøgle
- Hvis signaturen ikke matcher, afvises svaret
Aktivér DNSSEC på dit domæne
De fleste danske registrarer understøtter DNSSEC. Processen er typisk:
- Log ind hos din registrar
- Find DNS-indstillinger for dit domæne
- Aktivér DNSSEC (ofte ét klik)
- Vent 24-48 timer på propagering
For .dk domæner håndterer DK Hostmaster DNSSEC automatisk hvis du bruger deres navneservere.
Email-sikkerhed: SPF, DKIM og DMARC
En stor del af DNS-sikkerhed handler om at beskytte email. Tre protokoller arbejder sammen:
SPF (Sender Policy Framework)
SPF er en TXT-record der fortæller verden hvilke servere der må sende email fra dit domæne.
Eksempel på SPF-record:
v=spf1 include:_spf.google.com ~all
DKIM (DomainKeys Identified Mail)
DKIM tilføjer en kryptografisk signatur til udgående emails, så modtageren kan verificere at emailen faktisk kommer fra dit domæne.
DMARC (Domain-based Message Authentication)
DMARC bygger oven på SPF og DKIM. Den fortæller modtagere hvad de skal gøre med emails der fejler autentificering, og giver dig rapporter om misbrug.
Læs vores komplette guide til DMARC, SPF og DKIM for detaljerede opsætningsinstruktioner.
SSL/TLS og HTTPS
Selvom SSL/TLS primært handler om at kryptere forbindelsen til dit website, spiller det også en rolle i DNS-sikkerhed:
- CAA records specificerer hvilke certificate authorities der må udstede certifikater til dit domæne
- HSTS fortæller browsere at de altid skal bruge HTTPS
- Certificate Transparency gør det muligt at opdage uautoriserede certifikater
Praktisk tjekliste for DNS-sikkerhed
Her er de vigtigste ting du bør gøre for at sikre dit domæne:
- Aktivér DNSSEC hos din registrar
- Opsæt SPF-record for email
- Konfigurer DKIM hos din email-udbyder
- Implementér DMARC med rapportering
- Tilføj CAA-records for SSL
- Brug stærkt password og 2FA hos registrar
- Aktivér registry lock for kritiske domæner
- Overvåg dine DNS-records for ændringer
Test din DNS-sikkerhed
Brug DomainiFys gratis scanner til at få en komplet analyse af dit domænes sikkerhed. Scanneren tjekker over 40 punkter og giver dig konkrete anbefalinger til forbedringer.