Domain-Wächter
Eine Domain geht selten durch einen Angriff verloren. Sie geht verloren, weil eine Verlängerung ausblieb, ein Transfer-Lock offen stand oder ein Auth-Code herausgegeben wurde und niemand es gemerkt hat. Genau diese vier Dinge beobachtet der Domain-Wächter.
Er besteht aus zwei Teilen: einer Übersicht über alle Domains und einem Schutz-Tab je Domain, in dem die Regeln gesetzt werden.
Die Übersicht
Abschnitt betitelt „Die Übersicht“Sicherheit → Domain-Wächter, direkte Adresse: dash.regfish.de/my/guardian
Oben stehen die Zähler: wie viele Domains bewacht werden, wie viele als gefährdet gelten und wie viele einen offenen Auth-Code haben. Die Drift-Wache prüft täglich, ob sich an Lock, Verlängerung oder Auth-Code etwas geändert hat; Änderungen kommen zusätzlich per Mail.
Darunter listet Gefährdete Domains die Fälle mit Ablaufdatum, Zustand der Auto-Verlängerung und Auth-Code-Status. Die Wächter-Ereignisse darunter sind das Protokoll: was wann passiert ist, etwa dass ein Auth-Code ausgestellt wurde.
Der Schutz-Tab einer Domain
Abschnitt betitelt „Der Schutz-Tab einer Domain“Domains → deine Domain → Schutz, direkte Adresse:
dash.regfish.de/my/domains/<tld>/<sld>/guard
Die drei Statuskarten zeigen den Ist-Zustand:
- Läuft ab mit Datum, verbleibenden Tagen und ob die Auto-Verlängerung an ist.
- Transfer-Lock. Steht er auf offen, sind Transfers möglich.
- AuthInfo. Ein ausgestellter Auth-Code hat eine Gültigkeit und wird hier mit Frist angezeigt. Solange er gilt, kann die Domain damit weggezogen werden.
Ebenfalls hier zu finden: die Zertifikats-Wache für genau diese Domain, also die Überwachung der Certificate-Transparency-Logs. Ausführlich steht sie unter Zertifikats-Wache.
Schutzregeln
Abschnitt betitelt „Schutzregeln“Schutzregeln binden kritische Aktionen an eine frische Bestätigung mit dem zweiten Faktor. Vier Punkte sind daran wichtig:
- Die Freigabe gilt 5 Minuten. Danach fragt das dash erneut.
- API- und DynDNS-Zugriffe werden für geschützte Aktionen geblockt, nicht nur verzögert. Ein Skript, das eine geschützte Aktion ausführen soll, läuft also ins Leere, bis du es unten ausdrücklich ausnimmst.
- Ohne Konto-2FA geht es nicht. Die 2FA-Bestätigung ist der Schutzmechanismus, also muss sie zuerst für das Konto aktiv sein. Solange das fehlt, zeigt die Seite statt der Regeln nur den Hinweis samt Link zur Aktivierung.
- Der Ausgangszustand ist Standard (alles aus). Schutz entsteht erst, wenn du Aktionen auswählst.
Wer die API automatisiert nutzt, plant das mit ein: Schutzregeln und API-Keys arbeiten gegeneinander, sofern die betroffene Aktion nicht ausgenommen ist. Das ist beabsichtigt, denn ein gestohlener Key soll eine Domain nicht verschieben können.
Das Guardian-Protokoll
Abschnitt betitelt „Das Guardian-Protokoll“Unter den Regeln steht das Protokoll dieser Domain. Es nennt neben der Aktion auch die Quelle, also ob sie aus dem dash kam oder über die API, und bei einem API-Zugriff den verwendeten Schlüssel. Nach einem unerwarteten Ereignis ist das die erste Stelle zum Nachsehen: Sie beantwortet, ob eine Änderung aus deinem eigenen Skript stammt.