Storing domeinregistrar of DNS-provider: verlopen respijtperiode voor domeininwisseling, DNSSEC SERVFAIL Trap- en noodnaamservermigratie¶

Als u wakker wordt, ontdekt u dat de primaire website van uw bedrijf, API-eindpunten (api.example.com) en zakelijke e-mail (MX records voor Google Workspace of Microsoft 365) zijn wereldwijd volledig onbereikbaar (DNS_PROBE_FINISHED_NXDOMAIN of SERVFAIL) is een totale black-out infrastructuurcrisis. In tegenstelling tot een enkele gecrashte webserver die invloed heeft op één service, kan een Domain Name System (DNS) of een mislukte domeinregistratie verbreekt elke afzonderlijke service onder uw hoofddomein tegelijkertijd, inclusief Single Sign-On (SSO), klantondersteuningsportals en inkomende e-mails met reactie op incidenten. In de praktijk zijn wereldwijde domeinuitval het gevolg van drie verschillende oorzaken: (1) een per ongeluk verlopen domein waarbij een geregistreerde creditcard is verlopen en de registrar uw account heeft gekaapt NS records verwijzen naar een betaal-per-klik-parkeerpagina 24 to 48 hours vóór de feitelijke vervaldatum; (2) een DDoS-aanval of uitval van het controlevlak bij uw gezaghebbende DNS-provider (Route 53, Cloudflare, GoDaddy, Namecheap, DNSimple, NS1); of (3) een gebroken DNSSEC (DS record) vertrouwensketen tijdens een overhaaste naamserverwisseling die validerende oplossers veroorzaakt (8.8.8.8, 1.1.1.1, ISP-resolvers) om 100 procent van uw verkeer mee te verminderen SERVFAIL. Als een aanvaller de inloggegevens van uw registrar heeft gecompromitteerd en uw domein kwaadwillig heeft overgedragen of gewijzigd, schakelt u over naar domeinnaamkaping, verlopen DNS en website-overname; als uw TLS-certificaat is verlopen of kapot is gegaan nadat DNS is hersteld, zie SSL/TLS-certificaat verlopen tijdens productie, HSTS-voorbelastingsblokkering en noodverlenging en Aangepaste Google Workspace- of Microsoft 365-domeinbeheerdersvergrendeling en DNS-verificatie. Als deze storing de klinische communicatie van het ziekenhuis, de 911/112-noodhulproutering of kritieke openbare nutsvoorzieningen uitschakelt, bel dan uw lokale alarmnummer (911 in de Verenigde Staten en Canada, 112 in de hele Europese Unie, 999 in het Verenigd Koninkrijk) of raadpleeg onze directory van noodnummers.

Doe dit nu¶

1. ** Stel binnen 10 seconden vast of de fout een verlopen/opgeschort domein is (EPP Status), een gezaghebbende DNS-providerstoring, of a DNSSEC Validatie mislukt**:
2. Rennen whois yourdomain.com | grep -iE "Status|Expiry|Name Server" en dig +trace yourdomain.com.
3. Test of het omzeilen is DNSSEC validatie (+cd = Controleren uitgeschakeld) zorgt ervoor dat uw domein opnieuw wordt opgelost:

   dig @8.8.8.8 yourdomain.com A
   dig @8.8.8.8 yourdomain.com A +cd
   

   Als het eerste commando ** retourneertstatus: SERVFAIL** terwijl het tweede commando (+cd) keert onmiddellijk terug status: NOERROR met het IP-adres van uw server, uw DNS-servers zijn NIET offline: uw DNSSEC (DS record bij de registrar) is verbroken. Ga onmiddellijk naar fase 3 om het verouderde te verwijderen DS registreren bij uw registrar.
4. Als uw domein is verlopen (Auto-Renew Grace Period of Redemption Grace Period), log onmiddellijk in op uw huidige registrar en betaal de verlengings-/inwisselingskosten; Wacht NIET tot het domein "dropt", zodat u het goedkoop opnieuw kunt registreren:
5. Gedurende de eerste 1 tot 45 dagen na de vervaldatum (Auto-Renew Grace Period), herstelt u bij verlenging in uw registrardashboard uw oorspronkelijke naamservers tegen de standaard verlengingskosten ($10 to $30).
6. Tijdens de 30 dagen Redemption Grace Period (RGP / redemptionPeriod), moet u de verplichte registratiekosten betalen ($80 to $250) via uw huidige registrar. Als u wacht tot het domein de 5-daagse Pending Delete fase om op te slaan $100, geautomatiseerde drop-vangende sluipschutterbots (DropCatch, SnapNames, NameJet) zal uw domein binnenhalen 5 milliseconds vrijgeven en veilen voor duizenden dollars.
7. Wijzig NOOIT uw naamservers (NS) weg van een DNSSEC-compatibele DNS-provider (zoals Cloudflare, Route 53 of Google Cloud DNS) zonder de DS registreer eerst bij uw registrar: Indien DNSSEC is ingeschakeld en u verwisselt uw NS records naar een nood-DNS-provider tijdens een storing zonder de ouder te verwijderen DS (Delegation Signer) opnemen in de .com / .org Eerst in de TLD-zone zal elke validerende oplosser op aarde de niet-ondertekende antwoorden van de nieuwe DNS-provider afwijzen als een cryptografische spoofing-aanval (SERVFAIL).
8. Als u buitengesloten bent van uw bedrijf @yourdomain.com e-mail omdat uw domein MX Er zijn geen records meer, klik NIET op 'Stuur wachtwoordherstelcode naar admin@yourdomain.com" bij uw registrar: Terwijl uw domein NS of MX records zijn offline, elke verificatie-e-mail wordt verzonden naar @yourdomain.com stuitert of verdwijnt in een wachtrij. Gebruik de SMS/Authenticator MFA van uw registrar, out-of-band back-up-e-mail (@gmail.com / @proton.me), of een telefonische identiteitsverificatiestroom.
9. Na het verlengen van een verlopen domein moet u handmatig verifiëren dat uw registrar uw oorspronkelijke aangepaste naamservers heeft hersteld (NS) in plaats van het domein ingeschakeld te laten sedoparking.com / renewyourname.net: Wanneer een domein verloopt, overschrijven registrars uw aangepaste domein NS records met parkeernaamservers (ns1.parklogic.com, dns1.name-services.com). Soms wordt door het betalen van de verlenging de vervaldatum bijgewerkt naar volgend jaar, terwijl de parkeernaamservers actief blijven totdat u ze handmatig terugzet.
10. Globale openbare recursieve DNS-caches leegmaken (Google 8.8.8.8, Cloudflare 1.1.1.1, OpenDNS) de tweede jouw NS of DS records worden hersteld: in plaats van 24 tot 48 uur te wachten voordat ze in de cache worden opgeslagen NXDOMAIN of parkeerpagina NS records op natuurlijke wijze verlopen, activeer dan een onmiddellijke globale cache-opschoning bij Google Public DNS (developers.google.com/speed/public-dns/cache) en Cloudflare 1.1.1.1 (one.one.one.one/purge-cache/).

Beslisboom: globaal domein of DNS-blackout-noodtriage¶

Gebruik dit stroomdiagram om de exacte laag van de DNS-hiërarchie aan te wijzen (TLD Registry, Registrar EPP Status, DNSSEC DS Chain, of Authoritative Nameserver) waar de resolutie mislukt:

flowchart TD
    Start["Wereldwijde storing: domeinweb en e-mail kunnen niet worden opgelost (NXDOMAIN / SERVFAIL)"] --> RunDiag["Voer uit: whois domein.com EN graaf @8.8.8.8 domein.com +cd"]

    RunDiag --> CheckCD{"Mislukt het graven van @8.8.8.8 domain.com, terwijl het toevoegen van +cd wel lukt?"}

    CheckCD -->|"Ja: werkt met +cd, mislukt zonder +cd"| DnssecBreak["Verbroken DNSSEC-vertrouwensketen: verwijder verouderde DS-record bij registrar OF teken zone opnieuw -> Flush 8.8.8.8 en 1.1.1.1"]

    CheckCD -->|"Nee: Beide mislukken of retourneren parkeer-IP"| CheckWhois{"Inspecteer de WHOIS EPP-domeinstatus en vervaldatum"}

    CheckWhois -->|"Status: clientHold of serverHold"| HoldState["Registrator/opschorting van register: voltooi onmiddellijk de e-mailverificatie van ICANN RAA OF het misbruik-/factureringsticket"]

    CheckWhois -->|"Vervaldatum verstreken (status: autoRenewPeriod)"| GraceRenew["Dag 1 tot 45 na vervaldatum: Betaal standaardverlenging in Registrar Portal -> Verifieer aangepaste NS hersteld"]

    CheckWhois -->|"Status: verlossingsperiode (RGP)"| RgpRestore["Dag 45 tot 75 na de vervaldatum: Open het urgente ondersteuningsticket voor de registrar / betaal onmiddellijk de RGP-herstelkosten ($ 80- $ 250)"]

    CheckWhois -->|"Status: in behandelingVerwijderen"| PendingDel["Laatste blokkering van 5 dagen: kan niet worden verlengd bij de registrar -> plaats nu nabestellingen voor alle grote drop-catchers"]

    CheckWhois -->|"Status: ok / clientTransferVerboden EN vervalt in de toekomst"| AuthDown["Domeinregistratie in orde -> Gezaghebbende DNS-providerstoring of ontbrekende zone"]

    AuthDown --> MigrateNS["Zonebestand (`BIND` / Terraform) importeren naar secundaire DNS-provider -> DS-record verwijderen als DNSSEC is ingeschakeld -> NS bijwerken bij registrar"]

Fase 1: De levenscyclus van het ICANN-domein verlopen (Auto-Renew versus Redemption versus Pending Delete)¶

Wanneer een generiek topniveaudomein (gTLD zoals .com, .net, .org, .io, .ai, .co, .app, .dev) verloopt omdat een creditcard die automatisch wordt verlengd is mislukt of een financiële kaart is geannuleerd nadat een medewerker is vertrokken, doorloopt het domein een strikte levenscyclus in meerdere fasen die wordt beheerst door ICANN's Expired Registration Recovery Policy (ERRP) en overeenkomsten met registerexploitanten (Verisign voor .com/.net, PIR voor .org, Identity Digital).

Hoe een domein sterft en waarom het offline gaat VOOR of OP dag 1 van de vervaldatum¶

+-------------------------------------------------------------------------+
| ICANN gTLD EXPIRATION TIMELINE (.com / .net / .org example)             |
|                                                                         |
| [Active Domain]                                                         |
|       |                                                                 |
|       v  (Expiration Date Reached: Day 0)                               |
| +---------------------------------------------------------------------+ |
| | STAGE 1: Auto-Renew Grace Period (Day 1 to Day 30-45)               | |
| | - EPP Status: ok or clientHold (Registrar swaps your NS to parking) | |
| | - Production Impact: 100% OFFLINE within 0 to 48 hours of expiry    | |
| | - Recovery: Log into registrar & pay normal renewal ($10-$30).      | |
| +---------------------------------------------------------------------+ |
|       |  (Registrar sends Delete command to Registry at Day 30-45)      |
|       v                                                                 |
| +---------------------------------------------------------------------+ |
| | STAGE 2: Redemption Grace Period [RGP] (Exactly 30 Calendar Days)   | |
| | - EPP Status: redemptionPeriod (Domain removed from TLD Root Zone)  | |
| | - Recovery: Still 100% guaranteed to original owner, MUST pay       | |
| |   Registry RGP Redemption Fee ($80-$250) + renewal via registrar.   | |
| +---------------------------------------------------------------------+ |
|       |  (30-Day RGP expires without redemption payment)                |
|       v                                                                 |
| +---------------------------------------------------------------------+ |
| | STAGE 3: Pending Delete (Exactly 5 Calendar Days)                   | |
| | - EPP Status: pendingDelete                                         | |
| | - Recovery: IMPOSSIBLE to renew or redeem at any price. Registry    | |
| |   rejects all registrar commands until public drop at Day 5 (~18:00 | |
| |   UTC for Verisign .com/.net).                                      | |
| +---------------------------------------------------------------------+ |
+-------------------------------------------------------------------------+

Vergelijk uw exacte rechten, kosten en herstelacties in elke vervalfase, inclusief topniveaudomeinen met landcode (ccTLDs zoals .uk, .de, .eu, .ca, .au), die niet ICANN volgen gTLD regels:

Fase 2: Stapsgewijs herstel van een verlopen of RedemptionPeriod domein¶

Volg exact deze volgorde om een verlopen domein in de kortst mogelijke tijd weer online te brengen:

Stap 1: Krijg opnieuw toegang tot uw Registrar-account wanneer @yourdomain.com e-mail is dood¶

Hier is de klassieke Catch-22 van een verlopen domein: - Uw domein (company.com) verlopen, dus MX records voor company.com gestopt met oplossen. - U probeert in te loggen bij uw domeinregistreerder (GoDaddy, Namecheap, Cloudflare, Porkbun, Hover, Network Solutions, Gandi), en de registrar zegt: "We hebben een 6-cijferige verificatiecode gestuurd naar admin@company.com." - Omdat company.com is verlopen, kan die e-mail nooit aankomen.

Hoe u onmiddellijk uit de e-maillus van een verlopen domein kunt ontsnappen: 1. Nog NIETS overdragen of wijzigen: controleer of u ALLEEN een tijdelijke e-mailvanger voor noodgevallen kunt inschakelen als het domein niet is verlopen (als het domein zelf is verlopen op TLD-niveau, MX kan nergens worden opgelost tot verlenging). 2. Gebruik het accountherstelkanaal "Verloren e-mailtoegang/domein verlopen" van de registrar: - Bijna alle door ICANN geaccrediteerde registrars bieden een speciale verificatieworkflow voor telefoon- of overheids-ID/bedrijfsdocumentatie, speciaal voor klanten van wie het inlog-e-mailadres is @ het verlopen domein in het account. - Houd drie items bij de hand voordat u de ondersteuning van de registrar belt: (a) de laatste 4 cijfers van de creditcard of PayPal-transactie-ID die op de vorige verlengingsfactuur is gebruikt, (b) uw Registrar-account-ID/klantpincode, en © een overheidsfoto-ID + statuten/energierekening die overeenkomen met de WHOIS-registratieorganisatie (Tech / Admin / Registrant). 3. Eenmaal ingelogd, verander het e-mailadres van uw Registrar Account onmiddellijk naar een extern domein (@gmail.com, @proton.me, of een afzonderlijk nooddomein waarvan u de eigenaar bent) en schakel Hardwarebeveiligingssleutel in (FIDO2) of TOTP Authenticator App MFA, dus inloggen is nooit afhankelijk van @company.com opnieuw e-mailen.

Stap 2: Voer de verlenging uit of RedemptionPeriod (RGP) Herstellen¶

1. Als het domein zich in fase 1 bevindt (Auto-Renew Grace Period, Dagen 1 tot 30/45):
2. Ga naar Facturering -> Verlengingen of Domeinlijst -> Verlopen filter en betaal de verlengingsfactuur.
3. Kritische controle 60 seconden na betaling: Open de Nameservers van het domein (NS) instellingen in het registrardashboard. Controleer of de registrar automatisch uw echte naamservers terugzet (bijvoorbeeld ns-123.awsdns-15.com of ada.ns.cloudflare.com) of verliet het domein dat naar de verlopen parkeerservers verwijst (ns1.sedoparking.com / dns1.registrar-servers.com). Als parkeerservers nog steeds in de lijst staan, voert u uw productienaamservers handmatig opnieuw in en slaat u deze op.
4. Als het domein zich in fase 2 bevindt (Redemption Grace Period / redemptionPeriod, Dagen 30/45 tot 75):
5. Kijk op een apart tabblad in uw registrardashboard, vaak met de naam Verlopen domeinen -> Redemption, Prullenbak/Herstellen of Grace/Redemption Billing.
6. Betaal de RGP-herstelkosten + verlenging van 1 jaar.
7. Hoe werkt RGP-herstel bij het register (Verisign / PIR)? Wanneer u de RGP-vergoeding betaalt, stuurt uw registrar een EPP <update><restore op="request"> opdracht naar het TLD-register. Het register wijzigt onmiddellijk de domeinstatus van redemptionPeriod aan pendingRestore en zet uw domein NS registreert binnen 15 tot 60 minuten terug in de TLD-hoofdzone, terwijl uw registrar het bestand indient restore op="report" bevestiging van naleving.

Stap 3: Omzeil lokale ISP-cachevertragingen door opschonen 8.8.8.8 en 1.1.1.1¶

Toen uw domein was verlopen, hebben recursieve DNS-resolvers over de hele wereld de parkeernaamservers of de negatieve naamservers in de cache opgeslagen NXDOMAIN reactie (beheerd door de TLD's SOA Minimum TTL, typisch 900 aan 3,600 seconden, of 86,400 seconden voor NS registraties). Het moment dig @a.gtld-servers.net yourdomain.com NS (opvragen van de .com rootserver direct) toont uw echte productienaamservers opnieuw: 1. Open Openbare DNS-flushcache van Google (https://developers.google.com/speed/public-dns/cache): - Spoeltype NS eerst voor yourdomain.com, en spoel vervolgens SOA, A, AAAA, MX, en TXT. 2. Open Cloudflare 1.1.1.1 Cache leegmaken (https://one.one.one.one/purge-cache/): - OpschonenNS, A, AAAA, en MX voor yourdomain.com.

Fase 3: Naamserver voor noodgevallen (NS) Migratie tijdens een uitval van een DNS-provider (en de DNSSEC Val)¶

Wat als uw domeinregistratie 100 procent geldig en niet-verlopen is, maar uw Authoritatieve DNS-provider (Route 53, Cloudflare, GoDaddy DNS, DigitalOcean DNS, Azure DNS, DNSimple, Dyn) kampt met een catastrofale storing of een DDoS-aanval en u moet de naamservers van uw domein migreren (NS) nu naar een back-up DNS-provider?

De nummer 1 migratiemoordenaar: overstappen NS Terwijl DNSSEC (DS Opnemen) is ingeschakeld¶

Voordat u er een verandert NS record bij uw registrar, voer deze opdracht uit om te controleren of DNSSEC is ingeschakeld op uw domein in het bovenliggende TLD-register:

dig +short yourdomain.com DS @8.8.8.8

+-------------------------------------------------------------------------+
| WHY CHANGING NS RECORDS WITH AN ACTIVE DS RECORD BREAKS THE INTERNET    |
|                                                                         |
| 1. Parent TLD (.com) holds your old DNS provider's DS Record (Key #2371)|
| 2. Old DNS Provider goes down. You import zone to New DNS Provider      |
|    (unsigned, or signed with a brand-new Key #9910) and swap NS.        |
| 3. Validating Resolver (8.8.8.8 / 1.1.1.1 / Comcast / ISP) queries      |
|    New DNS Provider, sees signature does NOT match DS Key #2371.        |
| 4. Resolver assumes an active MITM Spoofing Attack -> Returns SERVFAIL  |
| 5. RESULT: Your domain stays 100% dead worldwide even though the new    |
|    DNS servers are up and answering cleanly.                            |
+-------------------------------------------------------------------------+

Controlelijst voor veilige noodmigratie van naamservers (Zero SERVFAIL Werkwijze)¶

1. Reconstrueer of importeer eerst uw volledige DNS Zone File bij de nieuwe DNS-provider:
2. Raad nooit uw DNS-records uit het geheugen (@, www, en api zijn zelden de enige records; vergeten MX, SPF/TXT, DKIM, _dmarc, autodiscover, of CAA verbreekt e-mailbezorging en TLS-verlengingen).
3. Waar kunt u uw volledige DNS-zone vinden als het dashboard van uw primaire DNS-provider niet beschikbaar is:
   • Controleer infrastructuur als code (Terraform, Pulumi, OctoDNS, DNSControl) in uw Git-repository.
   • Controleer recente zone-exports (BIND .zone bestanden) of zoek in historische DNS-databases (SecurityTrails, ViewDNS.info, DNSDumpster, of Censys / crt.sh voor subdomeinen).
   • Query-gecachte records bevinden zich nog steeds in openbare recursieve solvers (dig @8.8.8.8 yourdomain.com MX, dig @1.1.1.1 yourdomain.com TXT, dig @9.9.9.9 api.yourdomain.com A) voordat hun TTL's verlopen.
4. Controleer of de nieuwe DNS-provider op gezaghebbende wijze antwoordt op elk kritiek record VOORDAT u contact opneemt met uw registrar: Stel dat uw nieuwe provider u heeft toegewezen ns1.rescuedns.com en ns2.rescuedns.com. Test ze direct met dig:

   dig @ns1.rescuedns.com yourdomain.com SOA +norecurse
   dig @ns1.rescuedns.com yourdomain.com A +norecurse
   dig @ns1.rescuedns.com yourdomain.com MX +norecurse
   

   Wacht tot de flags: lijn in de dig header bevat expliciet aa (Authoritative Answer) en retourneert status: NOERROR.
5. Als dig +short yourdomain.com DS retourneerde een DS opnemen, verwerken DNSSEC bij de registrar:
6. Tijdens een actieve storing waarbij de oude DNS-provider volledig onbereikbaar is: Log in op uw Domeinregistrar (waar u het domein heeft gekocht), ga naar de sectie DNSSEC / DS Records en verwijder alles DS records zodat het domein terugkeert naar niet-ondertekend (Insecure)-modus in de TLD-bovenliggende zone. Wacht tot dig +short yourdomain.com DS @a.gtld-servers.net retourneert leeg (en spoelt DS binnen 8.8.8.8 / 1.1.1.1), of voeg de nieuwe DNS-provider toe DS record naast de oude als u een geplande migratie van meerdere ondertekenaars uitvoert.
7. Update de naamservers (NS) bij uw domeinregistreerder: Vervang de dode naamservers door ns1.rescuedns.com en ns2.rescuedns.com in het paneel Aangepaste naamservers van uw registrar (opmerking: wijzigen NS records in de zone-editor doen niets als de oude servers dood zijn; u moet de Glue / Parent Delegation Nameservers op registrarniveau wijzigen).
8. ** Zuiveren NS en DS caches op Google (8.8.8.8) en Cloudflare (1.1.1.1)**: Gebruik de tools voor het opschonen van de openbare cache uit Fase 2, Stap 3 om onmiddellijke adoptie van de nieuwe naamservers af te dwingen.

Fase 4: Het overleven van de 60 dagen durende ICANN Registrar Transfer Lock tijdens een noodsituatie¶

Wat moet u doen als u uw domein moet overdragen naar een nieuwe registreerder (ICANN Inter-Registrar Transfer), om vervolgens geblokkeerd te worden door Domain Status: clientTransferProhibited en een bericht met de tekst: "Voor dit domein geldt een ICANN Transfer Lock van 60 dagen omdat de contactgegevens onlangs zijn bijgewerkt"?

1. Waarom de blokkering van 60 dagen is geactiveerd: Volgens het ICANN-overdrachtsbeleid (sectie II.C.1) plaatsen registrars een overdrachtsblokkering van 60 dagen wanneer een domein nieuw wordt geregistreerd, wordt overgedragen tussen registrars of een "wijziging van registrant" ondergaat (waarbij de voornaam, achternaam, organisatienaam of e-mailadres van de contactpersoon van de registrant worden bijgewerkt).
2. Hoe u de blokkering van 60 dagen voor het wijzigen van registrant kunt omzeilen of zich hiervoor kunt afmelden:
3. Voordat u de WHOIS-contactgegevens bewerkt: Bijna alle grote registrars bieden een selectievakje direct op het contactbewerkingsscherm met de titel: "Meld u af voor de 60 dagen durende overdrachtsblokkering na deze contactupdate." Als u dat vakje aanvinkt, kunt u het e-mailadres van uw beheerder/registrant bijwerken en nog steeds een EPP Auth-Code (Transfer Secret) om het domein nog dezelfde dag te verhuizen.
4. Houd er rekening mee dat u de domeinregistratie NIET hoeft over te dragen om van DNS-provider te veranderen: zelfs als een domein 60 dagen vergrendeld is tegen Registrar-overdrachten (clientTransferProhibited), kunt u nog steeds de Nameservers (NS records) op elk moment bij de huidige registrar zonder wachttijd; het wisselen van DNS duurt minuten, terwijl een volledige registraroverdracht 5 tot 7 dagen duurt, tenzij de verliezende registrar meteen klikt Uitgaande overdracht goedkeuren (FOa) knop.

Fase 5: Domeinregistraties en DNS beveiligen tegen toekomstige storingen¶

Zodra uw domein en DNS-resolutie 100 procent zijn hersteld, vult u deze checklist voor veerkracht in:

• Inschakelen Registry Lock (serverDeleteProhibited, serverUpdateProhibited, serverTransferProhibited) op bedrijfskritische productiedomeinen: Standaard Registrar Lock (clientTransferProhibited) kan met een enkele klik worden uitgeschakeld als een aanvaller uw registrar-login kaapt. Registervergrendeling (aangeboden door Verisign, PIR, Cloudflare, CSC, MarkMonitor, Gandi en Porkbun/Namecheap voor bedrijfsdomeinen) vergrendelt het domein rechtstreeks op het TLD-registerniveau, waardoor out-of-band spraak-/cryptografische verificatie door meerdere personen vereist is voordat enige NS record kan worden gewijzigd of het domein kan worden verwijderd.
• Vernieuw productiedomeinen vooraf voor 5 tot 10 jaar (ICANN maximum horizon is 10 years): Verlaat nooit een bedrijfskritisch domein dat van jaar tot jaar wordt verlengd, waarbij een enkele verlopen bedrijfscreditcard een verlooponderbreking kan veroorzaken. 5 tot 10 jaar in één keer vooruitbetalen.
• Gebruik nooit een @yourdomain.com e-mailadres als contactpersoon voor inloggen of factureringsmeldingen bij de beherende registrar yourdomain.com: Gebruik een speciale beveiligingsdistributielijst op een onafhankelijk beheerdersdomein of een beveiligd extern account en controleer RDAP / WHOIS vervaldata via geautomatiseerde externe Prometheus/Uptime monitoren (domain_expiry_days < 60).
• Lager NS en DS TTL's (300 aan 3600 seconden) 48 uur vóór een geplande DNS-migratie: het vooraf verlagen van TTL's zorgt ervoor dat resolvers binnen 5 minuten na een geplande overstap overstappen.

Regionale noodnummers en protocollen van instanties¶

Wanneer een domein- of DNS-storing gevolgen heeft voor zorginstellingen, hulpdiensten, gemeentelijke nutsvoorzieningen of overheidsinfrastructuur, volgt u deze regionale escalatiekanalen:

• Verenigde Staten en Canada: Bel 911 als een domein-/DNS-storing klinische ziekenhuistelemetrie, ambulancedienst of levensveiligheidssystemen uitschakelt. Rapporteer DDoS-aanvallen op de DNS-infrastructuur of BGP/DNS-kaping aan CISA (1-844-Say-CISA / cisa.gov/report), de FBI IC3 (ic3.gov), of het Canadian Center for Cyber Security (1-833-CYBER-88). Voor .gov domeinen, neem dan contact op met de CISA .gov Registrar Helpdesk.
• Verenigd Koninkrijk: Bel 999 voor levensbedreigingen of acute verstoringen van de NHS. Meld kritieke DNS-storingen of domeinkapingen aan het NCSC (ncsc.gov.uk) en neem contact op met Nominet (01865 332244) direct voor spoed .uk / .gov.uk / .nhs.uk register problemen.
• Europese Unie: Bel 112 in alle EU-lidstaten. DNS-serviceproviders en TLD-naamregisters vallen onder de EU NIS2-richtlijn (Directive 2022/2555) en moeten aanzienlijke beschikbaarheidsincidenten binnen 24 uur melden aan hun nationale CSIRT.
• Australië en Nieuw-Zeeland: Kies 000 in Australië of 111 in Nieuw-Zeeland; rapporteer kritieke DNS- of domeinincidenten aan de ACSC (1300 CYBER1), auDA (voor .au), of Domain Name Commission NZ (voor .nz).
• India en Azië-Pacific: Kies 112 in India voor noodhulp; rapporteer aanvallen op de DNS/domeininfrastructuur aan CERT-In (incident@cert-in.org.in) binnen 6 uur of NIXI voor .in registerescalaties.

Veelgestelde vragen¶

Waarom werkte mijn domein 24 uur vóór het officiële WHOIS-vervaltijdstempel niet meer?¶

Controleer eerst de tijdzones: WHOIS `Registry Expiry Date` wordt altijd afgedrukt in **UTC (`Z`)**, wat 4 tot 8 uur voorloopt op de Noord-Amerikaanse tijdzones (wat betekent dat een domein verloopt op `2026-11-01T04:00:00Z` vervalt feitelijk op `8:00 PM PDT` op 31 oktober). Ten tweede, als uw `NS` records hadden een `24-hour` of `48-hour` TTL en de registrar hebben ze omgeruild `00:00 UTC` op de vervaldag komen gebruikers van wie de oplossing vroeg is vernieuwd onmiddellijk op de parkeerpagina terecht, terwijl anderen urenlang in de cache blijven staan.

Mijn registrar is volledig failliet of reageert niet (Dead / De-accredited Registrar), en mijn domein verloopt. Hoe red ik het?¶

Wanneer ICANN een falende registrar beëindigt of deaccrediteert volgens de **De-Accredited Registrar Transition Procedure (`DARTP`)**, ICANN draagt alle domeinen automatisch in bulk over naar een opkomende custodian registrar, zonder kosten voor registranten. Controleer `whois yourdomain.com` (of `lookup.icann.org`) om te zien welke **Registrar** en **IANA ID** momenteel uw domein bezit, of dien direct een dringende **Domeinverlenging/overdrachtsklacht** in bij **ICANN Contractual Compliance (`icann.org/compliance/complaint`)**.

Waarom werkt mijn website voor sommige klanten op mobiele data, maar wordt de verlopen parkeerpagina nog steeds weergegeven op ons kantoor Wi-Fi 6 uur nadat ik het domein heb verlengd?¶

Uw kantoornetwerk of lokale ISP recursieve DNS-resolver heeft de parkeerpagina van de registrar in de cache opgeslagen `NS` en `A` records terwijl het domein was verlopen, en parkeernaamservers zetten notoir hoge TTL's in (`3,600` aan `86,400` seconden / 24 uur), zodat advertentiepagina's langer in het cachegeheugen blijven. Google doorspoelen (`8.8.8.8`) en Cloudflare (`1.1.1.1`) met behulp van hun webopschoningstools en vervolgens op uw lokale computer uitvoeren `ipconfig /flushdns` (Vensters), `sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder` (macOS), of `sudo resolvectl flush-caches` (Linux).

Wat gebeurt er met e-mails waarnaar wordt verzonden? @yourdomain.com Terwijl ons domein of DNS 18 uur is verlopen? Zijn ze voor altijd verloren?¶

In de meeste gevallen legitieme e-mails die tijdens de eerste 12 tot 48 uur van een DNS-storing worden verzonden, gaan NIET verloren: ze worden in de wachtrij geplaatst op de mailserver van de afzender en komen de komende uren automatisch aan. Onder **`RFC 5321` (Simple Mail Transfer Protocol, Sectie 4.5.4.1)**, wanneer een verzendende mailserver (`Gmail`, `Microsoft Exchange Online`, `Postfix`) krijgt een tijdelijke DNS-lookup-fout (`SERVFAIL`) of kan geen verbinding maken met een `MX` host, wordt het bericht gedurende **4 tot 5 dagen in een wachtrij voor opnieuw proberen geplaatst (`96 to 120 hours`)**, opnieuw proberen met exponentieel uitstel. Als de verlopen parkeerpagina van de registrar echter een **wildcard null bevat `MX` opnemen (`0 .`)** of een parkeermailserver die mail weigerde met een hard `550 5.1.1 User Unknown` permanente bounce, deze afzenders ontvingen onmiddellijk een bouncemelding en moeten hun e-mails opnieuw verzenden.

Kan ik tegelijkertijd twee DNS-providers instellen (Cloudflare + Route 53) door simpelweg twee Cloudflare op te sommen NS records en twee Route 53 NS gegevens bij mijn registrar?¶

Ja, zolang `DNSSEC` is uitgeschakeld (of correct geconfigureerd met `RFC 8901` Multi-Signer DNSSEC) en beide providers bedienen identieke DNS-records. Recursieve oplossers ondervragen alle vermelde ouders `NS` records met behulp van round-robin/RTT-latentieselectie (`SRTT`). Als je een lijst maakt `ns1.providerA.com`, `ns2.providerA.com`, `ns1.providerB.com`, en `ns2.providerB.com` in de aangepaste naamservers van uw registrar en houd beide zones gesynchroniseerd met **OctoDNS**, **DNSControl**, **Terraform** of `AXFR / IXFR` zoneoverdrachten overleeft uw domein automatisch een 100 procent uitval van een van beide DNS-providers.

Wat is het verschil tussen clientHold en serverHold in WHOIS?¶

EPP-statuscodes beginnend met **`client...`** (`clientHold`, `clientTransferProhibited`) worden ingesteld door uw **Domeinregistrar** (de verkoper waar u uw account beheert, zoals Namecheap of GoDaddy) en kunnen onmiddellijk worden verwijderd door het ondersteunings- of factureringssysteem van uw registrar. Statuscodes beginnend met **`server...`** (`serverHold`, `serverTransferProhibited`) worden rechtstreeks ingesteld door de **TLD Registry Operator** (`Verisign`, `PIR`, `Nominet`) als gevolg van rechterlijke bevelen, UDRP-geschillen, opschorting van misbruik op registerniveau of hardware **Registervergrendeling**, en waarvoor u via uw registrar contact moet opnemen met het Register om deze op te heffen.

Gerelateerde handleidingen¶

• Domeinnaamkaping, verlopen DNS en overname van websites
• SSL/TLS-certificaat verlopen tijdens productie, HSTS-voorbelastingsblokkering, CA CAA-recordblokkering en noodverlenging
• Aangepaste domeinbeheerdersvergrendeling van Google Workspace of Microsoft 365, DNS TXT-verificatie en herstel van tenants
• DNS-kaping, WAN-herconfiguratie van ISP-router en captive portal-spoofing
• Webhostingcrisis, migratie en back-upherstel
• Noodnummers per land

Bronnen en officiële richtlijnen¶

• Internet Corporation voor toegewezen namen en nummers (ICANN): Verlopen registratieherstelbeleid (ERRP), Verlopen domeinverwijderingsbeleid (EDDP), Beleid inzake overdracht tussen registrar (60 dagen vergrendeling van registrantwijziging) en EPP-statuscodereferentie (clientHold, redemptionPeriod, pendingDelete).
• Internet Engineering Taskforce (IETF): RFC 6781 (Operationele praktijken van DNSSEC: sleutelrollovers en noodgevallen DS Verwijdering) & RFC 8901 (Multi-Signer DNSSEC-modellen voor Multi-Provider Authoritative DNS).
• Nationaal Instituut voor Standaarden en Technologie (NIST) (Verenigde Staten): Speciale publicatie 800-81-2: Secure Domain Name System (DNS) Implementatiehandleiding.
• Agentschap voor cyberbeveiliging en infrastructuurbeveiliging (CISA) (Verenigde Staten): Noodrichtlijn 19-01: Beperking van manipulatie van DNS-infrastructuur.
• Agentschap van de Europese Unie voor cyberbeveiliging (ENISA): NIS2 technische richtlijnen voor DNS-serviceproviders en TLD-naamregisters.