Um domínio que não está protegido é um domínio à espera de um problema. Todos os anos, marcas perdem o acesso aos seus domínios por causa de ataques que podiam ter sido evitados com algumas definições simples. Os danos vão além de perder uma morada web. Quando alguém toma o controlo do teu domínio, controla o teu website, o teu email, o teu posicionamento nas pesquisas e a confiança que os visitantes têm no teu nome. A segurança do domínio não é uma ferramenta nem uma definição. É uma combinação de proteções que trabalham em conjunto para tornar o teu domínio difícil de comprometer.
O que abrange a segurança do domínio?
A segurança do domínio é tudo o que protege um nome de domínio de acessos não autorizados, transferências não autorizadas e alterações não autorizadas. Abrange três áreas.
A primeira é a segurança da conta. Trata de proteger a tua conta do registrador para que mais ninguém possa iniciar sessão e fazer alterações. Inclui palavras-passe fortes, autenticação de dois fatores e manter o teu email de contacto bem protegido.
A segunda é a proteção contra transferências. Impede que alguém passe o teu domínio para outro registrador sem a tua autorização. O bloqueio do registrador e os códigos de autorização são as principais ferramentas aqui.
A terceira é a proteção do DNS. Os teus registos DNS dizem à internet onde vive o teu website e para onde vai o teu email. Se alguém alterar esses registos, pode redirecionar o teu tráfego sem nunca transferir o domínio.
A maioria das falhas de segurança de domínios vem de uma destas três áreas ter ficado aberta. Proteger as três é o que é preciso para manter o teu domínio seguro.
Quais são as maiores ameaças ao teu domínio?
As ameaças aos domínios dividem-se em várias categorias. Cada uma visa uma fraqueza diferente, e cada uma exige uma defesa diferente.
Sequestro de domínio
O sequestro acontece quando alguém transfere o teu domínio para outro registrador ou muda a propriedade para a sua própria conta. Depois de a transferência estar concluída, perdes a capacidade de gerir o domínio, de o renovar ou de o apontar para onde quer que seja. A recuperação é lenta e nem sempre tem sucesso. Para uma explicação completa de como funciona o sequestro e de como o evitar, o capítulo sobre como proteger o teu domínio de ser sequestrado explica cada passo.
Apropriação de domínios expirados
Quando o registo de um domínio caduca, entra num período de carência e acaba por ficar disponível para qualquer pessoa o registar. Atacantes e especuladores de domínios vigiam ativamente os domínios que estão prestes a expirar, sobretudo os que têm tráfego e backlinks estabelecidos. No momento em que um domínio cai, registam-no. Nessa altura, recuperá-lo significa negociar com quem o apanhou. O capítulo sobre a expiração de domínios explica cada fase do calendário de expiração e o que acontece em cada etapa.
Ataques de phishing a contas de registradores
Este é um dos pontos de entrada mais comuns. Um atacante envia um email que parece vir do teu registrador. Avisa que o teu domínio está prestes a expirar, que foi detetado um início de sessão suspeito ou que a tua conta precisa de verificação. A ligação leva a uma página de login falsa. Se introduzires as tuas credenciais, o atacante fica com o teu nome de utilizador e palavra-passe e pode entrar na tua conta verdadeira.
A defesa é simples, mas exige disciplina. Nunca cliques em ligações de login em emails. Vai sempre diretamente ao site do teu registrador através do navegador.
Adulteração de DNS
A adulteração de DNS muda o sítio para onde o teu domínio aponta sem mudar quem é o dono. Um atacante que ganhe acesso à tua conta do registrador ou ao teu fornecedor de DNS pode alterar os teus registos A, registos MX ou nameservers. O tráfego do teu website é enviado para outro servidor. O teu email é encaminhado para uma caixa de entrada que não controlas. Os visitantes veem uma página que parece a tua, mas não é.
O mais traiçoeiro é que a adulteração de DNS pode passar despercebida durante horas ou dias se não estiveres a vigiar ativamente os teus registos DNS. Quando reparares, o atacante pode ter intercetado dados de clientes, capturado credenciais de acesso ou danificado a tua reputação.
Engenharia social
Alguns atacantes dispensam por completo a abordagem técnica. Ligam para o apoio do teu registrador, fingem ser tu e pedem para repor as credenciais da conta. Se os teus dados WHOIS estiverem visíveis ao público, já têm o teu nome, email, telefone e morada para tornar a história convincente. Com dados pessoais suficientes, conseguem passar verificações de identidade que foram criadas para te proteger.
Como proteges o teu domínio com o bloqueio do registrador?
O bloqueio do registrador, por vezes chamado bloqueio de transferência, é uma definição de estado que impede que o teu domínio seja transferido para outro registrador. Com o bloqueio ligado, qualquer pedido de transferência é automaticamente rejeitado. É a proteção mais eficaz contra transferências não autorizadas.
A maioria dos registradores oferece esta funcionalidade de graça. Alguns deixam-na desligada por defeito, o que significa que tens de iniciar sessão e ativá-la tu. Só a deves desligar quando estás mesmo a transferir o domínio para um novo registrador, e deves voltar a ligá-la logo a seguir.
O próximo capítulo explica o bloqueio de domínios em pormenor, incluindo os diferentes tipos de bloqueio e quando se aplica cada um.
Porque é que a autenticação de dois fatores importa nos domínios?
A autenticação de dois fatores (2FA) acrescenta um segundo passo de verificação quando inicias sessão na tua conta do registrador. Mesmo que um atacante roube a tua palavra-passe através de phishing ou de uma fuga de dados, não consegue entrar sem controlar também o teu segundo fator.
Usa uma aplicação de autenticação em vez de verificação por SMS. Os códigos SMS podem ser intercetados através de ataques de troca de SIM, em que alguém convence a tua operadora a transferir o teu número de telemóvel para um dispositivo que controla. Um autenticador baseado numa aplicação é mais difícil de comprometer.
Ativa a 2FA na tua conta do registrador e no endereço de email associado a essa conta. Se algum dos dois estiver desprotegido, um atacante pode usá-lo como porta de entrada.
Como protege uma palavra-passe forte o teu domínio?
A palavra-passe da tua conta do registrador é a primeira barreira entre um atacante e o teu domínio. Se for curta, comum ou reutilizada de outro serviço, essa barreira desaparece na prática.
Os atacantes usam ferramentas automáticas que testam nas páginas de login dos registradores combinações de nome de utilizador e palavra-passe divulgadas noutras fugas de dados. Se usaste a mesma palavra-passe num fórum que foi comprometido há três anos, a tua conta do registrador está em risco hoje.
Usa um gestor de palavras-passe para gerar uma palavra-passe aleatória com pelo menos 16 caracteres. Guarda-a no gestor de palavras-passe. Não a escrevas em papel, não a reutilizes e não uses uma variação de uma palavra-passe que uses noutro sítio.
Que papel tem a privacidade WHOIS na segurança do domínio?
A privacidade WHOIS substitui os teus dados pessoais de registo na base de dados pública WHOIS por informação de proxy do teu registrador. O teu nome real, email, telefone e morada ficam escondidos de quem faz uma consulta pública.
Isto importa para a segurança, porque cada dado pessoal que um atacante consiga encontrar facilita a engenharia social. Se souber o teu nome, o teu email e a tua morada, fazer-se passar por ti torna-se simples. A privacidade WHOIS tira esses dados da vista pública. O capítulo sobre a privacidade do domínio explica como funciona e quem a deve ter ativada.
Deves ligar a renovação automática?
Sim. A renovação automática impede que o teu domínio expire porque te esqueceste da data de renovação ou porque um email de renovação foi parar à pasta de spam. Um domínio expirado é um alvo fácil. Os atacantes vigiam bases de dados de expiração e registam domínios valiosos no momento em que ficam disponíveis.
Ativa a renovação automática em todos os domínios que tens. Depois, confirma que o método de pagamento registado está em dia. Um pagamento falhado torna a renovação automática inútil. Define um lembrete no calendário 60 dias antes da expiração como apoio. Se a renovação automática falhar por qualquer motivo, tens tempo para a corrigir antes de o domínio cair.
Como escolhes um registrador que leva a segurança a sério?
Nem todos os registradores oferecem o mesmo nível de proteção. Antes de escolheres um registrador, verifica se suporta 2FA, se oferece bloqueio do registrador, se a privacidade WHOIS está incluída e como a equipa de apoio trata os pedidos de recuperação de contas.
Um registrador que verifica bem a identidade antes de fazer alterações à conta é mais seguro do que um que processa os pedidos depressa e com verificações mínimas. A comodidade de um apoio rápido torna-se uma vulnerabilidade quando é um atacante a ligar.
Procura registradores que ofereçam todas as funcionalidades de segurança como parte do registo normal, e não como extras pagos que tens de te lembrar de ativar.
Como deve ser a tua lista de verificação de segurança do domínio?
Percorre esta lista em cada domínio que tens. Se algum item não estiver assinalado, corrige-o agora.
- O bloqueio do registrador está ativado
- A autenticação de dois fatores está ligada na tua conta do registrador
- A autenticação de dois fatores está ligada no email associado à tua conta do registrador
- A palavra-passe do registrador é única, aleatória e tem pelo menos 16 caracteres
- A palavra-passe do email do registrador é única e está protegida com 2FA
- A privacidade WHOIS está ativada
- A renovação automática está ligada
- O método de pagamento registado está em dia e não vai expirar antes da próxima renovação
- Confirmaste que o processo de recuperação de contas do registrador exige uma verificação de identidade forte
- Verificas os teus registos DNS periodicamente para confirmar que nada mudou
Cada item desta lista responde a uma ameaça específica. O bloqueio do registrador impede transferências não autorizadas. A 2FA faz com que palavras-passe roubadas não sirvam de nada. A privacidade WHOIS tira a matéria-prima da engenharia social. A renovação automática evita ataques baseados na expiração. Em conjunto, formam uma configuração completa de segurança do domínio.
Como o WEMASY protege o teu domínio?
Os domínios registados através do WEMASY incluem o bloqueio de transferência ativado por defeito, a privacidade WHOIS sem custo extra e a renovação automática ligada desde o momento do registo. A tua conta WEMASY suporta autenticação de dois fatores, por isso gerir o teu domínio exige a tua palavra-passe e o teu segundo fator.
Os lembretes de renovação são enviados 90, 60 e 30 dias antes da expiração. As definições de DNS são geridas na mesma conta do teu website, por isso há um só sítio para vigiar e um só conjunto de credenciais para proteger.
Vê o que está incluído em cada plano nos preços do WEMASY.
Perguntas frequentes
Alguém pode roubar o meu domínio se eu tiver todas as definições de segurança ativadas?
Nenhuma configuração de segurança é totalmente inviolável, mas ter o bloqueio do registrador, a 2FA, uma palavra-passe forte e única e a privacidade WHOIS ativados em conjunto torna um ataque bem-sucedido extremamente improvável. Cada camada bloqueia um método de ataque diferente. Um atacante teria de contornar todas em simultâneo, o que dá muito mais trabalho do que visar um domínio com proteção mais fraca. Com o criador de websites do WEMASY, podes configurar isto diretamente no teu website.
Com que frequência devo verificar as definições de segurança do meu domínio?
Pelo menos de três em três meses. Inicia sessão na tua conta do registrador, confirma que o bloqueio do registrador continua ligado, verifica se o teu email de contacto ainda está acessível, confirma que a renovação automática está ativa e revê os teus registos DNS à procura de alterações que não fizeste. Se o teu registrador envia emails de notificação, garante que vão para uma caixa de entrada que vigias ativamente.
A segurança do domínio é diferente da segurança do website?
Sim. A segurança do domínio protege o próprio nome de domínio, incluindo quem é o dono, para onde aponta e quem o pode transferir. A segurança do website protege o conteúdo, o código e os dados no servidor para onde o teu domínio aponta. Precisas das duas. Um website perfeitamente protegido continua vulnerável se alguém tomar o controlo do domínio e desviar o tráfego.
Ter um certificado SSL conta como segurança do domínio?
Um certificado SSL cifra a ligação entre o navegador do visitante e o teu servidor. Protege os dados em trânsito, mas não protege quem é o dono ou controla o próprio domínio. Se um atacante transferir o teu domínio para a sua conta, pode emitir um novo certificado SSL para ele. O SSL faz parte da segurança geral do website, não da segurança do domínio em particular.
O que devo fazer primeiro se achar que o meu domínio foi comprometido?
Muda de imediato a palavra-passe da tua conta do registrador e ativa a 2FA se ainda não estiver ligada. Depois verifica os teus registos DNS à procura de alterações não autorizadas. Contacta a equipa de apoio do teu registrador e comunica a suspeita de comprometimento. Se tiver sido iniciada uma transferência, pede-lhes que a congelem. Documenta tudo com capturas de ecrã para qualquer processo de litígio que se siga.
O próximo capítulo trata do bloqueio de domínios, incluindo os diferentes tipos de bloqueio, como funcionam e quando deves usar cada um.