Domain anonym registrieren: WHOIS-Privatsphäre und was trotzdem durchsickert

Was die Schwärzung tatsächlich entfernt hat

2018 wurde der Registrierungseintrag der meisten Domains geleert. Die DSGVO kam, ICANN wies die Registrare an, Registranten-Namen, -Adressen, -Telefonnummern und -E-Mails nicht mehr in der öffentlichen WHOIS-Ausgabe zu veröffentlichen, und eine Abfrage, die früher eine Person zurückgab, lieferte fortan REDACTED FOR PRIVACY und ein Kontaktformular. Das liest sich wie Privatsphäre. Es ist eine Anzeigeeinstellung.

Darunter hat sich nichts bewegt. Ihr Registrar hält weiterhin den vollständigen Eintrag, ist im Rahmen seiner Akkreditierung weiterhin dazu verpflichtet, und gibt ihn weiterhin an jeden heraus, der ein berechtigtes Interesse geltend macht — eine gerichtliche Anordnung, eine Anfrage von Strafverfolgungsbehörden, und in der Praxis etwas weit Billigeres. Eine UDRP-Beschwerde kostet ein paar Tausend Dollar, braucht keinen Richter und löst einen Verifizierungsschritt des Registrars aus, der den zugrunde liegenden Registranten gegenüber dem Beschwerdeführer offenlegt, noch bevor der Fall überhaupt entschieden ist. Das ist der Demaskierungsweg, den fast niemand einkalkuliert, und es ist der erste, zu dem ein Markeninhaber greift.

Zwei weitere Dinge haben die Schwärzung überlebt. Das erste ist Geschichte: kommerzielle Archive haben WHOIS zwei Jahrzehnte lang mitgeschnitten, und diese Schnappschüsse verfallen nicht — ein Name, der vor 2018 mit echten Angaben registriert wurde, ist also dauerhaft exponiert, ganz gleich, was der Eintrag heute zeigt. Das zweite ist der Rest Ihrer eigenen Konfiguration — die Nameserver, die Sie gewählt haben, die Adresse, die in Ihrem SOA vergraben ist, das DMARC-Report-Postfach, jedes Zertifikat, das Sie je beantragt haben. Die Schwärzung hat ein Feld geleert und vier andere weiter veröffentlichen lassen, und genau diesen vier widmet dieser Guide das meiste seiner Zeit.

Wählen Sie die Endung, bevor Sie den Registrar wählen

Registrar-Richtlinien sind der Registry-Richtlinie nachgeordnet, und die Registry-Richtlinie hängt wiederum davon ab, wo das Registry-Unternehmen zufällig eingetragen ist. Ein Registrar kann bei Privatsphäre versprechen, was er will; er kann nicht mehr versprechen, als seine Registry erlaubt, und keiner von beiden kann irgendetwas über ein Gericht in der Jurisdiktion der Registry selbst versprechen. Die Reihenfolge ist also entscheidend, und die meisten Leute drehen sie um: Erst die Endung wählen, dann, wer sie Ihnen verkauft.

Drei Eigenschaften unterscheiden Endungen. Wo der Registry-Betreiber sitzt entscheidet, wessen Gerichte eine Suspendierung eines Namens an der Wurzel anordnen können — bei den großen klassischen gTLDs sind das die USA, weshalb eine .com, die jemand ganz ohne US-Präsenz hält, trotzdem auf eine US-Anordnung hin beschlagnahmt werden kann, und weshalb Ihre eigene Jurisdiktion weit weniger zählt, als Sie hoffen würden. Was die Registry standardmäßig veröffentlicht variiert enorm: Manche ccTLD-Registries schwärzen mehr als gTLDs, andere drucken einen Registranten-Namen für jeden, der fragt, und einige verlangen eine verifizierte lokale Präsenz, die Sie nur mit einer echten Identität erfüllen könnten. Ob Privatsphäre-Dienste überhaupt erlaubt sind ist eine Registry-Regel und keine Registrar-Funktion — eine Handvoll Endungen verbietet Proxy-Registrierung rundweg, und verkauft Ihnen ein Registrar bei einer davon trotzdem Privatsphäre, wird sie Ihnen später einfach wieder entzogen.

Nichts davon ist stabil genug, um es sich zu merken, und jede Liste "privatsphärefreundlicher TLDs", die Sie online finden, ist bereits teilweise falsch, wenn Sie sie lesen. Prüfen Sie es stattdessen selbst: Schritt zwei führt die Recherchen aus, die alle drei Fragen für jede Endung beantworten, die Sie in Betracht ziehen — anhand einer Domain, die Ihnen nicht gehört. Führen Sie sie aus, bevor Sie bezahlen, denn eine schlechte Endung lässt sich nicht durch einen Registrar-Wechsel reparieren. Sie lässt sich nur reparieren, indem Sie mit einem anderen Namen neu anfangen.

Drei Registrar-Modelle und was jedes davon übersteht

Ohne das Marketing bleiben drei Modelle übrig. Beim Proxy-Modell sind Sie der Registrant, und der Registrar veröffentlicht seine eigenen Kontaktdaten anstelle Ihrer. Ihre Daten stehen bereits in der Datenbank des Registrars, die Schwärzung ist Kosmetik über einem vollständigen Eintrag, und die eigenen AGB des Proxy-Anbieters behalten sich fast immer das Recht vor, Sie bei einer "angemessenen" Anfrage eines Dritten offenzulegen. Es besiegt Scraper und Datenhändler vollständig. Es besiegt nichts, das mit einem Anwalt ankommt.

Beim Owner-of-Record-Modell — dem Modell, das Njalla populär gemacht hat — registriert der Anbieter den Namen auf seinen eigenen Namen und räumt Ihnen ein vertragliches Nutzungsrecht ein, sodass Ihre Identität überhaupt nie zum Registranten wird. Es gibt nichts in der Registry offenzulegen, weil dort nichts steht. Der Kompromiss ist real und es lohnt sich, ihn klar zu benennen: Die Domain gehört Ihnen rechtlich nicht. Sie verlassen sich auf die Solvenz eines einzelnen Unternehmens, seine Bereitschaft, einer Anfrage zu widerstehen, und sein fortbestehendes Interesse am Geschäft. Geht es unter, wird es aufgekauft, oder entscheidet es, dass Sie mehr Ärger sind, als Sie wert sind, bleibt Ihnen nur ein Vertragsstreit um einen Vermögenswert, der auf jemand anderen registriert ist.

Das dritte Modell ist eine eigene, saubere Registranten-Identität: eine echte Registrierung unter einem Handle ohne Vorgeschichte, auf einem Postfach, das für nichts anderes existiert, bezahlt in Krypto, bei einem Registrar in einer Jurisdiktion, die weder mit Ihrem Host noch mit Ihnen zu tun hat. Sie skaliert über eine einzelne Domain hinaus, sie hängt vom Goodwill keines einzelnen Unternehmens ab, und genau darauf baut der Rest dieses Guides auf. Sie versagt außerdem am härtesten, wenn Sie unvorsichtig sind, denn alles beruht darauf, dass diese Identität nirgendwo sonst mit Ihnen in Verbindung gebracht wird — das Fehlerbild, das der Ownership-Guide Schicht für Schicht durchgeht. Die beiden Modelle lassen sich übrigens gut kombinieren: Eine Owner-of-Record-Registrierung, gekauft von einer sauberen Identität, ist stärker als jedes für sich allein.

Das Anmeldeformular: was Sie verweigern können, was Sie sperrt

Das Formular verlangt einen Namen, eine Postanschrift, eine Telefonnummer und eine E-Mail-Adresse. Drei davon sind Vertragsdaten, die der Registrar vorhalten muss und so gut wie nie überprüft. Eine davon trägt das Gewicht. Die E-Mail-Adresse ist die, auf die es ankommt: Laut Registrar-Akkreditierungsvertrag muss die Registranten-Adresse nach der Registrierung verifiziert werden, und klickt niemand auf den Link, wird die Domain gesperrt — üblicherweise innerhalb von fünfzehn Tagen. Ein Wegwerf-Postfach, das aufhört zu existieren, reißt die Domain mit sich.

Die Adresse muss also ein Alias sein, den Sie wirklich kontrollieren und auch in drei Jahren noch lesen werden, bei einem Anbieter, der für die Kontoeröffnung keine Telefonnummer verlangt und das Konto nicht wegen Inaktivität schließt. Alles andere auf diesem Formular ist ein Konsistenzproblem, kein Wahrheitsproblem: Wählen Sie einen plausiblen Satz an Angaben, speichern Sie ihn verschlüsselt, und verwenden Sie exakt dieselben beim Registrar, im Kontoprofil und in jedem Support-Ticket, das Sie je eröffnen. Inkonsistenz ist es, was ein Konto in die manuelle Prüfung leitet, und in der manuellen Prüfung beginnt ein Mensch, nach Dokumenten zu fragen.

Zahlen Sie anschließend über einen Kanal, der keinen bürgerlichen Namen in einen Datensatz einträgt. Eine Karte macht die ganze Übung zunichte, ganz gleich, was WHOIS sagt, denn der Eintrag des Zahlungsabwicklers überlebt die Registrierung und lässt sich trivial per Vorladung anfordern; der Guide zu anonymen Zahlungen ordnet die Optionen danach, was jede davon preisgibt. Nimmt der Registrar Monero direkt an, ist das der saubere Weg. Nimmt er nur Bitcoin, behandeln Sie die Zahlung als dauerhaft nachverfolgbar und finanzieren Sie sie entsprechend. Nimmt er keines von beidem, hat Ihnen der Registrar etwas Nützliches über die Kunden verraten, die er will.

DNS ist die zweite Registrierung

In dem Moment, in dem Sie eine Zone veröffentlichen, veröffentlichen Sie sich selbst erneut, in Feldern, die niemand als Identität begreift. Der SOA-Eintrag trägt eine E-Mail-Adresse, deren erster Punkt für das @ steht, und von Hand geschriebene Zonendateien tragen dabei regelmäßig eine echte. Die Nameserver-Namen sind ein Fingerabdruck: Zeigen Sie zwei Domains auf dieselben eigenen Nameserver, haben Sie sie dauerhaft verknüpft, in einem Datensatz, den Reverse-Nameserver-Suchmaschinen indexieren und aufbewahren. Und wenn diese Nameserver innerhalb der Domain selbst liegen, veröffentlicht die Registry Glue Records — deren IP-Adressen, in der Root-Zone, außerhalb der Reichweite jedes CDN, das Sie vor die Seite schalten. Manche verbringen eine Woche damit, einen Origin zu verstecken, und geben seine Adresse dann in einem Glue Record preis.

DNSSEC verdient eine eigene Warnung, denn es wird als Sicherheitsfunktion verkauft und verhält sich wie eine Offenlegungsfunktion. Eine Zone mit NSEC zu signieren veröffentlicht eine verkettete Liste jedes darin enthaltenen Namens, die jeder in Sekunden durchlaufen kann. NSEC3 hasht die Namen stattdessen, was besser klingt und nur den Preis erhöht: Die Hashes lassen sich offline knacken, und es gibt Tools, die nichts anderes tun. Signieren Sie die Zone, wenn Sie authentifizierte Antworten wollen, aber gehen Sie mit dem Wissen hinein, dass Sie Ihre Subdomain-Liste damit nicht verbergen. Das haben Sie nie.

Wo die Zone bedient wird, ist eine eigene Entscheidung, unabhängig davon, wer den Namen registriert hat, und beides auf zwei Unternehmen in zwei Ländern zu verteilen, ist mehr wert als jede der beiden Entscheidungen für sich. Eigene Nameserver zu betreiben kauft Kontrolle und einen kleinen, unverwechselbaren Fingerabdruck; die eines großen Anbieters zu nutzen kauft Anonymität in der Masse und ein Unternehmen, das jede Abfrage protokolliert und eine Anfrage dazu beantworten wird. Eine kostenlose Option gibt es hier nicht, nur eine Wahl, welcher Eintrag Ihnen lieber ist. Sitzt die Seite hinter der Zone hinter einem Edge, deckt der Origin-IP-Guide den Rest dieser Kette ab.

Die Lecks, die nach der Anmeldung entstehen

Certificate Transparency ist der große Brocken. Jedes öffentlich vertrauenswürdige Zertifikat wird in ein öffentliches, nur anhängbares, dauerhaft durchsuchbares Log geschrieben, sodass jeder Name, den Sie je von einer CA signieren ließen, auffindbar ist — einschließlich der Hosts staging., vpn. und old-, von denen Sie annahmen, dass sie niemand kennt, und einschließlich des internen Namens, den Sie einmal versehentlich ausgestellt und noch am selben Nachmittag gelöscht haben. Ein Log-Eintrag lässt sich nicht zurückziehen. Die einzige Kontrolle liegt vorgelagert: Fordern Sie ein Wildcard-Zertifikat über DNS-01-Validierung an, damit einzelne Hostnamen ein Log gar nicht erst betreten, und halten Sie wirklich private Namen auf einer internen CA, die nichts protokolliert.

Mail veröffentlicht zwei weitere. Ein SPF-Eintrag nennt das Relay, über das Sie versenden. Ein DMARC-Eintrag nennt meist einen Menschen, weil rua= das Ziel der Reports ist und Leute dort ihr echtes Postfach eintragen. Und ein MX, der auf dieselbe Maschine zeigt, die auch die Seite bedient, liefert die Origin-Adresse an jeden, der eine einzige Abfrage stellt — Mail ist mit Abstand der häufigste Weg, wie ein Origin hinter einem Edge auffliegt.

Die letzte Kategorie ist Korrelation, und sie ist es, die ansonsten sorgfältige Arbeit zunichtemacht. Derselbe Nameserver-Satz über zwei Personas hinweg verknüpft sie. Genauso ein einzelnes Zertifikat, das beide Namen abdeckt, dieselbe Analytics-ID, dasselbe Favicon — internetweite Scanner indexieren Favicon-Hashes genau deshalb, weil sie sich so hervorragend als Fingerabdruck eignen —, derselbe ungewöhnliche Response-Header, derselbe Registrar zur selben Stunde derselben Nacht. Jedes für sich ist ein schwaches Indiz. Drei zusammen sind es nicht. Die Schritte vier und sechs führen die Recherchen aus, die ein Angreifer anstellen würde, gegen Ihre eigene Domain — der einzige ehrliche Weg zu erfahren, was Sie tatsächlich veröffentlicht haben.

Verlängerung, Transfer und das Scheitern im dritten Jahr

Anonyme Domains sterben selten an einer Vorladung. Sie sterben an einer abgelaufenen Registrierung. Das Alias-Postfach wurde nicht mehr gelesen, die Verlängerungsbenachrichtigung kam als Bounce zurück, das Guthaben ging zur Neige, und ein Name, an dem ein Jahr Arbeit hing, fiel in den Pool, wo ein Drop-Catcher bereits wartete. Schalten Sie die automatische Verlängerung ein, halten Sie beim Registrar genug Guthaben für mehrere Jahre vor, und tragen Sie das Ablaufdatum in ein Alerting ein, das Sie auch tatsächlich ansehen — Schritt sieben zieht es direkt aus der Registry, sodass die Erinnerung nicht von dem Postfach abhängt, das am ehesten ausfällt.

Locks sind die andere Hälfte, und sie sind kostenlos. clientTransferProhibited, clientUpdateProhibited und clientDeleteProhibited brauchen je einen Klick und legen die gesamte Angriffsklasse lahm, die damit beginnt, dass jemand in Ihr Registrar-Konto eindringt. Manche Registries bieten zusätzlich ein Registry-Lock an, das eine Bestätigung außerhalb des üblichen Kanals verlangt, bevor sich irgendetwas ändert, und das sich für einen Namen lohnt, den Sie sich nicht leisten können zu verlieren. Bewahren Sie den Transfer-Autorisierungscode verschlüsselt und offline auf, und wissen Sie, dass eine Änderung des Registranten-Kontakts ein sechzigtägiges Transferverbot auslöst — erledigen Sie diese Hausaufgabe also, wenn Sie es nicht eilig haben, niemals mitten in einem Vorfall.

Planen Sie dann für die Version davon, in der Sie nicht verfügbar sind. Eine Domain, die auf eine anonyme Identität registriert ist, kennt kein Nachlassverfahren, keine Support-Eskalationsstufe und keinen Eigentumsnachweis jenseits der Zugangsdaten selbst — was eine verschlüsselte Kopie der Kontodetails, der Wiederherstellungscodes und des Auth-Codes, aufbewahrt dort, wo eine Person Ihres Vertrauens irgendwann herankommt, zum Einzigen macht, das zwischen einem langlebigen Projekt und einem toten Namen steht. Dieselbe Logik gilt für die Maschine dahinter: Ein verschlüsseltes Off-Site-Backup, das niemand wiederherstellen kann, ist ein Backup, das Sie nicht haben.

Ein realistisches Bedrohungsmodell

Seien Sie präzise darüber, was das hier abwehrt. Gegen Scraper, Datenhändler, Konkurrenten, Open-Source-Rechercheure und den Opportunisten, der von einem Ihrer Namen auf alle anderen überspringt, funktioniert eine saubere Registranten-Identität mit einer leckfreien Zone, und sie funktioniert vollständig — es gibt nichts im öffentlichen Eintrag, von dem aus man ansetzen könnte. Gegen einen zivilrechtlichen Kläger hebt sie die Kosten von einer kostenlosen Abfrage auf ein Gerichtsverfahren, was ein realer und oft entscheidender Unterschied ist. Gegen eine von einem Markeninhaber eingereichte UDRP-Beschwerde bringt Ihnen das Proxy-Modell sehr wenig, und das Owner-of-Record-Modell bringt Ihnen ein Unternehmen, das entscheiden muss, wie hart es in Ihrem Namen kämpfen will.

Gegen einen Staat mit Jurisdiktion über Ihre Registry gewinnt das nicht, und das schafft keine Registrar-Konstellation: Der Name kann an der Wurzel suspendiert werden, ganz gleich, wer ihn hält. Das ist ein Argument dafür, die Endung bewusst zu wählen und Ihre Inhalte so weit im Griff zu haben, dass Sie sie umziehen können — nicht für einen cleveren Registrar. Und gegen Ihre eigenen Fehler bietet das gar nichts. Ein Login aus einem persönlichen Browser-Profil, ein Support-Ticket, geschrieben in Ihrem gewohnten Ton von Ihrer gewohnten Adresse, ein Zertifikat, das beide Personas abdeckt, und der Eintrag, den Sie sich in diesem Guide die Mühe gemacht haben, sauber zu halten, ist an einem Nachmittag wieder zusammengeflickt.

Bauen Sie für den Angreifer, den Sie tatsächlich haben. Für die meisten Menschen lautet die ehrliche Antwort: Datenhändler und Opportunisten, und die Einträge aus den Schritten fünf und sechs zu schließen, reicht aus. Ist Ihre Exposition höher, denken Sie daran, dass die Domain nur eine von mehreren Schichten ist: Kombinieren Sie sie mit einem Host, der nie gefragt hat, wer Sie sind, einer am ersten Tag gehärteten Maschine, und einer Zahlung, die keinen Namen trägt. Privatsphäre ist eine Kette, und jeder Guide hier beschreibt ein anderes Glied derselben Kette.

Schritt für Schritt

1. 01

   Prüfen, was der Name bereits veröffentlicht

   Beginnen Sie mit der Domain, die Sie haben, oder mit einer, die Sie gerade von jemand anderem kaufen wollen. RDAP ist der maschinenlesbare Registrierungsdienst, der Port-43-WHOIS für gTLDs abgelöst hat, er spricht JSON über HTTPS, und rdap.org bootstrapt Sie zur richtigen Registry. Viele ccTLDs antworten weiterhin nur auf Port 43, und etliche von ihnen veröffentlichen mehr, als eine gTLD es täte.

   # gTLDs: RDAP is the authoritative registration record
   curl -s https://rdap.org/domain/example.com | jq '{
     status,
     ns:     [.nameservers[]?.ldhName],
     events: [.events[] | {(.eventAction): .eventDate}],
     roles:  [.entities[]?.roles[]?]
   }'
   
   # the fields that are supposed to be blank -- read them, do not assume
   curl -s https://rdap.org/domain/example.com \
     | jq -r '.. | objects | select(has("vcardArray")) | .vcardArray[1][]
              | select(.[0]=="fn" or .[0]=="email" or .[0]=="adr")
              | "\(.[0]): \(.[3])"'
   
   # ccTLDs: many are port-43 only, and less redacted than you expect
   whois example.de | grep -viE '^%|^$'

   Kommt ein echter Name, eine echte Adresse oder eine persönliche E-Mail zurück, stoppen Sie hier: Ein Transfer der Domain wird das nicht löschen, denn die Archive haben es bereits. Dieser Name ist für Privatsphäre-Zwecke verbrannt, und der ehrliche Schritt ist, einen neuen zu registrieren und umzuleiten.

2. 02

   Die Endung testen, bevor Sie sich darauf festlegen

   Vergleichen Sie Kandidaten-Endungen empirisch statt anhand eines Blogposts. Schlagen Sie in jeder eine Domain nach, die Ihnen nicht gehört, und lesen Sie, was die Registry tatsächlich zurückgibt, dann prüfen Sie, wer diese Registry betreibt und wo. Die Ausgabeform unterscheidet sich zwischen Registries, und genau deshalb lohnt es sich, das auszuführen, statt es anzunehmen.

   # what does each registry publish about a registrant?
   for d in example.com example.de example.is example.nl; do
     printf '\n== %s\n' "$d"
     curl -s "https://rdap.org/domain/$d" \
       | jq -r '.entities[]? | "\(.roles|join(",")): \(
           [.vcardArray[1][]? | select(.[0]=="fn")][0][3] // "redacted")"' \
       2>/dev/null || whois "$d" | grep -iE '^(registrant|owner|admin-c)'
   done
   
   # who runs the registry, and under whose law does that company sit?
   curl -s https://www.iana.org/domains/root/db/is.html \
     | sed -n 's/.*Organisation:*//p;/Registry Information/,+6p' | head -20

   Drei Antworten entscheiden. Veröffentlicht die Registry standardmäßig einen Registranten-Namen? Verlangt sie eine verifizierte lokale Präsenz? Und wessen Gerichte erreichen den Registry-Betreiber? Alles, was eine lokale Präsenz erfordert, scheidet aus, außer Sie können sie wahrheitsgemäß erfüllen, und alles, dessen Betreiber in einer Jurisdiktion sitzt, die Sie gezielt meiden, scheidet aus, ganz gleich, wie gut der Registrar aussieht.

3. 03

   Die Identität aufbauen, bevor Sie das Konto eröffnen

   Erzeugen Sie die Identität in einem einzigen Durchgang und schreiben Sie nichts im Klartext auf. Das Handle sollte keine Vorgeschichte tragen — kein Nickname, den Sie anderswo benutzt haben, kein Wort, das für Sie eine Bedeutung hat. Das Postfach sollte ein Alias bei einem Anbieter sein, der keine Telefonnummer verlangt, und es muss drei Jahre Vernachlässigung überstehen, denn die Verifizierungs-Mail des Registrars und jede Verlängerungsbenachrichtigung landen dort.

   # a handle with no history and no meaning
   head -c 10 /dev/urandom | base32 | tr -d '=' | tr 'A-Z' 'a-z'
   
   # a key for the secrets this account is about to hand you
   age-keygen -o registrar.key            # public key is printed on stderr
   
   # store profile details, recovery codes and (later) the auth code
   age -r age1... -o registrar.age registrar.txt && shred -u registrar.txt
   
   # read it back only when you need it
   age -d -i registrar.key registrar.age

   Verwenden Sie ein Browser-Profil, das nie mit einem persönlichen Konto in Berührung kam, und erreichen Sie den Registrar jedes Mal über denselben Netzwerkpfad — ein Heimanschluss und ein VPN im Wechsel über mehrere Sitzungen hinweg fällt mehr auf, als konsequent bei einem von beiden zu bleiben. Notieren Sie sich die exakten Profildaten, die Sie angeben; Sie werden sie in zwei Jahren wortgleich in einem Support-Ticket wiederholen müssen.

4. 04

   Registrieren, dann sich selbst mit den Augen eines Fremden betrachten

   Registrieren Sie den Namen, klicken Sie noch am selben Tag auf den Verifizierungslink, und warten Sie dann, bis sich der Eintrag zur Registry propagiert hat, bevor Sie ihn prüfen — die interessante Ausgabe erscheint erst ein paar Stunden später, nicht sofort. Wonach Sie suchen, ist jedes Feld, das nicht geschwärzt wurde, sowie die Statuscodes, die Ihnen sagen, ob die Verifizierung tatsächlich abgeschlossen ist.

   # the public record, 24h in
   curl -s https://rdap.org/domain/example.com | jq '{status, events}'
   # expect: "active" -- NOT "pendingVerification" or "clientHold"
   
   # anything at all that survived redaction
   curl -s https://rdap.org/domain/example.com \
     | jq -r '.. | objects | .vcardArray? // empty | .[1][]
              | select(.[0]=="fn" or .[0]=="email" or .[0]=="adr" or .[0]=="tel")
              | "\(.[0]): \(.[3])"'
   
   # and the archive view: does this name have a past you did not buy?
   curl -s 'https://crt.sh/?q=example.com&output=json' \
     | jq -r '.[] | "\(.not_before)  \(.name_value)"' | sort -u | head -20

   Ein Status clientHold oder pendingVerification eine Woche später bedeutet, dass die Verifizierungs-Mail nie angekommen oder nie angeklickt wurde, und die Domain läuft auf die Sperrung zu. Beheben Sie das vor allem anderen — es ist der mit Abstand häufigste Weg, wie eine korrekt registrierte anonyme Domain in ihrem ersten Monat verloren geht.

5. 05

   Eine Zone veröffentlichen, die Sie nicht verrät

   Jetzt zu dem Teil, der am meisten leckt und am seltensten geprüft wird. Lesen Sie Ihre eigene Zone so, wie ein Fremder sie liest: die SOA-Adresse, die Nameserver-Namen, den Glue, den die Registry in Ihrem Namen veröffentlicht, und ob jemand das Ganze einfach herunterladen kann.

   # SOA -- the second field is an email, first dot standing in for @
   dig +short SOA example.com
   # ns1.example.com. hostmaster.example.com. 2026090601 7200 3600 1209600 3600
   #                  ^-- must not be a personal address
   
   # glue: if your nameservers live inside the domain, the ROOT holds their IPs
   dig +norec +short NS example.com @a.gtld-servers.net
   dig +norec +short ns1.example.com A @a.gtld-servers.net
   
   # can anyone download the entire zone?
   dig AXFR example.com @ns1.example.com | head
   # want: "Transfer failed" -- anything else is your full host inventory
   
   # pin issuance to one CA, and give abuse somewhere impersonal to land
   dig +short CAA example.com
   # 0 issue "letsencrypt.org"
   # 0 iodef "mailto:abuse@example.com"

   Beheben Sie in dieser Reihenfolge: Ersetzen Sie die SOA-Adresse durch ein Rollen-Postfach an der Domain selbst, verlegen Sie die Nameserver außerhalb der Domain (oder ganz weg von Ihrer eigenen Maschine), sodass kein Glue nötig ist, verweigern Sie AXFR für alles außer Ihren Secondaries, und fügen Sie einen CAA-Eintrag hinzu. Signieren Sie mit DNSSEC, verwenden Sie NSEC3, und akzeptieren Sie, dass Ihre Subdomain-Liste weiterhin von jedem enumerierbar ist, der bereit ist, eine Stunde dafür aufzuwenden.

6. 06

   Die Zertifikats- und Mail-Lecks schließen

   Zwei öffentliche Datensätze wissen mehr über Ihre Infrastruktur als Ihr DNS. Certificate Transparency kennt jeden Hostnamen, den Sie je signieren ließen; Ihre eigenen Mail-Einträge nennen Ihr Relay, Ihr Report-Postfach und häufig Ihren Origin. Enumerieren Sie beides gegen sich selbst.

   # every name you have ever asked a CA to sign, including deleted ones
   curl -s 'https://crt.sh/?q=%25.example.com&output=json' \
     | jq -r '.[].name_value' | tr ' ' '\n' | sort -u
   
   # the mail records, read for identity rather than deliverability
   dig +short TXT example.com          # SPF include: names your relay
   dig +short TXT _dmarc.example.com   # rua=mailto: usually names a human
   dig +short MX  example.com          # an MX on the origin IS the origin
   
   # does the site answer on its own address, ignoring the edge?
   curl -sI --resolve example.com:443:203.0.113.10 https://example.com/ | head -1

   Verlagern Sie künftige Ausstellungen auf ein über DNS-01 validiertes Wildcard-Zertifikat, damit Hostnamen nicht mehr in die Logs gelangen, richten Sie rua= auf eine Adresse an der Domain statt auf ein persönliches Postfach, und verlagern Sie Mail weg vom Origin — ein Relay oder eine separate Maschine, niemals die Box, auf der die Seite läuft. Namen, die bereits in den Logs stehen, lassen sich nicht zurückziehen; geben Sie sie auf, oder akzeptieren Sie, dass sie für immer öffentlich bleiben.

7. 07

   Sperren, überwachen und für Ihre Abwesenheit planen

   Zuletzt: Machen Sie die Registrierung schwer zu bewegen und schwer zu vergessen. Die drei Client-Locks sind kostenlos und stoppen die gesamte Angriffsklasse, die innerhalb Ihres Registrar-Kontos beginnt. Das Ablaufdatum gehört in Ihr Alerting, nicht in ein Postfach, das Sie irgendwann nicht mehr lesen.

   # what the registry says about locks and dates
   curl -s https://rdap.org/domain/example.com \
     | jq -r '.status[], (.events[] | "\(.eventAction) \(.eventDate)")'
   # want: clientTransferProhibited, clientUpdateProhibited, clientDeleteProhibited
   
   # days until expiry, straight from the registry -- no email involved
   exp=$(curl -s https://rdap.org/domain/example.com \
         | jq -r '.events[] | select(.eventAction=="expiration") | .eventDate')
   echo $(( ( $(date -d "$exp" +%s) - $(date +%s) ) / 86400 )) days left
   
   # keep the escape hatch encrypted and off the machine it protects
   age -r age1... -o auth-code.age auth-code.txt && shred -u auth-code.txt

   Lassen Sie diese Ablaufprüfung per Cron laufen und alarmieren Sie bei neunzig Tagen. Bewahren Sie das verschlüsselte Paket — Kontodetails, Wiederherstellungscodes, Transfer-Auth-Code — irgendwo auf, das für eine Person Ihres Vertrauens erreichbar ist, denn eine anonyme Domain kennt kein Nachlassverfahren und keine Support-Eskalationsstufe. Wiederholen Sie dann die Schritte vier bis sechs einmal im Jahr: Zonen driften, Zertifikate werden von Leuten ausgestellt, die es vergessen, und das Leck, das Sie im Januar geschlossen haben, ist bis zum Herbst meist wieder da.