Domeinnaam of SSL-certificaat verlopen: waarom het gebeurt en hoe je het voorkomt

Een verlopen domeinnaam of een verlopen TLS-certificaat is de meest zichtbare storing die een kleine IT-omgeving kan hebben: de website toont een browserwaarschuwing of een geparkeerde advertentiepagina, e-mail komt niet meer aan en klanten denken dat het bedrijf is gestopt of gehackt. Het is ook een van de best te voorkomen storingen, want elke domeinnaam en elk certificaat heeft maanden van tevoren een bekende vervaldatum. Deze gids behandelt waarom ze toch verlopen, wat er echt gebeurt als dat zo is, hoe je een overzicht opbouwt, de valkuilen van vertrouwen op automatisch verlengen, hoe je omgaat met certificaten van 90 dagen, registrar locks, en een checklist voor monitoring.

Waarom domeinnamen en certificaten verlopen

Bijna nooit omdat niemand de datum kende. De gebruikelijke oorzaken zijn:

• De opgeslagen creditcard is verlopen. Automatisch verlengen stond aan; de betaling mislukte; de waarschuwingsmails gingen naar een adres dat niemand leest.
• Het e-mailadres van de houder bestaat niet meer. De domeinnaam is jaren geleden geregistreerd door een oprichter, een oud-medewerker of een webbureau, met een adres dat niet meer bestaat. Verlengingsberichten, verificatieverzoeken en goedkeuringen voor verhuizingen verdwijnen allemaal in het niets.
• De samenwerking met het bureau is gestopt. De ontwikkelaar die de site heeft gebouwd, betaalde de domeinnaam of het certificaat via zijn eigen account. Toen de opdracht eindigde, stopten ook de verlengingen.
• Certificaten zijn ooit handmatig geïnstalleerd. Er is een certificaat voor één jaar gekocht en met de hand geïnstalleerd; een jaar later werkt degene die dat deed ergens anders, en er staat niets gepland.
• Te veel aanbieders. Domeinnamen bij twee registrars, certificaten bij een derde, DNS bij een vierde, elk met een eigen login en verlengingscyclus.
• Niemand is eigenaar. Marketing denkt dat IT de domeinnaam regelt; IT denkt dat het bureau het doet; het bureau denkt dat de klant het doet.

Wat er echt gebeurt als ze verlopen

Het verlopen van een domeinnaam is een proces, geen afgrond. Op de vervaldatum schorten de meeste registrars de DNS-resolutie op, waardoor website en e-mail meteen niet meer werken, ook al ben je de domeinnaam nog niet kwijt. Daarna volgt een respijtperiode waarin je tegen de normale prijs kunt verlengen, dan meestal een quarantaineperiode (redemption period) waarin verlengen nog kan, maar tegen een flink hoger tarief, en ten slotte komt de domeinnaam vrij voor iedereen. De precieze termijnen en tarieven verschillen per registrar en per topleveldomein; controleer de actuele voorwaarden van je registrar. Verlopen domeinnamen met een verkeersgeschiedenis worden binnen enkele minuten na vrijgave routinematig opgekocht door speculanten en domeinkapers.

Naast de website is e-mail het echte slachtoffer. Elk bericht aan je domein komt terug; e-mails om je wachtwoord te resetten voor elke andere dienst die je gebruikt, komen nergens aan; en als iemand de domeinnaam inpikt, kan die persoon je e-mail ontvangen en die wachtwoorden resetten.

Het verlopen van een certificaat is wél een afgrond. Zodra de datum voorbij is, tonen browsers een paginavullende waarschuwing voor de site, weigeren API-clients verbinding te maken en valt alles uit wat van die verbinding afhangt — betaalpagina’s, mobiele apps, koppelingen met partners. Interne certificaten op mailservers, VPN’s en beheerinterfaces verlopen net zo hard en worden later opgemerkt.

Bouw het overzicht op

Je kunt niet verlengen wat je niet kent. Voor domeinnamen:

• Maak een lijst van elke domeinnaam die het bedrijf bezit, inclusief defensieve registraties, landvarianten, oude merknamen en campagnedomeinen. Zoek in je kaartafschriften en crediteurenadministratie naar afschrijvingen van registrars, en vraag het aan collega’s die er al lang werken.
• Leg per domeinnaam vast: registrar, eigenaar van de login, e-mailadressen van houder en administratief contact, vervaldatum, status van automatisch verlengen, betaalmethode, waar de DNS wordt gehost en wat ervan afhangt (website, e-mail, eigen domeinen bij SaaS-diensten).
• Doe voor elke domeinnaam een WHOIS- of RDAP-opzoeking om te bevestigen dat de vervaldatum en de contactgegevens van de houder kloppen met wat jij denkt.

Voor certificaten:

• Maak een lijst van elke hostnaam die TLS gebruikt: publieke websites, subdomeinen, API’s, mailservers, VPN-endpoints, interne beheeromgevingen, load balancers en CDN-edges.
• Leg per certificaat vast: certificaatautoriteit, vervaldatum, hoe het is uitgegeven (handmatig, via ACME-automatisering, beheerd door een CDN of hostingprovider), waar de privésleutel staat en wie het opnieuw kan uitgeven.
• Gebruik certificate-transparency-logs (openbaar doorzoekbare databases van uitgegeven certificaten) om certificaten voor je domeinen te vinden waarvan je het bestaan niet kende.

Valkuilen van automatisch verlengen

Automatisch verlengen is nodig, maar niet voldoende. De manieren waarop het misgaat, zijn voorspelbaar:

• Het hangt af van een betaalmethode die zelf ook verloopt. Leg de vervaldatum van de kaart vast naast de vervaldatum van de domeinnaam, en controleer beide.
• Registrars proberen vaak een vast aantal dagen vóór de vervaldatum te verlengen en doen daarna nog een paar pogingen; mislukken die, dan stoppen ze en sturen ze een e-mail. Wordt die niet gelezen, dan verloopt de domeinnaam terwijl automatisch verlengen “aan” staat.
• Sommige registrars zetten automatisch verlengen uit na een mislukte betaling, een gewijzigd account-e-mailadres of een verhuizing.
• Meerjarige verlengingen zorgen dat het probleem minder vaak speelt, maar niet dat het minder ernstig is, en door de langere tussenpoos raakt de verlenging binnen de organisatie makkelijker in vergetelheid.

Zie automatisch verlengen als de tweede verdedigingslinie. De eerste is een mens die op tijd een herinnering krijgt en controleert of de verlenging ook echt is gelukt.

Certificaten van 90 dagen en automatisering

Publiek vertrouwde certificaten zijn al jaren steeds korter geldig, en de sector beweegt naar geldigheidsperiodes van weken in plaats van een jaar. Bij die intervallen is handmatig verlengen geen realistische optie; de enige houdbare aanpak is automatisering met het ACME-protocol, waarbij een client op de server (of je CDN of hostingprovider) volgens schema certificaten aanvraagt, valideert en installeert, zonder menselijke tussenkomst.

Automatisering maakt monitoring niet overbodig; het verandert alleen wat je monitort. Geautomatiseerde verlengingen mislukken stilletjes als DNS-wijzigingen de validatie breken, als een firewallregel het validatieverzoek blokkeert of als de clientsoftware verouderd is. Houd voor elke publieke hostnaam een externe controle bij die alarm slaat als het getoonde certificaat nog minder dan bijvoorbeeld 14 dagen geldig is — als de automatisering werkt, gaat dat alarm nooit af, en als het wel afgaat, heb je nog twee weken.

Certificaten die niet te automatiseren zijn — sommige interne systemen, code-signing-certificaten, certificaten voor apparatuur — komen met expliciete herinneringen in het overzicht, precies zoals een domeinnaam.

Registrar lock en accounthygiëne

Nu je het overzicht toch openhebt, dicht je meteen de andere veelvoorkomende gaten:

• Zet de registrar lock (verhuisblokkade) aan op elke domeinnaam, zodat die niet kan worden verhuisd zonder dat iemand hem expliciet ontgrendelt.
• Zet tweestapsverificatie aan op je accounts bij registrar, DNS-aanbieder en certificaatautoriteit, en zorg dat meer dan één persoon kan inloggen.
• Stel de e-mailadressen van houder en administratief contact in op een functionele mailbox die het bedrijf beheert (zoals domains@ of it@), niet op het adres van een persoon, en zorg dat die mailbox wordt gelezen.
• Breng domeinnamen waar dat praktisch is samen bij een of twee registrars.
• Biedt de registrar het aan, gebruik dan de instellingen voor verlengingsberichten om meldingen ook naar een tweede adres te sturen.

Checklist voor monitoring

1. Elke domeinnaam en elk certificaat staat in één overzicht met een eigenaar en een vervaldatum.
2. Herinneringen voor elke domeinnaam op 90, 30 en 7 dagen vóór de vervaldatum, naar meer dan één persoon.
3. Vervaldatums van betaalkaarten vastgelegd voor elk account dat automatisch verlengt, met eigen herinneringen.
4. Externe certificaatmonitoring op elke publieke hostnaam, met een alarm bij nog 14 dagen geldigheid.
5. Per kwartaal: controleer de contactgegevens van de houder, de locks en de status van tweestapsverificatie bij elk registraraccount.
6. Jaarlijks: bouw het overzicht opnieuw op uit afschriften, WHOIS-opzoekingen en certificate-transparency-logs om alles wat nieuw is op te vangen.
7. Bij uitdiensttreding: controleer of de vertrekkende medewerker accounthouder of contactpersoon was bij een domeinnaam, certificaat of DNS-aanbieder.

Hoe Trackords helpt

Trackords is een gratis tracker zonder creditcard, en domeinnamen en certificaten passen er vanzelfsprekend in. Maak de recordtypen “Domein” en “Certificaat” aan met aangepaste velden voor registrar of certificaatautoriteit, accounteigenaar, DNS-host, status van automatisch verlengen en vervaldatum van de betaalkaart. Elk record krijgt tot drie e-mailherinneringen op een zelfgekozen aantal dagen vóór de vervaldatum, of op een vaste datum, plus een optionele melding op de vervaldag zelf — het schema van 90/30/7 hierboven stel je per record één keer in.

Herinneringen worden gemaild naar elke actieve gebruiker van de werkruimte plus een optioneel extra adres per record, zodat de melding niet alleen bij die ene persoon met de login terechtkomt. Met de CSV-import zet je het overzicht in een paar minuten over vanuit een spreadsheet, en het auditlog laat zien wie een verlengdatum heeft bijgewerkt. Trackords is een systeem voor herinneringen en records, geen live certificaatmonitor, dus combineer het met een externe uptime- of TLS-controle voor de hostnamen die er het meest toe doen. Bekijk de pagina over de operations-tracker of de live demo, en lees voor een vollediger overzicht van terugkerende IT-kosten de checklist voor je SaaS-abonnementen audit.