Domains überwachen

Eine Website kann einwandfrei laufen und trotzdem in ein paar Tagen weg sein: Die Domain läuft ab, die Registry sperrt sie, oder jemand ändert ihre Nameserver. LIVCK prüft deshalb auch die Domain hinter deinen Services. Bei der Registry liest es Registrierung, Ablaufdatum, Registrar und Sperren. In der Zone der Endung prüft es, ob die Domain dort eingetragen ist und auf welche Nameserver sie zeigt.

Zwei Wege

Beides gibt es in allen Plänen.

Häkchen an einem Service

In den Einstellungen eines Services findest du den Tab Domain mit dem Häkchen Domain dieses Services überwachen. Ist das Ziel ein Domainname und keine IP-Adresse, ist das Häkchen von Anfang an gesetzt. Nimmst du es heraus, wird die Domain für diesen Service nicht mehr geprüft.

Prüfen mehrere Services dieselbe Domain, kommt jede Meldung trotzdem nur einmal.

Check-Typ Domain

Lege unter Services einen neuen Service an und wähle den Typ Domain. Gib nur den Namen ein, ohne https:// und ohne Pfad. Dann wählst du eine Vorlage:

• Eigene Domain schützen: Alarm, wenn die Domain aus der Zone fällt oder gesperrt wird, und Hinweise zu Ablauf, Nameservern, Registrar, Transfersperre und DNSSEC.
• Auf freie Domain warten: Hinweise, sobald die Löschung der Domain angekündigt ist und sobald sie frei ist. Praktisch, wenn du eine vergebene Domain übernehmen willst.

Ein Service vom Typ Domain zählt wie jeder andere Service in deinem Kontingent. Auf Statusseiten erscheint er nicht.

Wie oft geprüft wird

• Zone: stündlich.
• Registry: je nach Endung stündlich bis einmal am Tag. Manche Registries erlauben nur wenige Abfragen, dort fragen wir seltener.
• Erste Prüfung: gleich nach dem Anlegen, meist in unter zwei Minuten.

Auf der Seite einer Domain kannst du mit Jetzt prüfen eine Prüfung anstoßen. Nach einer Prüfung geht das für diese Domain erst nach 15 Minuten wieder, und eine Organisation kann höchstens 30 Prüfungen pro Stunde anstoßen.

Bevor LIVCK meldet, dass eine Domain nicht mehr in der Zone steht, prüft es das nach etwa 10 Minuten ein zweites Mal und gleicht es mit der Registry oder unabhängigen Resolvern ab. Ein einzelner Nameserver, der sich verschluckt, löst so keinen Alarm aus.

Alarm und Hinweis

Jede Regel meldet sich auf einer von drei Stufen:

Domain-Alarme sind immer erheblich, der Schweregrad lässt sich nicht ändern. Sie sind nie öffentlich: Sie stehen auf keiner Statusseite und erreichen keine Abonnenten. Willst du deine Kunden informieren, leg einen eigenen Vorfall an.

Hinweise kommen als Sammelmail, höchstens alle 15 Minuten. Die Mail bekommen der Owner und alle, die Services bearbeiten dürfen und einen der betroffenen Services sehen. In der Glocke stehen Hinweise für alle, die den Service sehen. Die Mail schaltest du in deinen Benachrichtigungseinstellungen unter Hinweise zu Domains per Mail ab.

Die Standardregeln

Ohne eigene Regeln gilt die Vorlage Eigene Domain schützen:

• Alarm, wenn die Domain aus der Zone fällt.
• Alarm, wenn der Lebenszyklus auf Gesperrt (Hold), Gelöscht, in der Wiederherstellungsfrist oder Wird gelöscht steht, sobald die Zone das bestätigt. Bis dahin ist es ein Hinweis.
• Hinweis, wenn die Domain abgelaufen, in der Verlängerungsfrist ist. Verlängern geht dann noch.
• Hinweis 30, 14, 7, 3 und 1 Tag vor dem Ablauf, je Stufe einmal.
• Hinweis, wenn sich Nameserver, Registrar, Transfersperre oder DNSSEC gegenüber dem Soll-Stand ändern.

Manche Registries veröffentlichen kein Ablaufdatum, zum Beispiel DENIC für .de. Dann gibt es keine Hinweise zum Ablauf. Die Domain bleibt registriert, solange dein Registrar zahlt.

Neue Domains: erst Hinweis, dann Alarm

Ein Alarm kommt nur, wenn eine Domain die Zone verlässt, in der LIVCK sie schon gesehen hat. Steht eine Domain beim Anlegen nicht in der Zone, etwa weil du sie gerade erst registriert hast, bekommst du einen Hinweis noch nicht in der Zone. Sobald sie einmal in der Zone war, gibt es einen Alarm, wenn sie wieder verschwindet.

Das gilt auch für eine Domain, die beim Anlegen schon gesperrt, abgelaufen oder gar nicht registriert ist: Diesen Zustand gab es schon vorher, deshalb weckt er niemanden. Wenn deine Website deshalb nicht erreichbar ist, meldet das dein HTTP-Check wie jeden anderen Ausfall.

Eigene Regeln

Im Tab Domain stellst du unter Meldungen ein, wann du von der Domain hörst. Eine Regel besteht aus Feld, Bedingung, Wert und Stufe:

Als Bedingung gibt es ist, ist nicht, ist eins von, ist keins von, enthält, enthält nicht, weniger als, höchstens und hat sich geändert. Die letzte vergleicht mit dem Soll-Stand. Ein Service hat bis zu 20 Domain-Regeln. Sie zählen nicht zu den Bedingungen deines Plans. Mit Standard wiederherstellen kehrst du zu den Standardregeln zurück.

Soll-Stand

Bei der ersten Prüfung übernimmt LIVCK den aktuellen Stand als Soll-Stand: Nameserver, Registrar, Transfersperre, Registry Lock, DNSSEC, Lebenszyklus und Registry-Status. Regeln mit hat sich geändert vergleichen mit diesem Stand.

War eine Änderung geplant, etwa ein Umzug zu neuen Nameservern, übernimm den neuen Stand mit Aktuellen Stand übernehmen auf der Seite der Domain oder mit Neuen Stand übernehmen im Domain-Alarm. Dann greift die Regel nicht mehr.

Löst du einen Domain-Alarm von Hand auf, meldet er sich erst wieder, wenn sich an der Domain etwas ändert.

Domains und Domain-Seite

Unter Domains in der Navigation siehst du alle Domains deiner Services mit Registrierung, Ablauf, Nameservern und Schutz. Oben stehen nur die Zahlen, die Aufmerksamkeit brauchen.

Die Seite einer Domain zeigt:

• Registrierung: Registrar, seit wann die Domain registriert ist und wann sie abläuft.
• Zone: die Nameserver mit ihrem Anbieter und seit wann sie eingetragen sind.
• Sicherheit: die Checkliste unten.
• Verlauf und Hinweise: was sich seit Beginn der Überwachung geändert hat.

Daten zum Inhaber einer Domain liest und speichert LIVCK nicht.

Sicherheit

Die Checkliste auf der Domain-Seite zeigt, wie gut die Domain gegen Übernahme und Ausfall geschützt ist. Ein fehlender Schutz ist kein Ausfall, er ist gelb markiert. Jeder Punkt steht auf erfüllt, fehlt, Hinweis, unbekannt oder nicht vorgesehen.

Transfersperre

Die Transfersperre verhindert, dass die Domain ohne deine Freigabe zu einem anderen Registrar umzieht. In der Registry steht sie als Status clientTransferProhibited oder serverTransferProhibited. Du setzt sie meist im Kundenkonto deines Registrars.

Nicht vorgesehen heißt: Die Registry dieser Endung kennt keine Transfersperre. Bei .de (DENIC) zum Beispiel zieht eine Domain nur mit dem AuthInfo-Code um, den dein Registrar ausgibt. Gib diesen Code nur weiter, wenn du den Umzug wirklich willst.

Registry Lock

Beim Registry Lock sperrt die Registry selbst Transfer, Änderung und Löschung der Domain. In der Registry steht er als die drei Status serverTransferProhibited, serverUpdateProhibited und serverDeleteProhibited. Das schützt auch dann, wenn jemand dein Registrar-Konto übernimmt, denn jede Änderung muss erst über die Registry freigegeben werden.

Registrare bieten den Registry Lock meist gegen Aufpreis an. Er lohnt sich vor allem für wichtige Domains. Fehlt er, zeigt die Checkliste einen Hinweis, keinen Fehler. Nicht vorgesehen heißt, dass die Registry dieser Endung keine Registry-Sperre anzeigt.

DNSSEC

DNSSEC signiert die Antworten deiner Nameserver. Resolver erkennen damit gefälschte Antworten. LIVCK prüft, ob die Zone der Endung für deine Domain einen DS-Eintrag hat, also ob die Signatur dort hinterlegt ist.

So richtest du DNSSEC ein: Schalte die Signatur bei deinem DNS-Anbieter ein und hinterlege den DS-Eintrag bei deinem Registrar. Viele Anbieter erledigen beides in einem Schritt, wenn DNS und Domain beim selben Anbieter liegen.

Mindestens 2 Nameserver

Fällt ein Nameserver aus, antwortet ein anderer. Mit nur einem Nameserver ist deine Domain nicht erreichbar, sobald dieser eine ausfällt. Viele Registries verlangen ohnehin mindestens zwei.

Nameserver bei mindestens 2 Anbietern

Liegen deine Nameserver bei zwei verschiedenen Anbietern, antwortet der eine weiter, wenn der andere ganz ausfällt. Die meisten Domains nutzen nur einen Anbieter. Das ist kein Fehler, deshalb zeigt die Checkliste hier höchstens einen Hinweis.

Den Anbieter erkennt LIVCK am Namen der Nameserver, zum Beispiel Cloudflare oder AWS. Nicht jeder Nameserver lässt sich einem Anbieter zuordnen. Dann steht der Punkt auf unbekannt.

Rechte und Zugriffsbereiche

• Sehen: Wer einen Service sieht, sieht auch seine Domain.
• Jetzt prüfen, Soll-Stand übernehmen, Regeln ändern: Dafür brauchst du das Recht, den Service zu bearbeiten.
• Zugriffsbereiche: Mitglieder mit Zugriffsbereichen sehen nur die Domains der Services in ihren Bereichen.

Verlauf und Hinweise einer Domain siehst du ab dem Beginn der Überwachung, so lange, wie die Datenaufbewahrung deines Plans reicht.

API und MCP Ab Team-Plan

Über die API liest und steuerst du die Domain-Überwachung wie in der Konsole:

Beim Anlegen und Ändern eines Services steuert das Feld domain_monitoring das Häkchen (enabled) und die Regeln (rules).

Über MCP stehen dieselben Funktionen als Werkzeuge bereit: list_domains, get_domain, refresh_domain und accept_domain_baseline.