Domena internetowa działa często przez wiele lat i właściciel może nawet zapomnieć, jakie dane zostały podane przy jej rejestracji. Aż pewnego dnia przychodzi wiadomość: „Prosimy o weryfikację danych abonenta domeny”. I pojawia się pytanie: Po co? Przecież domena działa i niczego w niej nie zmieniałem.
Czasami sytuacja wygląda jeszcze inaczej. Chcesz zmienić dane właściciela domeny, przenieść ją na inną osobę albo zaktualizować informacje znajdujące się w rejestrze. Rejestrator prosi wtedy o dodatkowe potwierdzenie. Może to być potwierdzenie e-mail, SMS, podpis elektroniczny, formularz albo - w niektórych procedurach - dokument potwierdzający tożsamość. Nie istnieje jedna uniwersalna procedura weryfikacji dla wszystkich domen.
W tym artykule wyjaśnię, dlaczego dane abonenta domeny muszą być prawidłowe, skąd wynika obowiązek ich weryfikowania, co może się stać, jeśli nie wykonamy wymaganej procedury i kiedy może pojawić się konieczność potwierdzenia tożsamości.
Czym właściwie są dane abonenta domeny?
Rejestrując domenę, podajemy dane osoby albo organizacji, która zostaje jej abonentem. W zależności od rodzaju domeny i zasad danego rejestru mogą to być między innymi:
- imię i nazwisko lub nazwa firmy,
- adres e-mail,
- numer telefonu,
- inne dane potrzebne do identyfikacji i kontaktu.
Informacje te trafiają do rejestru domenowego. Nie oznacza to jednak, że wszystkie dane są publicznie dostępne dla każdego. Przykładowo w przypadku domen .pl dane abonenta będącego osobą fizyczną są ukryte, natomiast w przypadku domeny zarejestrowanej na firmę część danych firmy może być widoczna publicznie.
Najważniejsze jest jednak to, żeby dane znajdujące się w rejestrze odpowiadały rzeczywistości.
Dlaczego dane domeny muszą być prawidłowe?
Domena to nie tylko adres strony internetowej. Może być powiązana z:
- stroną firmy,
- pocztą elektroniczną,
- sklepem internetowym,
- systemami informatycznymi,
- usługami korzystającymi z danego adresu,
- kontami i usługami zewnętrznymi.
Dlatego ważne jest, żeby można było ustalić, kto jest abonentem domeny i jak się z nim skontaktować.
Ma to również znaczenie dla bezpieczeństwa internetu. Wyobraźmy sobie, że ktoś rejestruje domenę wykorzystywaną później do phishingu, oszustw albo rozsyłania złośliwego oprogramowania i podaje przy tym całkowicie przypadkowe dane. Jeżeli dane rejestracyjne są nieprawdziwe, znacznie trudniej ustalić, kto faktycznie korzysta z domeny.
Właśnie dlatego przepisy coraz większą uwagę przykładają do jakości danych rejestracyjnych.
Czy obowiązek weryfikacji wynika z prawa?
Tak, ale warto tutaj doprecyzować jedną rzecz. Nie ma przepisu, który mówiłby: „każdy właściciel domeny musi przesłać skan dowodu osobistego”. To częste nieporozumienie.
Podstawą obecnych wymagań dotyczących danych rejestracyjnych domen jest między innymi unijna dyrektywa NIS2. Art. 28 dyrektywy zobowiązuje państwa członkowskie do zapewnienia, aby rejestry domen najwyższego poziomu oraz podmioty świadczące usługi rejestracji domen gromadziły i utrzymywały dokładne i kompletne dane rejestracyjne. Muszą również posiadać procedury, w tym procedury weryfikacji, które mają zapewnić prawidłowość tych danych.
Dyrektywa wskazuje również, że procedury weryfikacyjne powinny być proporcjonalne i mogą wykorzystywać różne rozwiązania. Wśród możliwych metod wymieniono między innymi kontrole przeprowadzane przy rejestracji lub już po niej oraz weryfikację co najmniej jednego sposobu kontaktu z abonentem.
Dlatego weryfikacja może wyglądać różnie w zależności od domeny i operatora.
Weryfikacja danych to nie to samo co skan dowodu
To chyba najważniejsze rozróżnienie w całym temacie. Weryfikacja danych oznacza sprawdzenie, czy informacje dotyczące abonenta są prawidłowe i czy osoba wykonująca określoną czynność ma do tego prawo. Nie musi oznaczać przesłania dowodu osobistego.
W zależności od sytuacji rejestrator może wykorzystać na przykład:
- potwierdzenie adresu e-mail,
- wiadomość SMS,
- potwierdzenie danych w panelu klienta,
- podpis elektroniczny,
- podpis kwalifikowany,
- profil zaufany,
- dokument potwierdzający zmianę danych,
- dokument potwierdzający tożsamość lub uprawnienie do reprezentowania firmy.
Dlaczego czasami potrzebny jest dokument tożsamości?
Jeżeli rejestrator prosi o dokument tożsamości, zazwyczaj chodzi o potwierdzenie, że osoba wykonująca określoną czynność jest rzeczywiście osobą uprawnioną. Może to mieć znaczenie szczególnie przy operacjach takich jak zmiana danych abonenta, zmiana właściciela domeny, cesja domeny, odzyskiwanie kontroli nad domeną, wydanie kodu potrzebnego do transferu, prostowanie nieprawidłowych danych.
Nie chodzi o to, że rejestrator chce mieć kopię Twojego dowodu „bo domena tego wymaga”. Chodzi o potwierdzenie konkretnej czynności. Jeżeli na przykład dane abonenta w rejestrze są nieaktualne i chcemy je zmienić, rejestrator musi mieć podstawę do wykonania takiej zmiany.
Jeżeli dokument tożsamości jest wymagany, nie oznacza to, że wszystkie znajdujące się na nim informacje są potrzebne. Jeżeli do potwierdzenia tożsamości wystarczy imię, nazwisko i określone informacje z dokumentu, nie ma powodu, aby przekazywać dodatkowe dane, których rejestrator nie potrzebuje do wykonania konkretnej czynności. Dlatego nie należy wysyłać pełnego, niezasłoniętego skanu dowodu, jeśli procedura tego nie wymaga.
Co dzieje się z przekazanymi dokumentami?
Dokument tożsamości zawiera dane osobowe, dlatego jego wykorzystanie powinno mieć określony cel i podstawę prawną. Jeżeli rejestrator wymaga dokumentu w ramach procedury związanej z domeną, dokument służy do wykonania tej konkretnej czynności, np. potwierdzenia tożsamości osoby składającej wniosek. Nie oznacza to, że rejestrator może później wykorzystywać dane z dokumentu do dowolnych celów. Warto sprawdzić informacje dotyczące przetwarzania danych osobowych udostępniane przez konkretnego operatora.
A przede wszystkim należy upewnić się, komu wysyłamy dokument.
Uważaj na fałszywe wiadomości o weryfikacji domeny
Weryfikacja danych jest prawdziwą procedurą, ale właśnie dlatego może być wykorzystywana przez oszustów.
Wiadomość: „Twoja domena zostanie zablokowana. Natychmiast prześlij dowód osobisty pod tym adresem” powinna wzbudzić czujność.
Zanim prześlesz jakiekolwiek dokumenty:
- sprawdź, kto wysłał wiadomość,
- sprawdź, jakiej domeny dotyczy,
- zaloguj się samodzielnie do panelu rejestratora,
- sprawdź, czy rzeczywiście istnieje oczekująca procedura,
- jeśli masz wątpliwości, skontaktuj się z rejestratorem przez oficjalny kanał.
Nie przesyłaj skanu dowodu na przypadkowy adres e-mail tylko dlatego, że ktoś o niego poprosił.
Co się stanie, jeśli nie wykonam wymaganej weryfikacji?
Tutaj również nie ma jednej odpowiedzi dla wszystkich domen.
Konsekwencje zależą od rodzaju domeny, rejestru, rejestratora oraz konkretnej procedury.
Może się jednak zdarzyć, że:
- zmiana danych nie zostanie wykonana,
- cesja domeny nie zostanie zrealizowana,
- transfer domeny będzie niemożliwy,
- rejestrator ograniczy możliwość wykonania określonych operacji,
- w niektórych przypadkach domena może zostać zawieszona.
Dlatego wiadomości dotyczących danych domeny nie warto ignorować.
Dlaczego w ogóle wprowadzono takie zasady?
Powód jest znacznie szerszy niż sama administracja domenami. Internet opiera się na zaufaniu do infrastruktury, która pozwala nam ustalić, dokąd prowadzi dany adres. Jeżeli można byłoby bez żadnej kontroli rejestrować domeny na całkowicie fikcyjne dane, znacznie łatwiej byłoby wykorzystywać je do phishingu, oszustw, rozpowszechniania złośliwego oprogramowania, innych nadużyć internetowych.
W motywie 109 dyrektywy NIS2 wskazano wprost, że utrzymywanie dokładnych i kompletnych baz danych rejestracyjnych domen ma służyć bezpieczeństwu, stabilności i odporności systemu DNS. Z kolei motyw 110 wskazuje na znaczenie dostępu do danych dla zapobiegania i zwalczania nadużyć związanych z DNS.
Nie chodzi więc o to, żeby każdy właściciel domeny był podejrzany. Chodzi o stworzenie systemu, w którym w razie problemu można ustalić, kto jest abonentem domeny i jak się z nim skontaktować.
Co w takim razie oznacza wiadomość „zweryfikuj domenę”?
Najprościej mówiąc rejestrator chce upewnić się, że dane dotyczące domeny są prawidłowe albo że osoba wykonująca określoną operację jest do tego uprawniona.
To, jak będzie wyglądała weryfikacja, zależy od konkretnej sytuacji. Może być bardzo prosta i ograniczać się do potwierdzenia adresu e-mail. Może też wymagać dodatkowych dokumentów, jeśli na przykład zmieniane są dane abonenta albo przenoszone są prawa do domeny. Dowód osobisty jest tylko jednym z możliwych sposobów potwierdzenia tożsamości - nie jest uniwersalnym wymogiem przy każdej weryfikacji domeny.
Weryfikacja domeny może wyglądać jak kolejna formalność, której właściciel strony najchętniej by uniknął. Ma jednak konkretny cel. Dane znajdujące się w rejestrze domen powinny być dokładne, kompletne i możliwe do zweryfikowania. Wynika to między innymi z regulacji NIS2, której art. 28 wprowadza wymagania dotyczące danych rejestracyjnych domen i procedur ich weryfikacji.
Nie oznacza to jednak, że każdy właściciel domeny musi przesłać skan dowodu osobistego. Forma weryfikacji zależy od konkretnej domeny, rejestratora i wykonywanej czynności.
Jeżeli zmieniasz dane, przenosisz domenę albo musisz potwierdzić swoje uprawnienia, może pojawić się konieczność dodatkowego dokumentu. W niektórych procedurach wystarczy podpis elektroniczny, w innych może być wymagane dodatkowe potwierdzenie tożsamości.
Dlatego jeśli dostaniesz wiadomość o weryfikacji, nie ignoruj jej, ale też nie wysyłaj od razu dowodu osobistego. Najpierw sprawdź, czego dokładnie dotyczy procedura, kto jej wymaga i jakie dokumenty są rzeczywiście potrzebne. To zdecydowanie lepsza zasada niż zarówno „wysyłam wszystko, czego zażądali”, jak i „to pewnie spam, ignoruję”.
