.dk‑domæner: registreringshistorik og DNS‑ændringer

Forside › Netværk og logs · Gennemgået oktober 2026 · Af John Nielsen

Kort svar: For et .dk-domæne findes der data tre steder: hos Punktum dk, der driver registret, hos registraren, der administrerer domænet for registranten, og hos den, der driver domænets DNS. Den offentlige WHOIS viser den aktuelle tilstand, ikke historikken. Ændringer i registrant, navneservere og DNS-poster skal derfor dokumenteres fra kontoejerens egne logs, fra registrarens og DNS-udbyderens historik, fra uafhængige kilder som certifikatlogs, eller ad de veje, Punktum dk har beskrevet for udlevering.

Sagerne handler typisk om domænetvister, overtagelse af et konkursbos domæner, et webbureau, der ikke vil udlevere adgangen, og mailsvindel, hvor MX- eller SPF-poster er ændret. Den juridiske side af domænetvister er beskrevet på Domænetvister: dokumentation. Her gennemgås data og sikring.

Hvem har hvad

Punktum dk (registret) · Registrant, registrar, navneservere, DS-poster, status og datoer
Registraren · Kundekonto, login, ændringer af kontakter og navneservere, fakturaer
DNS-udbyderen · Zonens poster og ofte en auditlog over ændringer
Registranten · Mails om ændringer, fornyelser og overdragelser

Punktum dk ændrer administrationsmodel. Ifølge Punktum dk skal nye .dk-registreringer fra 1. juli 2026 oprettes via en registrar, og domæner, der i dag administreres direkte hos Punktum dk, skal flyttes til en registrar senest 30. juni 2028. Det betyder, at historikken for et domæne kan være fordelt på flere parter afhængigt af, hvornår det skiftede administration.

Den offentlige WHOIS

Punktum dk’s WHOIS-tjeneste returnerer bl.a. felterne Registered, Expires, Registrar (for domæner under registraradministration), DNSSEC med værdien signeret eller usigneret delegering, Status og navneserverne. Registrantens navn og adresse vises kun, når der spørges særskilt om det, og et felt viser, om registrantens identitet er kontrolleret. Registranter med navne- og adressebeskyttelse vises som tilbageholdt. Tjenesten har en grænse på én forespørgsel pr. sekund pr. IP-adresse, og forespørgsler logges.

WHOIS er et øjebliksbillede. Gem det rå svar med tidspunkt, og gentag opslaget, hvis sagen strækker sig over tid. Kommercielle historiktjenester kan have ældre øjebliksbilleder, men de er ikke autoritative for .dk og bør kun bruges som spor, der efterprøves.

Udlevering af ikke-offentlige oplysninger

Punktum dk har en procedure for udlevering af oplysninger om registranter, der er anonyme i WHOIS. Andre end myndigheder kan som udgangspunkt kun få navn og adresse, og kun hvis de kan vise en retlig interesse, fx en konkret hensigt om at anlægge sag. Registranten får som udgangspunkt mulighed for at udtale sig, og afgørelsen kan indbringes for Klagenævnet for Domænenavne. Klagenævnet kan selv få oplysninger i forbindelse med en klagesag, og retten kan pålægge udlevering.

For historik ud over den aktuelle tilstand, fx tidligere registranter eller tidspunktet for et navneserverskift, er vejen den samme: en skriftlig anmodning til Punktum dk eller registraren med begrundelse, eller edition i en retssag. Registranten selv kan normalt se egne oplysninger i selvbetjeningen.

DNS-ændringer

Registret kender kun delegeringen: hvilke navneservere der er autoritative, og hvilke DS-poster der er knyttet til DNSSEC. Alle øvrige poster, fx A, MX, TXT med SPF og DMARC, og CNAME, ligger hos DNS-udbyderen. Hvornår en MX-post blev ændret, ses derfor kun i DNS-udbyderens auditlog eller ændringshistorik, hvis udbyderen har en.

Uafhængige spor kan supplere:

SOA-seriennummeret ændres ofte ved hver zoneændring og kan vise, at zonen er ændret, men ikke hvad.
Certifikatlogs (Certificate Transparency) viser, hvornår der er udstedt certifikater for domænet og underdomæner, hvilket ofte falder sammen med flytning af en tjeneste; se Lookalike-domæner: registreringsdata og certifikatlogs.
Passive DNS-data fra kommercielle tjenester viser, hvilke svar der er observeret over tid. De er nyttige, men ufuldstændige.
Virksomhedens egne DNS-logs kan vise, hvilke adresser interne klienter fik som svar; se DNS-logs som spor.
Modtagne mails bærer i headerne spor af, hvilke servere der leverede dem, og om SPF og DKIM bestod på tidspunktet.

Mailsvindel og ændrede DNS-poster

I sager om mailsvindel er spørgsmålet ofte, om svindleren har haft kontrol over virksomhedens eget domæne, eller om der blev brugt et domæne, der blot lignede. Har nogen ændret MX-posten, kan mails til virksomheden være omdirigeret. Har nogen ændret SPF-posten, kan mails fra fremmede servere have bestået kontrollen hos modtagerne. Begge dele kræver adgang til DNS-udbyderens konto og efterlader spor dér.

Svaret afgør, hvilken part der var kompromitteret, og dermed hvor undersøgelsen skal fortsætte. Sammenhold DNS-udbyderens auditlog med loginloggen for kontoen, med headerne i de mails, sagen handler om, og med tidspunktet for betalingen. Se Fakturasvindel: hvilken af parterne var kompromitteret? for den samlede metode.

DNSSEC

Når en zone er signeret, kan svarene valideres kryptografisk op til DS-posten i registret. Det giver et stærkt argument for, at et dokumenteret svar faktisk stammede fra zonen på det tidspunkt, det blev hentet. Skift af DNS-udbyder kræver ny nøgle og ny DS-post, så ændringer i DNSSEC-status eller nøgler er ofte et tegn på, at domænet har skiftet administration.

Sikring trin for trin

Gem WHOIS-svaret fra Punktum dk med tidspunkt, inkl. registrantoplysninger, hvis de er offentlige.
Slå de relevante poster op (NS, SOA, A, AAAA, MX, TXT, DS og DNSKEY) via mindst to resolvere og direkte mod de autoritative navneservere. Gem de rå svar med tidspunkt og validering.
Eksportér zonen og auditloggen hos DNS-udbyderen, og tag dokumenterede skærmbilleder af kontoens brugere og adgange.
Sikr registrarkontoen: loginhistorik, kontaktpersoner, ændringer og fakturaer.
Sikr mails fra Punktum dk og registraren om ændringer, fornyelser og overdragelse i originalformat.
Hash alle filer og registrer dem i bevisloggen.

Ved skift af webbureau eller DNS-udbyder bør tilstanden dokumenteres, før noget flyttes; se Skift af webbureau: DNS, hosting og mail. Ved konkurs, se Konkursboets IT: teknisk overtagelse af tenant og domæner.

Registranten og registraren sender normalt mails ved ændringer af kontaktoplysninger, navneservere og ved overdragelse. Disse mails er ofte det eneste spor, registranten selv har af ændringer, der ikke længere kan ses, og de bør sikres i originalformat med headere, før en konto lukkes eller en medarbejders postkasse slettes.

Typiske fejlkilder

Caching: resolvere kan vise gamle svar i op til postens TTL efter en ændring.
Registrant og bruger er forskellige: den, der administrerer domænet, er ikke nødvendigvis registranten.
Navne- og adressebeskyttelse: en tilbageholdt registrant er ikke det samme som en ukendt registrant.
Proxy-tjenester: CDN og proxyer skjuler den egentlige server bag A-posten.
Tidszoner: WHOIS-datoer, auditlogs og mailheadere bruger forskellige zoner.

Hvad sporene kan og ikke kan bevise

Registerdata kan vise, hvem der var registrant, og hvilke navneservere domænet pegede på på et tidspunkt. DNS-udbyderens log kan vise, hvilken konto der ændrede en post og hvornår. Ingen af dem viser alene, hvem der brugte kontoen, eller hvorfor ændringen blev foretaget. Det kræver kobling til login, aftaler og korrespondance.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Netværk og logs

Læs også: Adgangskontrol og dørlogs som tidsanker · Logfiler og logrotation: sikring før data forsvinder

→ Logundersøgelse · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik