Nobody breaks in. A date passes. A domain lapses, the DNS provider has a bad night, a certificate runs out, and the website, the email and the links between systems stop at once. Four things with an expiry date, what each one takes down, and the one habit that keeps them renewed. Niemand breekt in. Er verstrijkt een datum. Een domein verloopt, de DNS-provider heeft een slechte nacht, een certificaat raakt op, en de website, de e-mail en de koppelingen tussen systemen vallen tegelijk stil. Vier dingen met een vervaldatum, wat elk ervan platlegt, en de ene gewoonte die ze verlengd houdt.
Your domain is rented, usually a year at a time. Renewal fails for dull reasons: the payment card expired, the contact mailbox belongs to someone who left, the registrar's reminders went to spam. After a grace period anyone can register the name, and with it your web address, your email and every login link that points at it. The same registrar account, protected by one password, is also how a domain is stolen: an attacker changes the name servers and your traffic is theirs. NCSC UK (guidance, reviewed March 2025) suggests auto-renewal on a company payment method, a shared mailbox for the contact details, two-step verification on the registrar account, and a lock on high-value domains.
Business impact: an expired domain stops email as well as the website, and getting it back takes weeks, not hours. One list of every domain the company owns, with renewal date, registrar and an owner's name, is often the most effective first step. For the main domain, a registry lock, where changes need a verified phone call, is worth the fee.
Uw domein is gehuurd, meestal per jaar. Verlenging mislukt om saaie redenen: de creditcard is verlopen, de contactmailbox is van iemand die is vertrokken, de herinneringen van de registrar belandden in de spam. Na een respijtperiode kan iedereen de naam registreren, en daarmee uw webadres, uw e-mail en elke inloglink die ernaar verwijst. Datzelfde registraraccount, beschermd met één wachtwoord, is ook de manier waarop een domein wordt gestolen: een aanvaller wijzigt de naamservers en uw verkeer is van hem. Het NCSC UK (richtlijn, herzien maart 2025) adviseert automatische verlenging op een bedrijfsbetaalmiddel, een gedeelde mailbox voor de contactgegevens, tweestapsverificatie op het registraraccount en een slot op waardevolle domeinen.
Bedrijfsimpact: een verlopen domein legt naast de website ook de e-mail stil, en het terugkrijgen duurt weken, geen uren. Eén lijst met elk domein dat het bedrijf bezit, met verlengdatum, registrar en de naam van een eigenaar, is vaak de meest effectieve eerste stap. Voor het hoofddomein is een registry lock, waarbij wijzigingen een geverifieerd telefoontje vereisen, de kosten waard.
Bots watch the lists of expiring domains and register a lapsed company name within seconds, to catch its email or sell it back.Bots volgen de lijsten met verlopende domeinen en registreren een verlopen bedrijfsnaam binnen seconden, om de e-mail op te vangen of hem terug te verkopen.
An AI-written email from a lapsed subsidiary's domain passes every check, because it is the real domain. Old brands and project names count too.Een door AI geschreven e-mail vanaf het verlopen domein van een dochterbedrijf doorstaat elke controle, omdat het het echte domein is. Oude merken en projectnamen tellen ook mee.
Monitoring services, some AI-assisted, watch every domain and name server you own and alert on a change nobody planned.Monitoringdiensten, sommige met AI, bewaken elk domein en elke naamserver die u bezit en waarschuwen bij een wijziging die niemand had gepland.
DNS turns your name into an address. If the provider that answers for your domain goes down, every service stops at once, website, email, logins and the APIs your partners call, even though the servers are fine. Most companies have one provider, because it came with the domain. DNS expires in its own way too. With DNSSEC, the signatures that prove your answers are genuine carry an end date and a key schedule. On 5 May 2026 a faulty key rollover at DENIC, the registry for .de, made most .de domains unreachable for about three hours for anyone behind a validating resolver, by DENIC's own final report. A routine, scheduled task, not an attack.
Business impact: two independent DNS providers turn a blackout into a partial outage, and the DDoS briefing covers that choice. The point here is narrower: if you sign your zone, someone owns the key calendar and something outside your network checks that your signatures still validate. An expiry inside DNS has the same effect as an attack, and no attacker to blame.
DNS vertaalt uw naam naar een adres. Valt de provider uit die voor uw domein antwoordt, dan stopt elke dienst tegelijk, website, e-mail, inlogs en de API's die uw partners aanroepen, terwijl de servers gewoon werken. De meeste bedrijven hebben één provider, omdat die bij het domein zat. Ook DNS verloopt op zijn eigen manier. Bij DNSSEC hebben de handtekeningen die bewijzen dat uw antwoorden echt zijn een einddatum en een sleutelschema. Op 5 mei 2026 maakte een mislukte sleutelwissel bij DENIC, het register voor .de, de meeste .de-domeinen zo'n drie uur onbereikbaar voor iedereen achter een validerende resolver, aldus het eindrapport van DENIC zelf. Een routinematige, geplande taak, geen aanval.
Bedrijfsimpact: twee onafhankelijke DNS-providers maken van een black-out een gedeeltelijke storing, en de DDoS-briefing behandelt die keuze. Het punt hier is smaller: als u uw zone ondertekent, is iemand eigenaar van de sleutelkalender en controleert iets buiten uw netwerk of uw handtekeningen nog valideren. Een vervaldatum binnen DNS heeft hetzelfde effect als een aanval, zonder aanvaller om de schuld te geven.
Attackers go for the DNS provider's account, not your servers. One hijacked login rewrites where your name points, and AI makes the phishing for that login personal.Aanvallers richten zich op het account bij de DNS-provider, niet op uw servers. Eén gekaapte inlog herschrijft waar uw naam naartoe wijst, en AI maakt de phishing voor die inlog persoonlijk.
AI agents given DNS access "to be helpful" change records at scale. A wrong change spreads in minutes and is cached for hours.AI-agents die DNS-toegang krijgen "om te helpen" wijzigen records op grote schaal. Een verkeerde wijziging verspreidt zich in minuten en blijft uren in de cache.
Monitoring that asks for your names from several places on the internet, and alerts on a changed answer or a failed signature before customers notice.Monitoring die uw namen vanaf meerdere plekken op het internet opvraagt, en waarschuwt bij een gewijzigd antwoord of een mislukte handtekening voordat klanten het merken.
A TLS certificate proves that a website or system is who it says it is, and it has an end date. When that passes, browsers show a warning most people won't click through, and systems that talk to each other simply refuse. On 6 December 2018 an expired certificate in Ericsson's software took mobile networks offline in several countries, including O2 in the UK and SoftBank in Japan, for most of a day, by Ericsson's own account. The public website is usually watched. The certificates between internal systems, on the VPN, on the payment link and inside a supplier's product are not, and those are the ones that expire on a Sunday.
Business impact: nobody hacked anything; a date passed. An inventory of every certificate, public and internal, with its expiry date and an owner, and an alert 30 days ahead to a team rather than a person, is the control. The test is simple: ask what would stop if the certificate on your busiest system-to-system link expired tonight, and who would be called.
Een TLS-certificaat bewijst dat een website of systeem is wie het zegt te zijn, en het heeft een einddatum. Verstrijkt die, dan tonen browsers een waarschuwing waar de meeste mensen niet doorheen klikken, en weigeren systemen die met elkaar praten simpelweg. Op 6 december 2018 legde een verlopen certificaat in software van Ericsson in meerdere landen mobiele netwerken plat, waaronder O2 in het Verenigd Koninkrijk en SoftBank in Japan, het grootste deel van een dag, volgens Ericsson zelf. De publieke website wordt meestal bewaakt. De certificaten tussen interne systemen, op de VPN, op de betaalkoppeling en in het product van een leverancier niet, en dat zijn de certificaten die op een zondag verlopen.
Bedrijfsimpact: niemand heeft iets gehackt; er verstreek een datum. Een inventaris van elk certificaat, publiek en intern, met vervaldatum en eigenaar, en een waarschuwing 30 dagen vooraf aan een team in plaats van een persoon, is de maatregel. De test is eenvoudig: vraag wat er stopt als het certificaat op uw drukste koppeling tussen systemen vannacht verloopt, en wie er wordt gebeld.
Expired and misconfigured certificates are visible from the internet. Scanners flag them as the soft target and the opening for an impersonated site.Verlopen en verkeerd ingestelde certificaten zijn vanaf het internet zichtbaar. Scanners markeren ze als het zwakke doelwit en de opening voor een nagemaakte site.
Staff who learned to click through certificate warnings, because "it's always that one internal site", click through the fake one too.Medewerkers die hebben geleerd door certificaatwaarschuwingen heen te klikken, omdat "het altijd die ene interne site is", klikken ook door de valse heen.
Discovery tools scan your networks and cloud accounts for every certificate, including the ones nobody registered, and build the inventory for you.Ontdekkingstools doorzoeken uw netwerken en cloudaccounts op elk certificaat, ook de certificaten die niemand heeft geregistreerd, en bouwen de inventaris voor u.
The CA/Browser Forum, the industry body of browser makers and certificate authorities, adopted ballot SC-081 on 11 April 2025. It is an industry rule, not a law. Public certificates used to last at most 398 days. Since 15 March 2026 the maximum is 200 days, from 15 March 2027 it is 100 days, and from 15 March 2029 it is 47 days. The proof that you control a domain, which a certificate authority may reuse, drops to 10 days. A certificate someone renews by hand once a year will need renewing every six weeks, on every system. At that pace manual renewal is an outage waiting to happen. The answer is automation: ACME lets systems renew their own certificates, and certificate authorities already issue certificates that last six days.
Business impact: this is a planning and budget question, not a technical one. Every system that receives a certificate by hand today needs an automated path before 2029, and the awkward ones, appliances, old software and suppliers' products, need it first, because they take longest. Industry timeline, not a legal deadline. The dates bind the certificate authorities; for your own planning they are a suggestion.
Het CA/Browser Forum, het brancheorgaan van browsermakers en certificaatautoriteiten, nam op 11 april 2025 stemming SC-081 aan. Het is een brancheregel, geen wet. Publieke certificaten waren hooguit 398 dagen geldig. Sinds 15 maart 2026 is het maximum 200 dagen, vanaf 15 maart 2027 wordt het 100 dagen en vanaf 15 maart 2029 47 dagen. Het bewijs dat u een domein beheert, dat een certificaatautoriteit mag hergebruiken, daalt naar 10 dagen. Een certificaat dat iemand één keer per jaar met de hand verlengt, moet dan elke zes weken worden verlengd, op elk systeem. In dat tempo is handmatig verlengen een storing die op zich laat wachten. Het antwoord is automatisering: met ACME verlengen systemen hun eigen certificaten, en certificaatautoriteiten geven al certificaten van zes dagen uit.
Bedrijfsimpact: dit is een plannings- en begrotingsvraag, geen technische. Elk systeem dat vandaag met de hand een certificaat krijgt, heeft vóór 2029 een geautomatiseerde route nodig, en de lastige systemen, apparaten, oude software en producten van leveranciers, als eerste, omdat die het langst duren. Tijdlijn van de branche, geen wettelijke deadline. De data binden de certificaatautoriteiten; voor uw eigen planning zijn ze een suggestie.
Shorter certificates help the defence: a stolen certificate is useful for weeks, not a year. The risk shifts from theft to outage.Kortere certificaten helpen de verdediging: een gestolen certificaat is weken bruikbaar, geen jaar. Het risico verschuift van diefstal naar uitval.
AI-generated renewal scripts that work on day one and fail silently at the first odd case are the new way to miss a date. Test the failure, not the success.Door AI gegenereerde verlengscripts die op dag één werken en bij het eerste vreemde geval stilletjes falen, zijn de nieuwe manier om een datum te missen. Test het falen, niet het slagen.
Certificate platforms, increasingly AI-assisted, renew, install and verify every certificate and report the ones they could not reach.Certificaatplatforms, steeds vaker met AI, verlengen, installeren en controleren elk certificaat en rapporteren de certificaten die ze niet konden bereiken.
| Control | Addresses | In one line |
|---|---|---|
| Expiry inventory | All (01–04) | One list of everything with a date: domains, DNS and DNSSEC keys, certificates public and internal. Each with its expiry date and an owner by name. |
| Auto-renew on a company account | Domain (01) | Renewal charged to a company payment method, reminders to a shared mailbox. Never a person's card or inbox. |
| Registrar lock and two-step verification | Domain (01) | Transfer lock on every domain, two-step verification on the registrar account, registry lock on the main domain. |
| Second DNS provider | DNS (02) | Two independent providers answer for your domain, tested once a year by taking one away. |
| DNSSEC key calendar | DNS (02) | If you sign your zone, someone owns the rollover dates and an outside check confirms the signatures still validate. |
| Expiry alerts to a team | Certificates (03) | Alerts at 30, 14 and 7 days before any certificate or domain expires, to a team mailbox or on-call rota, not to one person. |
| Automated renewal | 47 days (04) | ACME or your certificate platform renews, installs and verifies. Manual renewal becomes the documented exception with a date to end it. |
| Awkward systems first | 47 days (04) | Appliances, old software and suppliers' products that cannot renew automatically get a plan or a replacement date before 2029. |
| Expiry rehearsal | All (01–04) | Once a year, let a test certificate expire and a test domain lapse in a staging environment, and see who notices and how fast. |
| Maatregel | Pakt aan | In één zin |
|---|---|---|
| Vervalinventaris | Alles (01–04) | Eén lijst van alles met een datum: domeinen, DNS- en DNSSEC-sleutels, certificaten publiek en intern. Elk met vervaldatum en een eigenaar met naam. |
| Automatisch verlengen op bedrijfsaccount | Domein (01) | Verlenging afgeschreven van een bedrijfsbetaalmiddel, herinneringen naar een gedeelde mailbox. Nooit de kaart of inbox van een persoon. |
| Registrarslot en tweestapsverificatie | Domein (01) | Overdrachtsslot op elk domein, tweestapsverificatie op het registraraccount, registry lock op het hoofddomein. |
| Tweede DNS-provider | DNS (02) | Twee onafhankelijke providers antwoorden voor uw domein, jaarlijks getest door er één weg te halen. |
| DNSSEC-sleutelkalender | DNS (02) | Ondertekent u uw zone, dan is iemand eigenaar van de wisseldata en bevestigt een controle van buiten dat de handtekeningen nog valideren. |
| Vervalwaarschuwing naar een team | Certificaten (03) | Waarschuwingen 30, 14 en 7 dagen voordat een certificaat of domein verloopt, naar een teammailbox of piketrooster, niet naar één persoon. |
| Geautomatiseerd verlengen | 47 dagen (04) | ACME of uw certificaatplatform verlengt, installeert en controleert. Handmatig verlengen wordt de gedocumenteerde uitzondering met een einddatum. |
| Lastige systemen eerst | 47 dagen (04) | Apparaten, oude software en producten van leveranciers die niet automatisch kunnen verlengen, krijgen vóór 2029 een plan of een vervangdatum. |
| Vervaloefening | Alles (01–04) | Laat één keer per jaar in een testomgeving een testcertificaat verlopen en een testdomein vervallen, en kijk wie het merkt en hoe snel. |
Every domain and certificate expires on a known date. Whether it is renewed depends on a reminder reaching someone who still works here and still has the card.Elk domein en elk certificaat verloopt op een bekende datum. Of het wordt verlengd, hangt af van een herinnering die iemand bereikt die hier nog werkt en de kaart nog heeft.
An expired domain or certificate stops the website, email and the links between systems at once, with no attacker to blame, often outside office hours.Een verlopen domein of certificaat legt website, e-mail en de koppelingen tussen systemen tegelijk stil, zonder aanvaller om de schuld te geven, vaak buiten kantooruren.
With an inventory, automated renewal and alerts to a team, an expiry becomes a ticket instead of an outage. A second DNS provider covers the rest.Met een inventaris, geautomatiseerd verlengen en waarschuwingen aan een team wordt een vervaldatum een ticket in plaats van een storing. Een tweede DNS-provider dekt de rest.
The CIO owns the policy and the automation budget; the head of infrastructure owns the list. The item without an owner is the one that expires.De CIO is eigenaar van het beleid en het automatiseringsbudget; het hoofd infrastructuur is eigenaar van de lijst. Het item zonder eigenaar is het item dat verloopt.
Items on the expiry inventory without an owner · certificates still renewed by hand · days until the next expiry nobody has a plan for · number of independent DNS providers.Items op de vervalinventaris zonder eigenaar · certificaten die nog met de hand worden verlengd · dagen tot de eerstvolgende vervaldatum waar niemand een plan voor heeft · aantal onafhankelijke DNS-providers.
“A domain, DNS configuration or TLS certificate expires or is changed without authorisation because renewal depended on one person, one payment card or one provider, taking the website, email and system-to-system links offline for hours to days.”“Een domein, DNS-configuratie of TLS-certificaat verloopt of wordt zonder toestemming gewijzigd omdat de verlenging afhing van één persoon, één betaalkaart of één provider, waardoor website, e-mail en koppelingen tussen systemen uren tot dagen offline zijn.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| NIS2 | NIS2 requires business continuity measures (Art. 21(2)(c)) and policies on the use of cryptography (Art. 21(2)(h)). Domain and certificate renewal fall under both. In the Netherlands this runs through the Cyberbeveiligingswet, in force since 15 August 2026. | Ask who holds their domains and certificates, whether renewal is automated, and how many DNS providers answer for the service you buy. | An outage caused by an expired certificate or domain can count as a significant incident if it meets the thresholds. Early warning within 24 hours of becoming aware, incident notification within 72 hours, final report within one month. |
| DORA | The RTS on ICT risk require a register of all certificates for ICT assets supporting critical or important functions, and renewal in advance of expiry (Art. 7(4) and 7(5)). DORA has applied since 17 January 2025. | Your ICT third party's certificate register and renewal automation are fair questions. Ask how they would notice an expiry before you do. | Classify promptly. Initial notification within 4 hours of classifying it as major (at most 24 hours after becoming aware), intermediate report within 72 hours of the initial notification, final report within one month. |
| SOC 2 | The availability criteria (A1.2) cover the infrastructure a service needs to keep running; an expired certificate is an availability failure, not a breach. CC7.1 covers detecting configuration changes. | Check whether Availability is in scope at all. Many SOC 2 reports cover Security only, and then an expired certificate is nobody's exception. | An outage in scope will likely appear as an exception in the next report. With Availability out of scope, it appears nowhere. |
| ISAE 3402 | The focus is financial reporting. Domains and certificates appear only as general IT controls where they protect the financial process. | The report rarely mentions domain or certificate management. Ask for renewal automation and monitoring in the contract instead. | ISAE 3402 creates no duty to notify user auditors. Expect a deviation in the next report, and ask for interim disclosure in the contract. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| NIS2 | NIS2 vraagt maatregelen voor bedrijfscontinuïteit (art. 21 lid 2 onder c) en beleid voor het gebruik van cryptografie (art. 21 lid 2 onder h). Het verlengen van domeinen en certificaten valt onder beide. In Nederland loopt dit via de Cyberbeveiligingswet, van kracht sinds 15 augustus 2026. | Vraag wie hun domeinen en certificaten beheert, of verlenging is geautomatiseerd, en hoeveel DNS-providers antwoorden voor de dienst die u afneemt. | Een storing door een verlopen certificaat of domein kan als significant incident gelden als het de drempels haalt. Vroegtijdige waarschuwing binnen 24 uur na ontdekking, incidentmelding binnen 72 uur, eindverslag binnen een maand. |
| DORA | De RTS over ICT-risico vragen een register van alle certificaten voor ICT-middelen die kritieke of belangrijke functies ondersteunen, en verlenging vóór het verlopen (art. 7 lid 4 en 5). DORA geldt sinds 17 januari 2025. | Het certificaatregister en de verlengautomatisering van uw ICT-derde zijn redelijke vragen. Vraag hoe zij een vervaldatum eerder zouden opmerken dan u. | Classificeer snel. Eerste melding binnen 4 uur na classificatie als ernstig (uiterlijk 24 uur na ontdekking), tussenrapport binnen 72 uur na de eerste melding, eindrapport binnen een maand. |
| SOC 2 | De beschikbaarheidscriteria (A1.2) gaan over de infrastructuur die een dienst nodig heeft om te blijven draaien; een verlopen certificaat is een beschikbaarheidsstoring, geen inbreuk. CC7.1 gaat over het ontdekken van configuratiewijzigingen. | Controleer of Beschikbaarheid überhaupt binnen scope valt. Veel SOC 2-rapporten dekken alleen Beveiliging, en dan is een verlopen certificaat niemands afwijking. | Een storing binnen scope komt waarschijnlijk als afwijking in het volgende rapport. Valt Beschikbaarheid buiten scope, dan komt hij nergens voor. |
| ISAE 3402 | De focus ligt op de financiële verslaggeving. Domeinen en certificaten komen alleen voor als algemene IT-beheersmaatregelen waar ze het financiële proces beschermen. | Het rapport noemt zelden domein- of certificaatbeheer. Vraag in het contract om verlengautomatisering en monitoring. | ISAE 3402 schept geen meldplicht aan de auditors van gebruikers. Verwacht een afwijking in het volgende rapport en vraag in het contract om tussentijdse melding. |
Checked against: CA/Browser Forum ballot SC-081v3 (11 Apr 2025) and TLS Baseline Requirements §4.2.1 and §6.3.2, Let's Encrypt certificate profiles (2026), IETF RFC 8555 (Mar 2019), NCSC UK, Managing public domain names (reviewed 12 Mar 2025), DENIC final report on the 5 May 2026 outage (11 Jun 2026), Ericsson press release (6 Dec 2018), NIS2 Art. 21 and 23, DORA Art. 19 and RTS (EU) 2024/1774 Art. 7, NCSC-NL (Aug 2026), AICPA Trust Services Criteria A1.2 and CC7.1 (2017, points of focus 2022) · October 2026.
Gecontroleerd tegen: CA/Browser Forum-stemming SC-081v3 (11 apr 2025) en TLS Baseline Requirements §4.2.1 en §6.3.2, Let's Encrypt certificaatprofielen (2026), IETF RFC 8555 (mrt 2019), NCSC UK, Managing public domain names (herzien 12 mrt 2025), DENIC-eindrapport over de storing van 5 mei 2026 (11 jun 2026), Persbericht Ericsson (6 dec 2018), NIS2 art. 21 en 23, DORA art. 19 en RTS (EU) 2024/1774 art. 7, NCSC (aug 2026), AICPA Trust Services Criteria A1.2 en CC7.1 (2017, aandachtspunten 2022) · oktober 2026.