DOMAIN & DNS SECURITY

Audit domain harus mulai dari siapa yang memegang kendali.

Security header dan WAF tidak banyak membantu jika registrar, nameserver, atau akun DNS dapat diambil alih. Urutan audit yang benar dimulai dari control plane lalu turun ke delivery layer.

1. Registrar

Gunakan MFA kuat; idealnya passkey atau hardware security key.
Aktifkan registrar/domain lock jika tersedia.
Pastikan email pemilik domain masih aktif dan terpisah dari domain yang sedang dilindungi.
Periksa auto-renew dan tanggal kedaluwarsa.

2. Authoritative nameserver

Periksa NS dari resolver publik dan registry/delegation. Setelah migrasi, jangan hanya melihat dashboard provider; pastikan resolver eksternal sudah melihat authoritative NS yang baru.

DNS cutover bukan saat yang tepat untuk menghapus record lama secara membabi buta.

Preserve MX, SPF, DKIM, DMARC, verification TXT, CNAME, dan record non-web sebelum mengganti nameserver.

3. DNSSEC

DNSSEC membantu resolver memverifikasi bahwa jawaban DNS tidak dimodifikasi di perjalanan. Namun salah konfigurasi DS record dapat membuat domain tidak bisa di-resolve. Karena itu enable DNSSEC harus diverifikasi sampai chain menjadi valid, bukan berhenti di status “pending”.

4. CAA

CAA membatasi Certificate Authority yang diizinkan menerbitkan sertifikat untuk domain. Ini berguna sebagai hardening tambahan, tetapi jangan memasang daftar CA yang ditebak karena dapat memblokir issuance/renewal sertifikat yang sah.

5. Proxy vs DNS-only

Record web yang diproxy Cloudflare menyembunyikan origin dari DNS publik dan melewatkan traffic melalui edge Cloudflare. Record mail seperti MX harus tetap DNS-only. Jangan pernah mem-proxy MX sebagai trik “menyembunyikan” mail server.

6. Origin exposure

Walaupun A record sudah diproxy, IP origin bisa bocor lewat subdomain lama, DNS history, service lain, atau konfigurasi server. Solusi ideal adalah memastikan origin hanya menerima traffic yang memang diperlukan dan tidak mengandalkan “IP tidak diketahui” sebagai satu-satunya perlindungan.

7. HTTPS/TLS

Pastikan redirect HTTP→HTTPS, minimum TLS yang masuk akal, TLS 1.3 bila didukung, dan mode SSL Cloudflare tidak menurunkan keamanan koneksi ke origin. HSTS baru dinaikkan setelah semua subdomain yang terpengaruh siap.

8. Email DNS

Domain yang tidak dipakai mengirim email pun tetap perlu kebijakan yang jelas. SPF/DKIM/DMARC harus mencerminkan provider yang benar. Hindari menyalin record provider lain tanpa memahami mekanisme forwarding dan outbound mail.

Quick verification

dig NS example.com +short
dig @1.1.1.1 NS example.com +short
dig MX example.com +short
dig TXT example.com +short
dig TXT _dmarc.example.com +short