Herkenbaar maken van overheidsdomeinnamen is hele onderneming

1.700 respondenten

Het onderzoek focust zich op de secondlevelalternatieven gov.nl en overheid.nl. Het onderzoek is uitgevoerd onder 1.700 respondenten die werden gevraagd van verschillende websites met deze en andere extensies aan te geven of de Nederlandse overheid de afzender was. Daarbij werd in het onderzoek ook kort uitleg over de extensies gegeven.

Uniform secondleveldomein verhoogt herkenbaarheid

Het onderzoek laat zien dat beide opties leiden tot betere herkenbaarheid van overheidswebsites en dat ‘look-a-likes’ hiermee sneller door de mand vallen. Overheid.nl werd door respondenten beter beoordeeld, maar gov.nl scoorde beter in het daadwerkelijk herkennen van frauduleuze sites. Kortom: op papier werkt dit goed tegen fraude. De overheid kondigde aan voor het einde van het jaar een optie te willen voorstellen.

Consistent registratiebeleid is goed

Het onderzoek van de overheid past bij een van onze belangrijkste aanbevelingen voor het registratiebeleid van grote organisaties: wees consistent. Bij SIDN komen wij regelmatig organisaties tegen die een groot deel van hun eigen domeinnamenportfolio uit het oog verloren zijn door onlogische houdergegevens, verouderde data of onlogische naamkeuzes. Niet alleen slordig, maar ook riskant, omdat dergelijke domeinnamen soms in handen van kwaadwillenden belanden die ze vervolgens gebruiken om zich als de overheid voor te doen. Een consistent registratiebeleid kan echter op meer manieren vormgegeven worden, dan via een uniforme url. Bijvoorbeeld door zoiets als een centraal overheidsregistratiekantoor op te richten.

Grote operationele impact

Het uniformeren van alle overheidsdomeinnaamregistraties is echter niet van de ene op de andere dag gerealiseerd. In een eerder onderzoek uit 2019 onder andere overheden kwam al naar voren dat de kosten van de harmonisering in veel landen een onoverkomelijke drempel vormen. Die kosten zijn hoog, omdat overheden al ruim 30 jaar hebben gebouwd aan hun bestaande namen. Een domeinnaam als belastingdienst.nl is zeer bekend en doet het goed op Google. Met belastingdienst.gov.nl zou de Belastingdienst deels weer van voren af aan moeten beginnen met het vindbaar maken van pagina's op haar website.

Mailclients geven vaak problemen

Mail is een gebied waar uniformiteit zeker kan helpen om phishing en spam tegen te gaan. Mailadressen van alle overheidsinstanties zouden moeten veranderen van bijvoorbeeld ambtenaar@minbzk.nl naar ambtenaar@minbzk.gov.nl of ambtebaar@minbzk.overheid.nl. Dan is het wel noodzakelijk dat al deze domeinen de moderne mailstandaarden goed toepassen. Alle mailprogramma’s en spamfilter moeten die mailadressen bovendien herkennen. Iets wat niet vanzelfsprekend is, zo blijkt uit de ervaringen van nieuwe topleveldomeinen. Het kostte die domeinen destijds jaren voordat mail vanaf hun extensies evengoed aankwam als mail van .com.

Let op look-a-likes

Een groot verschil met bestaande overheidsdomeinen is bovendien dat domeinen die niet van de overheid zijn, nooit apart zijn onderscheiden. Kijk bijvoorbeeld naar het Verenigd Koninkrijk, waar niet-overheden .co.uk moesten gebruiken. Daardoor was het registreren van look-a-like second levels als .gow.uk onmogelijk. In Nederland is zo’n afscheiding er nooit geweest. Vooral het korte gov.nl is daardoor kwetsbaar voor look-a-likes. Ter info: gow.nl en got.nl staan op dit moment te koop. Overheid.nl is makkelijker te onderscheiden, maar de overheid zal waar mogelijk typodomeinen via intensieve monitoring in de gaten moeten houden.

Wie is ambtenaar?

Een laatste operationele uitdaging is het identificeren van de aanvraag. Een overheidsdomein waarbinnen kwaadwillenden kunnen registreren is natuurlijk totaal niet veilig. Daarom moet er een systeem zijn om ambtenaren die legitiem kunnen aanvragen, muteren en opheffen te onderscheiden van anderen. Dat moet 24/7 beschikbaar zijn om te voorkomen dat overheidswebsites down gaan door bijvoorbeeld een verouderde nameserver.

Conclusie: geleidelijk aanvliegen

Kortom: een uniforme extensie kan effectief zijn tegen misbruik, maar heeft veel voeten in de aarde. Daarom is mijn voornaamste advies aan de overheid: doe het stapsgewijs. Maak een goede kosten-baten analyse. Begin met de ministeries en de rijksoverheid. Daarna de belangrijkste zelfstandige dienstverleners. Focus eerst op websites, daarna mail. Bouw het uit. Het idee is goed, maar deze klus wordt makkelijk onderschat.