Webhoster xel implementeert moderne internet-beveiligingsstandaarden

Xel is een webhosting-provider die zich met name richt op WordPress-sites. De registratie van domeinnamen en het versturen en ontvangen van mail zijn daar onderdeel van. Ondanks dat zij inmiddels meer dan 11 duizend klanten hebben, benadrukt oprichter Emrah Lacin dat xel geen volumespeler of prijsvechter is. "Ik geloof niet in het runnen van een onderneming vanaf een spreadsheet. We bieden niet de laagste prijs en we trekken niet de maximale marge uit het bedrijf. Een belangrijk deel van wat we verdienen geven we terug aan de gebruikers in de vorm van service. We zijn ook gewoon direct per telefoon – zonder keuzemenu – en per mail bereikbaar. En als het nodig is, bellen we zelf een klant op. Daarbij zorgen we dat een gebruiker zo veel mogelijk dezelfde medewerker aan de lijn krijgt, zodat die zijn probleem niet steeds opnieuw hoeft uit te leggen. Op die manier bouwen we langdurige relaties met onze klanten op."

Minder gedoe en onvoorspelbaarheid

Waar grote prijsvechters hun support-kosten terugdringen door zichzelf onbereikbaar te maken, doet xel dat door zoveel mogelijk te automatiseren, en proactief veel aandacht te besteden aan wat een bepaalde feature kan en hoe die te gebruiken. "De volgorde is implementeren, informeren en ondersteuning," zegt Lacin. "Dat scheelt vragen, wat geld bespaart, dat we dan weer in de service en de relatie kunnen steken. Een tevreden klant levert minder gedoe en onvoorspelbaarheid op. We kunnen beter tevoren automatiseren, risico's afdekken en uitleggen, dan wachten tot we een acuut probleem onder hoge druk moeten oplossen."

Op vergelijkbare manier gaat xel met zijn medewerkers om: "We nemen het liefst specialisten in dienst en we proberen gelijk te reageren op signalen vanuit de service desk, zodat ons personeel niet gefrustreerd raakt. En bij de introductie van nieuwe functionaliteit proberen we iets te organiseren, zodat ook de ontwikkelaars en operators gezien worden."

Veiligheidsgerelateerde problemen

Die proactieve aanpak maakt dat veiligheidsgerelateerde problemen maar een heel klein deel zijn van de vragen die op de helpdesk binnen komen. "Security is een keten," aldus Lacin, "en die keten is zo sterk als de zwakste schakel. In de praktijk blijkt die zwakke schakel toch vaak de eindgebruiker te zijn. Vandaar dat wij veel aandacht besteden aan het correct gebruik van de beschikbare beveiligingsmechanismen, al proberen we ons daarbij wel te beperken tot een hoger, niet-technisch niveau. Veiligheid is nog een reden om toegang tot de support desk laagdrempelig te houden: een onbereikbare helpdesk leidt tot security-problemen."

"Andersom kunnen we gebruikers bij het inloggen op de management console een notificatie geven voor zaken die aandacht nodig hebben. Op die manier maken we hen ook attent op nieuwe features in de beheersinterface."

Moderne internetstandaarden

Voor de beveiliging volgt xel de standaarden zoals die door de Internet.nl-portaal worden getest: DNSSEC, HTTPS met bijbehorende security-headers/opties, security.txt, SPF/DKIM/DMARC, STARTTLS/DANE, RPKI en IPv6 (die laatste is weliswaar geen beveiligingsstandaard maar wel een moderne internetstandaard). "We hebben deze standaarden de afgelopen tijd allemaal geïmplementeerd," vertelt systeemanalist Samy Ascha. "Klanten die alles gebruiken kunnen ook een score van 100 procent halen op de tests van Internet.nl."

Voor sommige van die standaarden is de implementatie relatief makkelijk, want transparant voor de gebruikers. DNSSEC is daar een voorbeeld van: omdat xel de zones voor zijn klanten beheerd, kunnen deze zonder meer ondertekend worden. Dit soort standaarden probeert het bedrijf zelf zoveel mogelijk voor zijn klanten te implementeren.

Andere standaarden zijn lastiger omdat ze specifieke informatie van klanten vereisen om te kunnen werken. Voorbeeld daarvan is SPF, waarbij niet-expliciet-aangemelde mail-servers geen berichten meer kunnen versturen namens een beveiligd domein. In de praktijk levert dat vooral problemen op met marketing-bedrijven die mail-campagnes namens anderen versturen.

Lastige standaarden

Xel faciliteert het gebruik van dergelijke "problematische" standaarden enerzijds door zoveel mogelijk te automatiseren, anderzijds door klanten ook op basisniveau toegang te geven tot hun instellingen. Voor SPF betekent dit dat klanten in het configuratiescherm nu een lijst van suggesties voor externe mail-servers krijgen die ze aan de geauthoriseerde servers kunnen toevoegen. Die suggesties zijn automatisch afgeleid van het inkomende en uitgaande mailverkeer voor het betreffende domein. Tegelijkertijd kunnen gebruikers die dat willen hun DNS-records altijd handmatig invoeren en wijzigen.

Ook voor de binnenkomende DMARC-rapportages is een aparte interface ontwikkeld. "We werken toe naar zo streng mogelijke policies," aldus Ascha. "Voor DMARC is dat 'reject' en voor SPF is dat '-all'. Gebruikers beginnen met een veilige instelling waarbij zeker geen berichten verloren gaan, en werken dan in een paar weken toe naar de strengste policy. Weten we op deze manier de hoeveelheid binnenkomende spam terug te dringen, dan levert dat uiteindelijk weer een kostenbesparing op."

Betaalde add-on diensten

Waar DNSSEC een gratis feature is bij een domeinnaam – xel beschouwt dit als een basis-beveiligingsstandaard – wordt DKIM nu als een betaalde add-on dienst verkocht. "We valideren alle mail die binnenkomt op onze MX-ingangen," zegt Ascha, "en uitgaande mail van zowel de SMTP-gateway (relay) als de websites van de klanten wordt van een DKIM-handtekening voorzien."

Naarmate een betaalde dienst meer gemeengoed wordt, wordt deze in het standaard-aanbod verwerkt. "Bij de invoering van nieuwe features fungeren de veeleisender gebruikers – waar we meestal intensiever support-contact mee hebben – vaak als proefkonijn. Loopt het daar lekker, dan kunnen we de dienst voor alle klanten invoeren."

Werk nooit af

Dat betekent dat bij xel intern regelmatig principiële discussies worden gevoerd over het al-dan-niet betaald maken of houden van diensten. "Toen TLS-certificaten gratis werden (via Let's Encrypt), was dat wel even slikken," vertelt Ascha. "Maar we hebben dat inmiddels volledig geïmplementeerd, inclusief automatische roll-overs."

"Die discussies zijn goed voor ons bedrijf," zegt Lacin. "Je moet niet wachten totdat de markt voor jou besluit dat je ergens geen geld meer voor kunt vragen. Wij zoeken onze meerwaarde liever aan de voorkant met de implementatie van nieuwe mogelijkheden. Dat betekent ook dat het werk nooit af is, maar we doen dat inmiddels al 23 jaar op deze manier."