SIDN's RDAP-dienst opgewaardeerd naar laatste specificatie
Onze implementatie voldoet als een van de eerste aan ICANN's uitgebreide compliancetests
Begin deze maand hebben we onze RDAP-dienst opgewaardeerd naar de 'profile 2024'-specificatie. Daarmee implementeren we nu ook de Registration Data Policy, de gTLD-brede policy voor gegevensbescherming.
Onze dienst is een van de eerste die volledig voldoet aan de compliance-tools die ICANN beschikbaar heeft gesteld voor het testen van RDAP-implementaties. "We hebben ook een heleboel andere RDAP-implementaties geëvalueerd. De meeste blijken dan net niet voor 100 procent door de uitgebreide tests te komen."
Voor nu draait dit alles nog steeds als onderdeel van ons eigen, bestaande domeinnaamregistratiesysteem (DRS). Volgend jaar stappen we over naar de 'Hello Registry'-software die we samen met de Canadese registry CIRA ontwikkelen.
Opvolger Whois
RDAP, kort voor het Registration Data Access Protocol, is een standaard om online registratie-data op te vragen. Het protocol voorziet in een webservice gebaseerd op een RESTful-interface. Daarmee is RDAP een moderne opvolger van het traditionele Whoisprotocol.
Naast de toegangsmethode is het belangrijkste verschil met Whois dat alle data onder RDAP is ondergebracht in duidelijk gedefinieerde velden in een JSON-datastructuur. Onder Whois ging het nog om ongestructureerde tekst waarvan de individuele gegevens alleen met behulp van scraping automatisch verwerkt konden worden (op basis van informele conventies die in de loop der tijd zijn ontstaan). Bovendien voorziet RDAP in toegangscontrole, waarmee verschillende soorten informatie voor verschillende gebruikers toegankelijk kunnen worden gemaakt.
100 procent compliant
Onze nieuwe RDAP-implementatie is op 7 augustus in gebruik genomen voor de ook door ons beheerde .politie-, .amsterdam- en .aw-domeinen. Voor het .nl-domein gaan we deze implementatie uitrollen in de eerste week van september 2025. De toepassing van profile 2024 is door ICANN voor zijn registry’s/registrars verplicht gesteld vanaf 21 augustus 2025. Het afgelopen jaar was een overgangsperiode waarin profile 2024 wel al gebruikt mocht worden maar nog niet verplicht was.
"Om onze software van profile 2019 op te waarderen naar profile 2024 hebben we toch nog een hoop aanpassingen in de code moeten maken," vertelt product owner Martijn Sanders. "In totaal hebben we 30 changes doorgevoerd om aan alle eisen te voldoen."
"Daarmee is onze RDAP-dienst wel een van de eerste die volledig voldoet aan de compliancetools die ICANN beschikbaar heeft gesteld voor het testen van RDAP-implementaties. We hebben ook een heleboel andere RDAP-implementaties geëvalueerd, waarvan de meeste dan net niet voor 100 procent door de tests blijken te komen. Dat is een gevolg van kleine inconsistenties in de RFC's, bijvoorbeeld in het gebruik van hoofdletters voor de labels. Die verschillen komen eruit op het moment dat je wat geavanceerdere query’s gebruikt. Vandaar dat wij onze software nu naar de compliancetools toe hebben geschreven, die juist in de details veel strikter zijn dan de RFC's."
Gebruikers van de RDAP-dienst zien de aanpassingen in de nieuwe versie vooral terug in de vorm van aanzienlijk grotere responses. Alle velden die op "redacted" (afgeschermd) zijn gezet, zijn nog eens aan het eind van de response toegevoegd. Daarmee wordt expliciet aangegeven welke informatie niet is verstrekt.
Generieke topleveldomeinen
Het is goed om te weten dat de verplichtingen van ICANN alleen gelden voor generieke topleveldomeinen (gTLD's). Registry’s van landendomeinen (ccTLD's) zijn vrij om hun eigen beleid te bepalen. In de praktijk zijn voor hun vooral de gepubliceerde RFC's leidend, al volgen zij het ICANN-beleid in veel dingen vaak wel (zij het in hun eigen tempo).
"De .politie- en .amsterdam-domeinen vallen wel onder het ICANN-regime," aldus Sanders. "Maar voor de .nl- en .aw-domeinen zijn we in principe vrij om te draaien wat we willen."
Eenduidige ingang
Toch gaat de RDAP-dienst voor het grote .nl-domein – waarvoor de ICANN-verplichtingen dus niet gelden – in de eerste week van september ook over naar de nieuwe versie. "Ook voor .nl willen we ons graag houden aan de laatste technische standaarden," zegt Sanders. "Bovendien bieden we zo een eenduidige ingang voor buitenlandse partijen."
"Voor het .nl-domein hebben we alleen een paar specifieke uitzonderingen moeten maken om te kunnen voldoen aan de privacyregels en aan contracten met een aantal van onze partners. Daarnaast werken sommige zaken bij ons anders dan bij de ICANN-domeinen. Zo hebben wij geen einddatum op de registratie en op de quarantaine van domeinnamen, wat onze RDAP-responses net even anders maakt."
Hello Registry
De huidige implementatie van profile 2024 is nog onderdeel van ons eigen, bestaande DRS-systeem. Volgend jaar stappen we over naar de 'Hello Registry'-software die we samen met de Canadese registry CIRA ontwikkelen en die zijn eigen RDAP-implementatie heeft. Vanzelfsprekend nemen we daarin ook de laatste standaarden mee. Belangrijke toevoeging dan is de toegangscontrole die gebruikers op basis van hun rol toegang geeft tot gegevens die voor algemene bezoekers afgeschermd zijn. Denk dan aan overheidsdiensten die op die manier toegang krijgen tot de NAW-gegevens van een domeinnaamhouder, en aan ingelogde registrars die alle informatie mogen inzien, maar dan alleen van hun eigen klanten.
Op dit moment vindt toegang tot extra gegevens in de RDAP- en Whois-diensten nog plaats op basis van whitelists met IP-adressen. "Hoewel we daar wel wat tools voor hebben ontwikkeld, is het bijhouden van die lijsten nog steeds arbeidsintensief," vertelt Sanders. "Vandaar dat we graag overstappen naar die accountgebaseerde toegangscontrole."
"Maar hadden we die dienst nu al op ons eigen DRS-platform geïntroduceerd, dan hadden we alle accounts 2 keer – nu en volgend jaar weer – moeten migreren. Dat willen we onze gebruikers niet aandoen."
Dropcatching
Een ander probleem dat het 'Hello Registry'-platform straks oplost, is de onevenredig zware belasting van onze systemen door 'dropcatching'. Daarbij wordt continu gecheckt op een bestaande domeinnaam die binnenkort wordt vrijgegeven. "Dat leverde soms 100-150 miljoen verzoeken per dag op," aldus Sanders, "vergelijkbaar met een DDoS-aanval op de RDAP-ingang, waardoor de reguliere dienstverlening een aantal keer per dag slecht bereikbaar was."
"Partijen bleken de overeengekomen SLA-afspraken op allerlei manieren te omzeilen. In samenspraak met de Technische Commissie van de Vereniging van Registrars (VvR) hebben we nu stringente regels voor rate-limiting ingesteld, waarmee dat verkeer met 90 procent is gereduceerd."
"Hello Registry lost dat probleem straks structureel op in de vorm van een aparte omgeving helemaal los van de reguliere SIDN-infrastructuur."
Uitfasering Whois
Hoewel onze RDAP-dienst op deze manier steeds verder uitgebreid wordt en ook steeds vaker gebruikt, zijn er op dit moment nog geen plannen om de klassieke Whois-dienst uit te faseren. "Die wordt nog steeds heel veel gebruikt," zegt Sanders, "ruim 60 procent van het verkeer bestaat uit Whois-verzoeken. Interessant weetje is dat de huidige Whois-dienst aan de achterkant allang gebruikmaakt van RDAP. Whois is niet meer dan een front-end dat met behulp van wat middleware gekoppeld is aan de RDAP-infrastructuur."
Daarbij benadrukt Sanders wel het verschil tussen de Whois-command-linetool en de domeinnaamzoekfunctie op de website van SIDN. "Die laatste noemen we nu ook Whois vanwege de bekendheid van die naam onder techneuten. In de toekomst zullen we dat waarschijnlijk veranderen naar "Domeinnaamgegevens zoeken" of iets dergelijks."
