Domain-Watcher
Eine vergessene Domain-Verlängerung oder ein heimlicher Registrar-Wechsel kann Existenzen kosten. Der Domain-Watcher fragt täglich RDAP-Daten ab und warnt vor Ablauf (≤30 Tage Warning, ≤7 Tage Critical), protokolliert Registrar-Wechsel im Changelog und erkennt Look-alike-Domains als Phishing-Frühindikator.
# Domain-Status auf einen Blick
Domain-Watcher
Registrar, Ablauf, Nameserver, DNSSEC
Registrar
IONOS SE
Läuft ab
320
Tage · 02.09.2027
DNSSEC
Nameserver
2
ns1.example.com.
# Funktionen
Ablauf-Warnungen in zwei Stufen
Alarm in zwei Stufen: ≤30 Tage vor Ablauf als Warning, ≤7 Tage als Critical. Pro Domain wird höchstens ein offener Ablauf-Alert gehalten; er wird automatisch aufgelöst, sobald nach einem Renewal wieder mehr als 30 Tage Restlaufzeit erkannt werden.
Registrar-Wechsel im Changelog
Ein Wechsel des Registrars (z. B. IONOS → GoDaddy) wird mit Vorher-/Nachher-Wert im Changelog dokumentiert — typisches Hijacking-Signal, das manuell kontrolliert werden sollte.
Nameserver im Überblick
Die per nativer DNS-Abfrage (NS-Records) ermittelten Nameserver werden mit dem vorigen Stand verglichen. NS-Änderungen werden im Changelog erfasst (Warning-Severity).
DNS-Snapshot mit Diff im Changelog
Der Agent erfasst einen DNS-Snapshot (A, AAAA, MX, NS, TXT u. a.) und vergleicht ihn bei jedem Lauf mit dem vorigen Stand. Ändert sich ein Record-Typ, entsteht ein Changelog-Eintrag mit Vorher-/Nachher-Wert. A-, AAAA- und NS-Änderungen werden als Warning eingestuft (potenzieller Hijacking-/Umlenkungs-Indikator), MX- und TXT-Änderungen als Info. Das Abfrageintervall beträgt 24 Stunden auf dem Free-Plan und 6 Stunden auf bezahlten Plänen.
Ein dedupliziertes Changelog je Website
Registrar-Wechsel, Ablauf-Schwellen (30/7 Tage unterschritten), Nameserver- und DNS-Record-Änderungen laufen alle in dasselbe Website-Changelog. Jeder Eintrag trägt Änderungstyp (domain/dns), Feld, Vorher-/Nachher-Wert, Severity und Erkennungszeitpunkt — eine prüfbare Historie statt verstreuter Einzelmeldungen.
Look-alike-Domain-Watcher
Generiert pro überwachter Domain typische Tippfehler- und Bit-Squat-Varianten (xictrqa.com, xictraq.co, xictraq-login.com, ASCII-Homoglyphen wie rn→m, l→1, o→0 …) und scannt täglich via DNS, welche davon registriert wurden. Registrierte Lookalikes werden automatisch angereichert: Registrar (RDAP), SSL-Zertifikat-Status und ein Phishing-Risk-Score (0–100, Heuristik aus Variantentyp, gültigem SSL und HTTP-Erreichbarkeit). Neu registrierte Lookalikes lösen einen Alert aus, dessen Severity dem Score folgt (≥70 kritisch, ≥50 Warnung, sonst Info). Frühzeitiges Erkennen von Phishing-Vorbereitungen. Scan-Endpunkt: `POST /api/websites/{id}/lookalikes/scan`, Cron-basierte Re-Scans täglich.
Certificate-Transparency-Watch
Business+Jedes öffentlich vertrauenswürdige TLS-Zertifikat landet in den Certificate-Transparency-Logs (CT-Logs) — XICTRAQ wertet diese als technische Quelle über crt.sh aus. Neu ausgestellte Zertifikate werden gegen Ihre Marke gematcht: gegen den Apex (eigene Domain/Subdomains), gegen Lookalike-Varianten und gegen Marken-Keywords. Jeder Treffer trägt eine `match_kind`-Einstufung — `exact` (eigene Domain/Subdomain), `lookalike` (Tippfehler-Variante), oder `substring` (Ihre Marke im Hostnamen einer fremden Domain) — und einen Risk-Score von 0–100 aus mehreren Risk-Faktoren. Treffer ab Score 50 lösen einmalig einen Alert aus. Weil ein Phishing-Zertifikat oft schon Stunden bis Tage vor der DNS-Auflösung der Angreifer-Domain ausgestellt wird, ist die CT-Watch eine echte Frühwarnung. Parallel pflegt XICTRAQ ein eigenes Zertifikats-Inventar (`is_own`): alle für Ihre Domain ausgestellten Zertifikate — ideal, um Schatten-IT und vergessene Subdomain-Zertifikate aufzudecken. Endpunkte: `GET /api/websites/{id}/ct-watch` (Treffer + eigenes Inventar), `POST /api/websites/{id}/ct-watch/scan` (manueller Lauf, liefert `checked`/`matched`/`newly_flagged`/`own_certs`) und `POST /api/websites/{id}/ct-watch/dismiss` (Treffer ausblenden). Zusätzlich täglicher Cron-Abgleich.