# Hoe goed beveiligen de top-crypto-projecten hun domeinen in 2026? > We controleerden de officiële domeinen van de 50 grootste crypto-projecten: 40% ondertekent DNS met DNSSEC, 30% publiceert CAA, 10% toont registry lock-slots. - URL: https://wardmint.com/nl/data/crypto-project-dns-security-2026/ - Laatst bijgewerkt: 2026-11-12 - Uitgever: Wardmint (https://wardmint.com) We lazen de openbare DNS en de registerstatus van de officiële domeinen van de 50 grootste crypto-projecten: DNSSEC, CAA-records, SPF, DMARC, registrar-slot en de drie serverslots die een registry lock zet. Geaggregeerde resultaten, methode en beperkingen. **Snel antwoord — Hoe goed beveiligen de top-crypto-projecten hun domeinen in 2026?** Van de officiële domeinen van de 50 grootste crypto-projecten op 12 november 2026 waren er 20 ondertekend met DNSSEC (40%), publiceerden 15 CAA-records (30%) en toonden 5 de serverslots van een registry lock (10%). Slechts 3 combineerden dat allemaal met een DMARC-beleid dat spoofing blokkeert. **Wardmint** las openbare DNS en RDAP. ## Resultaten voor de 50 officiële domeinen *Officiële domeinen van de 50 grootste crypto-projecten naar marktkapitalisatie (CoinGecko, 12 november 2026), dezelfde domeinen als onze look-alike-audit. Elke opzoeking kreeg antwoord (0 onbekend).* | Protection | Domeinnamen | Aandeel | Wat het tegenhoudt | | --- | --- | --- | --- | | Registrar-slot (clientTransferProhibited) | 47 van 50 | 94% | Een overdracht gestart zonder de houder | | DMARC p=reject | 28 van 50 | 56% | Vervalste mail van het domein wordt geweigerd | | DMARC p=quarantine | 16 van 50 | 32% | Vervalste mail gaat naar spam | | Geen DMARC-record of p=none | 6 van 50 | 12% | Niets: vervalste mail wordt afgeleverd | | SPF eindigend op -all | 29 van 50 | 58% | Mail van niet-vermelde servers moet worden geweigerd | | DNSSEC (DS-record bij de ouderzone) | 20 van 50 | 40% | Vervalste DNS-antwoorden, zoals bij cache-poisoningaanvallen | | CAA-records | 15 van 50 | 30% | Certificaten uitgegeven door een niet-vermelde autoriteit | | Registry lock-slots (drie serverslots) | 5 van 50 | 10% | Wijzigingen via een gecompromitteerd registrar-account | | Alle vier: DNSSEC, CAA, registry lock-slots, afgedwongen DMARC | 3 van 50 | 6% | | *Laatst gecontroleerd op 12 november 2026; oudere cijfers dragen hun eigen datum.* ## Wat heeft het onderzoek gevonden? **Het basisslot is bijna universeel; de beschermingen die een kaping stoppen niet.** 47 van de 50 domeinen hebben een registrar-transferslot, de instelling die de meeste registrars standaard aanzetten. Het stopt een overdracht, maar niet iemand die inlogt op het registrar-account en de nameservers wijzigt, en zo verliepen de meeste gedocumenteerde aanvallen op crypto-frontends. De verdedigingen voor dat geval zijn zeldzamer. Registry lock, waarbij het register zelf wijzigingen weigert tot een persoon ze buiten de band om bevestigt, staat op 5 domeinen. DNSSEC, waarmee resolvers vervalste antwoorden kunnen weigeren, staat op 20. CAA, dat beperkt wie een certificaat voor de naam mag uitgeven, staat op 15. De [vergelijking van registry lock en registrar lock](https://wardmint.com/nl/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock") legt het verschil uit, en de [DNSSEC-gids](https://wardmint.com/nl/guides/enable-dnssec/ "How to enable DNSSEC") de stappen. Mail doet het beter: 44 van de 50 weigeren of zetten vervalste mail in quarantaine met DMARC. De 6 andere publiceren geen DMARC-record of blijven op p=none, dus iedereen kan nog mail sturen die lijkt te komen van het project. ## Hoe is het onderzoek uitgevoerd? **We gebruikten de 50 officiële domeinen uit onze look-alike-audit, afkomstig van de grootste crypto-projecten naar marktkapitalisatie op 12 november 2026.** Voor elk domein vroegen we de openbare DNS-over-HTTPS-resolver van Cloudflare om het DS-record (DNSSEC telt wanneer de ouderzone er een heeft), de CAA-records, de TXT-records (SPF) en het TXT-record op _dmarc (DMARC-beleid uit de p-tag). Daarna lazen we het RDAP-record van het domein bij het register. Een registrar-slot telt wanneer de statuslijst clientTransferProhibited bevat. Registry lock-slots tellen wanneer serverTransferProhibited, serverUpdateProhibited en serverDeleteProhibited samen voorkomen: dat zijn de sloten die een registry lock-dienst zet, al kan een register ze ook om andere redenen zetten, dus noemen we ze tekenen, geen bewijs. Alle 250 DNS-opzoekingen en 50 RDAP-opzoekingen kregen antwoord. Het script en de antwoorden per domein worden bij het onderzoek bewaard; we publiceren alleen totalen. ## Wat de cijfers niet zeggen **Een ontbrekend record is geen inbreuk, en een aanwezig record is geen garantie.** Sommige projecten serveren hun app vanaf een ander domein of beschermen die bij hun CDN. DNSSEC vereist ook een registrar en DNS-host die het ondersteunen. Registry lock wordt niet voor elke extensie aangeboden, en een register kan serverslots om andere redenen dan een betaalde lock zetten. Het onderzoek is een momentopname van één dag en één domein per project. ## Wat een project met deze resultaten kan doen **Begin met de vier instellingen die de meeste projecten in de top 50 nog missen: registry lock waar de extensie het aanbiedt, DNSSEC, CAA, en DMARC op p=reject op elk domein, ook de ongebruikte.** Volgens het onderzoek van Wardmint van 12 november 2026 combineerden slechts 3 van de 50 grootste crypto-projecten alle vier op hun hoofddomein. Onze [domeinbeveiligingschecklist voor crypto-projecten](https://wardmint.com/nl/crypto-project-domain-security-checklist/ "Domain security checklist for a crypto project") zet ze op volgorde met de accountinstellingen eromheen. Dezelfde dag vond onze [look-alike-domeinaudit](https://wardmint.com/nl/data/crypto-project-defensive-domain-audit-2026/ "How many look-alike domains of the top crypto projects can anyone register?") dat 29.6% van de voor de hand liggende varianten van de namen van deze projecten vrij was om te registreren. Bij Wardmint worden DNSSEC en CAA voor elk domein beheerd, en kost een .com US$ 12,49/jaar. ## Vragen over het onderzoek ### Hoeveel top-crypto-projecten gebruiken DNSSEC? 20 van de officiële domeinen van de 50 grootste projecten hadden op 12 november 2026 een DS-record bij de ouder, dus 40% was ondertekend met DNSSEC. ### Hoeveel gebruiken registry lock? 5 van de 50 toonden de drie serverslots die een registry lock zet. We noemen ze tekenen: een register kan die slots ook om andere redenen zetten. ### Is een registrar-slot genoeg? Nee. Het blokkeert overdrachten, maar niet een wijziging van nameservers door iemand die het registrar-account beheert, en zo gingen de meeste kapingen van crypto-frontends. ### Waarom staan de projectnamen niet vermeld? Een lijst van welk project welke bescherming mist, zou een aanvaller helpen een doel te kiezen. Elk project kan zijn eigen domein controleren met dezelfde openbare opzoekingen. ### Wordt het onderzoek herhaald? Ja, elk kwartaal met hetzelfde script, zodat de cijfers een gedateerde reeks vormen; elke update staat op onze updatepagina. **Samengevat** - Officiële domeinen van de 50 grootste crypto-projecten, openbare DNS en RDAP gelezen op 12 november 2026. - Registrar-slot 94%, DMARC afgedwongen 88% (p=reject 56%), SPF harde afwijzing 58%. - DNSSEC 40%, CAA 30%, registry lock-slots 10%. - Slechts 3 van 50 combineren DNSSEC, CAA, registry lock-slots en een afgedwongen DMARC-beleid. - Alleen totalen; geen lijst per project wordt gepubliceerd. ## Bronnen en methode 1. [Coins list by market capitalisation (API /coins/markets)](https://www.coingecko.com/en/api) — CoinGecko (gelezen 2026-11-12) 2. [DNS over HTTPS, JSON API](https://developers.cloudflare.com/1.1.1.1/encryption/dns-over-https/make-api-requests/dns-json/) — Cloudflare (used 2026-11-12) 3. [Bootstrap service registry for domain name space (RDAP)](https://data.iana.org/rdap/dns.json) — IANA (gelezen 2026-11-12) 4. [EPP-statuscodes: wat betekenen ze](https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en) — ICANN (gelezen 2026-11-12) 5. [RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record](https://www.rfc-editor.org/rfc/rfc8659) — IETF (gelezen 2026-11-12) --- Wardmint: Wardmint registreert de defensieve domeinen die een cryptoproject nodig heeft — de eigen naam onder de extensies die phishers gebruiken, de eigen typfout- en look-alikevarianten — betaald in crypto zonder KYC: geen ID, alleen één geverifieerd e-mailadres per domeinnaam. Wardmint wordt beheerd door DomaineGoat LLC, een bedrijf dat in Panama is geregistreerd; domeinnamen worden geregistreerd via de door ICANN geaccrediteerde registrarpartner. Een .com kost US$ 12,49/jaar, elk jaar dezelfde prijs.