De Stichting Internet Domeinregistratie Nederland (SIDN), de organisatie die de .nl-domeinnamen beheert, heeft twee jaar lang via de publieke RDAP-dienst teveel registratiegegevens van domeinhouders gepubliceerd. Dat heeft SIDN zelf vandaag bekendgemaakt. Het probleem is inmiddels verholpen en gemeld bij de Autoriteit Persoonsgegevens (AP).

Bij de registratie van een domeinnaam registreert SIDN allerlei gegevens van de houder. Voor het opvragen van informatie over domeinnamen biedt de stichting een Whois-functie op Sidn.nl en een publieke RDAP (Registration Data Access Protocol)-dienst. Deze laatste dienst maakt het mogelijk om op geautomatiseerde wijze informatie over domeinnamen op te vragen, terwijl de Whois-functie voor individuele raadplegingen is bedoeld.

De RDAP-dienst bleek sinds april 2024 meer gegevens zichtbaar te maken dan volgens het beleid van SIDN is toegestaan. Het ging om de naam van houders van zakelijke .nl-domeinnamen, adresgegevens van zakelijke domeinnaamhouders die expliciet hebben gekozen voor publicatie van hun adresgegevens, wat volgens SIDN minder dan één procent is, het administratieve e-mailadres (admin-c) van registraties en het e-mailadres van de technische contactpersoon van een registratie.

De genoemde informatie is ook zichtbaar via de Whois op sidn.nl, maar hoort niet via de RDAP-dienst opvraagbaar te zijn. SIDN merkt op dat het geautomatiseerd opvragen van de registratiegegevens van een groot aantal .nl-domeinnamen door anderen dan de domeinnaamhouder of registrar niet eenvoudig is, omdat de stichting geen lijst van geregistreerde .nl-domeinnamen publiceert. Tevens laat SIDN weten dat er op dit moment geen aanwijzingen zijn voor misbruik van gegevens.

Naar aanleiding van de ontdekking is de RDAP-dienst aangepast, is er melding gedaan bij de Autoriteit Persoonsgegevens en zijn interne controles aangescherpt. Hoe het kon dat er via RDAP meer gegevens werden getoond dan mocht laat SIDN niet weten. Domeinhouders hoeven geen verdere actie te ondernemen. De stichting adviseert domeinhouders om alert te blijven op verdachte e-mails.