Slik ble vi Norid-forhandler, og hva det betyr for deg

Det finnes to måter å selge .no-domener på. Enten er du registrar, altså forhandler med direkte avtale med Norid og egen tilgang til registeret, eller så videreselger du gjennom en annen registrar, som da gjør operasjonene for deg. Forskjellen er usynlig på prislisten og svært synlig den dagen noe haster: en registrar kan registrere, fornye, flytte og gjøre eierskifte selv, med en gang, mens en videreselger må vente på noen andre. Vi ville være det første.

Norids forhandlerprøve har tre deler. Del én er teori om regelverket: hvem som kan ha .no-domener, hvordan flytting og eierskifte fungerer, hva egenerklæringen betyr, og hvilke plikter forhandleren har overfor registeret. Del to er praktisk bruk av forhandlerwebben, Norids eget administrasjonsverktøy. Del tre er teknisk: man må utføre reelle operasjoner mot testregisteret over EPP-protokollen, med sin egen klient, gjennom rundt tretti oppgaver som dekker registrering, kontakter, navnetjenere, flytting og sletting.

Vi tok prøven med EPP-klienten vi selv hadde skrevet, den samme som i dag kjører i produksjon. Teoridelen gikk 20 av 20, og den tekniske delen ble kjørt oppgave for oppgave med XML-en synlig før hver sending, slik at vi visste nøyaktig hva registeret fikk. Prøven ble bestått 27. juli 2026, forhandleravtalen signert, og 30. juli aktiverte Norid forhandlerskapet med ID REG1173. Samme dag flyttet vi domenesentralen.no over til vår egen forhandler-ID, som det første domenet vi tok ansvar for. Fungerer det ikke for oss selv, skal det ikke selges til andre.

Prøven avdekket regler som ikke står i noen kort oversikt, og som vi nå har kodet inn slik at kundene aldri møter dem. EPP-passordet kan maksimalt være 16 tegn, men forhandlerwebben godtar lengre uten å si fra; symptomet er en kryptisk syntaksfeil ved innlogging. Postnummer må skrives med landprefiks, NO-1710, ikke 1710. Organisasjonsnavn må stemme ordrett med Enhetsregisteret. Navnetjenere kan ikke ha æ, ø eller å i navnet, så ingen kan drifte navnetjenere under et æøå-domene. Og glue-adresser sjekkes mot ekte rutbare IP-er, så dokumentasjonseksemplene fra lærebøkene avvises.

Den regelen som faktisk endret rekkefølgen på arbeidet vårt, var denne: for å opprette navnetjenere under et domene med egne IP-adresser (såkalte subordinate hosts med glue), må forhandleren sponse foreldredomenet. Vi kunne altså ikke opprette ns1 og ns2.domenesentralen.no hos Norid før domenesentralen.no lå hos oss. Det er derfor flyttingen av vårt eget domene måtte skje samme dag som aktiveringen, før noe annet.

DNSSEC er en egen aktivering. En forhandler kan ikke registrere DNSSEC-nøkler før Norid har slått det på for forhandleren (feilkode EC002060 ellers), og det skjer ved henvendelse. For REG1173 ble det gjort 31. juli, dagen etter aktiveringen. Fra da av signeres alle domener som bruker navnetjenerne våre automatisk, og DS-posten meldes til Norid som del av registreringen. Vi står oppført som DNSSEC-forhandler i Norids liste.

En detalj som forklarer mange supportsaker i bransjen: .no-sonen publiseres bare annenhver time, med rundt 30 minutters distribusjon etterpå. En navnetjenerendring er registrert hos Norid umiddelbart, men synlig for resten av internett først ved neste publisering. Og DS-poster avvises inntil delegeringen faktisk peker på de nye navnetjenerne. Vi har bygget flytteveiviseren rundt denne rytmen, i stedet for å la kunden lure på hvorfor ingenting skjer.

Hva betyr alt dette for deg som kunde? Tre ting. Operasjoner skjer med en gang, fordi det er vi som utfører dem, direkte mot registeret. Vi står ansvarlige overfor Norid for at reglene følges, og har dermed en plikt til å sjekke abonnentopplysninger og egenerklæringer skikkelig. Og de tekniske fellene over er våre å håndtere, ikke dine. Blir det nye primærkontakter hos oss, må de bestå prøven selv; Norid krever det, og vi mener det er riktig.