---
title: "Sivustoni on epäilyttävä, koska se on uusi"
slug: sivusto-on-epailyttava-koska-se-on-uusi
summary: "Palo Alto antoi osoitteelleni saman haun sisällä kaksi vastausta: riskitaso matalin mahdollinen, ja silti Newly-Registered-Domain. Luokka ei mittaa riskiä vaan ikää — ja valmistajan oman tutkimuksen mukaan se osuu joukkoon, joka on lähes kokonaan puhdas."
tags: tietoturva, domainit, väärinkäytön esto, NRD, Cloudflare
ai_model: claude-opus-5
published_at: 2026-08-24T08:54:28.944+00:00
canonical_url: https://jarkkolietolahti.com/articles/sivusto-on-epailyttava-koska-se-on-uusi
markdown_url: https://cemecdwfdvdbvpvowuln.supabase.co/functions/v1/content-md?slug=sivusto-on-epailyttava-koska-se-on-uusi
---

Rekisteröin osoitteen saaksi.bike 11. elokuuta 2026 kello 15.39. Yksitoista päivää myöhemmin paikallislehti kirjoitti jutun pyöräretkestä ja linkitti sivustolle. Samana aamuna tarkistin, mitä Palo Alto Networks ajattelee osoitteestani.

Vastaus tuli yhdessä ruudussa, ja siinä on kaksi riviä, jotka johtavat eri suuntiin.

```
URL: saaksi.bike
Categories: Travel, Newly-Registered-Domain
Risk Level: Low-Risk
```

Riskitaso on matalin kolmesta riskiluokasta. Samalla osoite kuuluu ikään perustuvaan `Newly-Registered-Domain`-luokkaan, jolle Palo Alto suosittelee estoa. Rivit eivät teknisesti kumoa toisiaan: toinen kuvaa arvioitua riskiä, toinen domainin ikää. Ristiriita syntyy vasta siinä, miten niitä käytetään pääsynhallinnassa.

Sivustolla on viisi kaveria, yksi pyöräretki Sääksjärven ympäri ja 39 valokuvaa. Se on epäilyttävä, koska se on uusi.

## Luokka ei kerro riskistä, se kertoo iästä

[Palo Alton oma kuvaus NRD-luokasta](https://docs.paloaltonetworks.com/advanced-url-filtering/administration/url-filtering-basics/url-categories) sanoo sen suoraan: kyse on domaineista, jotka on rekisteröity viimeisen 32 päivän aikana. Ei sisällöstä, ei käytöksestä, ei maineesta. Rekisteröintipäivä ja kalenteri.

Minun tapauksessani este poistuu 12. syyskuuta 2026. Sivusto on täsmälleen sama päivänä 31 ja päivänä 33 — sama HTML, samat kuvat, samat viisi kaveria. Ainoa mikä muuttuu on päivämäärä.

Luokitus on muuten omalla tavallaan huvittavan kirjaimellinen: sivusto on myös luokiteltu `Travel`-kategoriaan, jonka esimerkkisivustoina mainitaan kayak.com ja jetblue.com. PAN-DB näkee siis nurmijärveläisen järvenympärysajon matkailuna — väljä tulkinta, mutta tällä rivillä ei ole samaa estävää vaikutusta kuin ikäluokalla.

## Ensin luulin domainia kaksitoista vuotta vanhaksi

Tässä kannattaa kertoa virhe, koska se on helppo tehdä ja se olisi kumonnut koko jutun.

Ajoin `whois saaksi.bike` ja sain vastaukseksi:

```
domain:       BIKE
organisation: Binky Moon, LLC
created:      2013-11-08
```

Kaksitoista vuotta vanha domain. Ei mitään ongelmaa, ei artikkelia.

Paitsi että tuo ei ole minun domainini tietue. Se on `.bike`-päätteen eli koko verkkotunnuspäätteen tietue. IANA:n vastauksessa `whois:`-kenttä on tyhjä, eikä paikallinen whois-asiakas seuraa viittausta rekisterin omalle palvelimelle. Vastaus näyttää oikealta, sisältää päivämäärän, ja on väärä.

Oikea vastaus tulee [RDAP:sta](https://rdap.org/domain/saaksi.bike), joka palauttaa domainin oman tietueen JSON-muodossa:

```
curl -sL https://rdap.org/domain/saaksi.bike | jq -r '
  (.events[]
     | select(.eventAction == "registration" or .eventAction == "expiration")
     | "\(.eventAction)  \(.eventDate)"),
  ("registrar     " + (.entities[]
     | select(.roles[] == "registrar")
     | .vcardArray[1][]
     | select(.[0] == "fn")
     | .[3]))'
```

```
expiration    2027-08-11T12:39:28.573Z
registration  2026-08-11T12:39:28.573Z
registrar     Cloudflare, Inc
```

Osoite `rdap.org` on uudelleenohjauspalvelu, joka etsii oikean rekisterin RDAP-palvelimen puolestasi — tässä tapauksessa `rdap.identitydigital.services`. Se on juuri se askel, jonka paikallinen whois-asiakas jätti ottamatta.

Yksitoista päivää, ei kahtatoista vuotta. Ero on tasan tämän artikkelin verran.

Huomasin sen vain siksi, että luku oli väärä väärään suuntaan: olin juuri lukenut Cloudflaren tiedoista, että zone luotiin 11.8. kello 12.39 UTC. Kaksi lukua eri lähteistä olivat ristiriidassa, ja se pakotti tarkistamaan. Jos molemmat olisivat osoittaneet vuoteen 2013, en olisi kysynyt mitään.

## En päässyt itse tarkistamaan luokitusta

Palo Alton hakupalvelu on ilmainen ja avoin, mutta haun takana on reCAPTCHA: "I'm not a robot".

Tein tämän työn Claude Coden kanssa. Agentti täytti hakukentän mutta pysähtyi ruksiin, eikä suostunut klikkaamaan sitä silloinkaan kun sanoin sille suoraan, että saa. Rastitin ruudun ja painoin hakua itse, ja liitin tuloksen takaisin keskusteluun.

Se on kohtuullinen raja, ja samalla sama ilmiö toisessa muodossa. Bottisuojaus ei kysy mitä olet tekemässä. Se kysyy mikä olet.

## Ikä on signaali, ei tuomio

Tähän asti tämä on ollut valitusta yhden sivuston puolesta. Kiinnostavampi kysymys on, mitä ikä oikeastaan kertoo riskistä.

[Palo Alton oma tutkimusyksikkö Unit 42](https://unit42.paloaltonetworks.com/newly-registered-domains-malicious-abuse-by-bad-actors/) luokitteli 1,27 prosenttia tutkimistaan tuoreista domaineista haitallisiksi. Se ei kuitenkaan tarkoita, että loput olisivat puhtaita: samassa aineistossa yli 70 prosenttia kuului yhdistettyyn ryhmään *haitallinen, epäilyttävä tai työpaikalle sopimaton*. Epäilyttäväksi laskettiin muun muassa pysäköidyt domainit, sisällöltään riittämättömät sivustot ja korkean riskin luokitus.

Lukuja ei siis voi lukea niin, että 98,7 prosenttia NRD-domaineista olisi todettu turvallisiksi. Valmistaja käyttää juuri tätä epävarmuutta eston perusteena: useimmat haitalliset tuoreet domainit ovat lyhytikäisiä, joten 32 päivän ikkuna toimii ennaltaehkäisevänä suodattimena ennen kuin tarkempi luokitus ehtii valmistua.

[Toisessa tutkimuksessa](https://unit42.paloaltonetworks.com/strategically-aged-domain-detection/) Unit 42 tarkasteli *strategisesti vanhennettuja* domaineja: kuukausia tai vuosia hiljaisina pysyneitä osoitteita, joiden DNS-liikenne kasvoi äkillisesti. Tästä käyttäytymisen perusteella valitusta joukosta 3,8 prosenttia oli haitallisia, yli kolme kertaa NRD-aineiston osuus.

Vertailu ei osoita, että vanhat domainit yleensä olisivat uusia vaarallisempia: tutkimuksen vanhennetut domainit oli jo valittu poikkeavan liikenteen vuoksi. Se osoittaa kuitenkin ikärajan aukon. Kärsivällinen hyökkääjä voi läpäistä sen odottamalla, minkä jälkeen käyttäytymisen muutos pitää havaita toisella menetelmällä.

NRD-esto voi siksi olla perusteltu varotoimi, mutta se on karkea signaali. Se ei yksin erota viiden kaverin pyöräretkeä muutaman tunnin ikäisestä komentopalvelimesta.

## Kärsivällisyys on hyökkääjälle halpaa

Syy on ilmeinen heti kun sen sanoo ääneen: ikäraja on este, jonka ohittaa odottamalla.

[Unit 42:n mukaan](https://unit42.paloaltonetworks.com/strategically-aged-domain-detection/) SolarWindsin komentopalvelindomain `avsvmcloud[.]com` rekisteröitiin vuonna 2018. Se makasi käyttämättömänä kaksi vuotta ja heräsi maaliskuussa 2020, jolloin sen passiivinen DNS-liikenne kasvoi noin 165-kertaiseksi. Mikään 32 päivän ikkuna ei koskenut sitä millään tavalla.

Hyökkääjälle tämä maksaa domainin hinnan ja kärsivällisyyttä. Ei mitään muuta. Sillä puolella on suunnitelmallisuutta, budjettia ja aikaa. Uudella yrityksellä, kampanjalla tai tapahtumasivustolla ei ole näistä mitään — ne julkaisevat silloin kun on julkaistava, ja jakavat linkkiä eniten juuri niinä ensimmäisinä viikkoina.

Este osuu väistämättä myös niihin, joilla ei ole varaa odottaa, ja menettää tehonsa niitä vastaan, joilla on.

[Uptycs tekee omassa analyysissään](https://www.uptycs.com/blog/threat-research-report-team/should-we-blocklist-newly-registered-domains) saman erottelun luokituksen ja varmistetun haitallisuuden välillä: uutta domainia ei voi kutsua automaattisesti haitalliseksi. Se suosittelee silti varotoimena vähintään 15 päivän estoa — lyhyempää kuin Palo Alton 32 päivää.

Yksi varoitus tuon keskustelun lukemiseen. Uptycsin aineistossa 11,83 % *haittadomaineista* oli NRD-luokassa. Se on eri asia kuin "11,83 % NRD:istä on haitallisia", ja nuo kaksi menevät sekaisin jatkuvasti. Ensimmäinen kertoo mistä haitta tulee. Toinen kertoisi, kuinka moni estetyistä on syyllinen. Vain jälkimmäinen perustelisi eston, eikä sitä lukua yleensä esitetä.

## Aikajäähy on signaali, ei ratkaisu

Tämä ei ole vain domainien ongelma. Sama kuvio toistuu kaikkialla missä väärinkäyttöä estetään: uuden tilin nostorajat, kotiutusviiveet, "tili on liian tuore tähän toimintoon", rate limitit, jotka koskevat kaikkia, koska joku väärinkäyttää.

Aikaperustainen jäähy on halpa toteuttaa, helppo perustella ja vaikea kiistää. Se antaa suojaa juuri silloin, kun käyttöhistoriaa ei vielä ole. Ongelmia syntyy, jos sitä käytetään ainoana portinvartijana siellä, missä sisältöä, käyttäytymistä ja riskitasoa voisi arvioida erikseen.

Rajoitus osuu aikaan eikä käytökseen. Se on samalla sen etu ja sen ongelma: sitä voi soveltaa ennen kuin kohteesta tiedetään juuri mitään, mutta silloin se kohtelee kaikkia uusia samalla tavalla.

## Mitä en pysty todistamaan

Rehellinen rajaus, koska ilman sitä tämä olisi parempi tarina kuin se on.

**Yksi havainto sentään on, ja se on omani.** Koneella, jossa on Palo Alton GlobalProtect-VPN, sivusto ei aukea lainkaan: Chrome näyttää yhteysvirheen `ERR_QUIC_PROTOCOL_ERROR`, ei palomuurin varoitussivua. Sekään ei kelpaa todisteeksi — virhesivulla ei lue Newly-Registered-Domain, siinä lukee vain ettei sivua tavoitettu. Jos tämä on NRD-esto, se on eston epäinformatiivisin muoto: käyttäjälle se näyttää verkkovialta, eikä verkkoviasta kukaan osaa epäillä domainin ikää.

Muilta osin havaintoja ei ole. NRD-luokka on päällä, mutta luokan olemassaolo ei ole sama asia kuin este — se riippuu kunkin organisaation omista säännöistä.

**Enkä pysty näkemään sitä nykyisillä työkaluilla.** Cloudflaren ilmaissuunnitelmalla viittaajatietoa ei saa ulos lainkaan: kysely `clientRefererHost`-kentästä vastaa `zone does not have access to the field`. Sama suunnitelma rajaa kyselyt yhden vuorokauden ikkunaan, joten en saa puhdasta vertailua eilisen ja tämän päivän samoista kellonajoista.

**Ja yleisö on väärä.** Lehtijutun jälkeisistä käynneistä 78 % tuli Suomesta ja selvä enemmistö mobiililaitteilla — operaattoriverkoista, joissa yritysten URL-suodatusta ei ole. Jos esto tapahtuu jossain, se tapahtuu työpaikan verkossa työpöytäkoneella, eli täsmälleen siinä yleisössä jota paikallislehti ei tavoita.

Se on ennuste eikä pettymys: jos tämä ilmiö näkyy koskaan minun datassani, se näkyy LinkedIn-jaon liikenteessä eikä tässä.

## Laskuri, joka lakkaa laskemasta

Rakensin sivustolle osoitteeseen `/nrd` pienen sivun, joka kertoo kaksi lukua: kuinka monta päivää osoite on ollut olemassa, ja kuinka monta päivää NRD-statusta on jäljellä.

Sivu on osoitteessa **saaksi.bike/nrd**. Molemmat luvut lasketaan selaimessa yhdestä aikaleimasta, joten se pysyy oikeassa ilman uudelleenjulkaisua. Testasin sen väärentämällä kellon eteenpäin lokakuulle: laskuri lakkaa laskemasta alaspäin, vaihtaa tekstin muotoon "ei enää uusi domain" ja kertoo montako päivää siihen meni.

Se on pieni sivu ja aika lailla turha. Mutta se tekee näkyväksi asian, joka on muuten näkymätön: sivusto ei muutu miksikään sinä päivänä, ja silti jokin muuttuu.

Kirjoitin tämän 22. elokuuta aamupäivällä, jolloin laskuri sanoi 21. Kun sain sivun tuotantoon samana iltana, se sanoi jo 20. Se on koko idea pienimmässä mahdollisessa muodossa: mikään sivustossa ei muuttunut niiden tuntien aikana.