DNS-opvraging

De recordtypes

NetCheck bevraagt live de openbare DNS-resolver van Google (via DNS-over-HTTPS) en toont het antwoord zoals het is. Elk recordtype heeft een precieze rol:

De TTL, of waarom een wijziging niet direct werkt

Elk DNS-antwoord heeft een TTL (time to live), in seconden. Zo lang mogen resolvers over de hele wereld het antwoord in het geheugen houden zonder opnieuw te vragen. Een TTL van 3600 betekent dat een wijziging tot een uur nodig kan hebben om overal zichtbaar te zijn. Verlaag voor een migratie de dag ervoor de TTL naar 300 (vijf minuten), voer de wijziging door en verhoog hem weer zodra alles gecontroleerd is. Gebruik de tool DNS-propagatie om een lopende wijziging te volgen.

E-mail: SPF, DKIM en DMARC

De meeste e-mails die in de spam belanden, zijn te verklaren via de TXT-records.

• SPF somt de servers op die namens het domein e-mail mogen versturen. Er mag er maar één per domein zijn, beginnend met v=spf1. Twee aparte SPF-records maken ze allebei ongeldig: voeg ze samen.
• DKIM publiceert een sleutel waarmee de ontvanger de handtekening van elk bericht controleert. Die staat op een subdomein zoals selector._domainkey.voorbeeld.nl, dat uw e-mailprovider u opgeeft.
• DMARC, gepubliceerd op _dmarc.voorbeeld.nl, bepaalt wat er gebeurt met berichten die voor deze controles zakken: doorlaten (p=none), in de spam zetten (p=quarantine) of weigeren (p=reject). Gmail en Yahoo eisen het inmiddels van bulkverzenders.

Om een DKIM- of DMARC-record te lezen, typt u het betreffende subdomein rechtstreeks in, bijvoorbeeld _dmarc.voorbeeld.nl, en kiest u het type TXT.

Veelgemaakte configuratiefouten

• Een CNAME op het hoofddomein: de norm verbiedt een CNAME op het kale domein (voorbeeld.nl), omdat het zou botsen met de NS- en SOA-records. Sommige DNS-providers bieden „CNAME flattening” of een ALIAS-type om de regel te omzeilen.
• Een MX die naar een IP-adres wijst: een MX moet een hostnaam noemen, die zelf een A-record heeft.
• Inconsistente nameservers: wijken de NS bij de registrar af van die in de zone, dan krijgt een deel van de bezoekers verouderde antwoorden.
• Een vergeten AAAA: wijst een IPv6-record nog naar de oude server, dan komen IPv6-bezoekers op de oude site terecht. Denk eraan bij een migratie.

Een leeg antwoord lezen

„Geen records” betekent niet per se dat er iets mis is: veel domeinen hebben geen AAAA of CAA, en dat is normaal. Een domein zonder A en zonder AAAA kan echter geen website tonen, en een domein zonder MX kan geen e-mail ontvangen. Antwoordt de resolver dat het domein niet bestaat (code 3, NXDOMAIN genoemd), controleer dan de spelling en daarna de status met de WHOIS-tool.

Veelgestelde vragen

Zijn de resultaten actueel?

Ja: de aanvraag gaat live naar de openbare resolver van Google, via DNS-over-HTTPS. Maar die resolver houdt zich, net als alle andere, aan de TTL: vlak na een wijziging kan hij nog de oude waarde geven. De tool DNS-propagatie vergelijkt meerdere resolvers tegelijk.

Wat is het verschil tussen een A-record en een CNAME?

Een A-record geeft direct een IP-adres. Een CNAME verwijst naar een andere naam, die vervolgens zelf wordt omgezet. Handig als het doeladres vaak verandert (platformen, CDN's), maar het voegt een stap toe en kan niet naast andere records op dezelfde naam bestaan.

Wat betekent het getal voor een MX-record?

Dat is de prioriteit: hoe lager, hoe meer voorrang de server krijgt. Verzenders proberen eerst de server met de laagste waarde en gaan naar de volgende als die niet antwoordt.

Waarvoor dient een CAA-record?

Het beperkt welke certificeringsinstanties een certificaat voor uw domein mogen uitgeven. Zonder CAA mag elke instantie dat; met CAA moet een niet-vermelde instantie weigeren, wat het risico op een frauduleus certificaat verkleint.