DNS-Einträge abfragen
Geben Sie eine Domain oder einen Hostnamen ein und lesen Sie alles, was das DNS dazu veröffentlicht, Eintragstyp für Eintragstyp. Jeder Block erklärt, wofür der Typ da ist, und wir weisen auf die wenigen Einträge hin, die sich widersprechen.
Ein Name, mehrere Arten von Antwort
Das DNS wird gern als Telefonbuch des Internets bezeichnet. Das Bild passt, wenn man sich ein Buch vorstellt, in dem jeder Name mehrere Zeilen hat: eine für die Hausadresse, eine für den Briefkasten, eine für den Notar, der die Akte führt. Ein Browser fragt nur nach der Adresse. Ein Mailserver fragt nur nach dem Briefkasten. Jede Art von Zeile ist ein Eintragstyp, und eine Anfrage an das DNS nennt immer sowohl die Domain als auch den gewünschten Typ.
Deshalb kann eine Domain im Browser einwandfrei laden, während ihre E-Mails zurückkommen. Beides hängt an verschiedenen Einträgen, die getrennt bearbeitet werden, oft von verschiedenen Leuten.
Die Eintragstypen, die diese Abfrage liest
| Typ | Enthält | Gelesen von |
|---|---|---|
A, AAAA | Die IPv4- und IPv6-Adressen des Servers | Browsern und allem anderen, was sich mit dem Namen verbindet |
CNAME | Einen anderen Namen, der statt dieses Namens gilt | Resolvern, die mit dem Ziel von vorn beginnen |
MX | Die Server, die E-Mails annehmen, jeweils mit Priorität | Sendenden Mailservern |
NS | Die Nameserver, die die Zone führen | Resolvern auf der Suche nach der maßgeblichen Quelle |
SOA | Primärer Server der Zone, Kontakt, Seriennummer und Timer | Sekundären Nameservern |
TXT | Freitext: SPF, DKIM-Schlüssel, Bestätigungscodes | Empfangenden Mailservern und den Diensten, bei denen Sie sich anmelden |
CAA | Die Zertifizierungsstellen, die für die Domain ausstellen dürfen | Zertifizierungsstellen, vor der Ausstellung |
DS, DNSKEY | Die Schlüssel, mit denen die Zone signiert ist, und ihr Fingerabdruck bei der übergeordneten Zone | Resolvern, die DNSSEC validieren |
Wir fragen all diese Typen gleichzeitig bei einem öffentlichen Resolver ab, mit einem zweiten Resolver als Reserve für jede Anfrage, die verloren geht. Die DMARC-Richtlinie wird ebenfalls abgefragt. Sie ist ein TXT-Eintrag, liegt aber unter einem eigenen Namen, _dmarc.example.com, deshalb zeigt eine einfache TXT-Abfrage der Domain sie nie an.
TXT-Werte werden mit bekannten Formaten abgeglichen. Ein Wert, der mit v=spf1 beginnt, wird als SPF gekennzeichnet, google-site-verification= oder MS= als Inhaberschaftsnachweis für Google oder Microsoft 365, und so weiter für einige Dutzend Dienste. Mail- und Nameserver werden genauso zugeordnet, sodass aspmx.l.google.com als Google Workspace / Gmail erscheint.
Was die TTL-Spalte verrät
Jeder Eintrag hat eine Lebensdauer (TTL) in Sekunden. So lange darf ein Resolver die Antwort behalten, bevor er erneut fragt, und das ist auch die längste Zeit, in der ein Besucher nach einer Änderung noch den alten Wert bekommen kann. Eine TTL von 3600 bedeutet bis zu einer Stunde Wartezeit, 300 bedeutet fünf Minuten.
Ein Resolver, der den Eintrag bereits zwischengespeichert hat, meldet die verbleibende Zeit, nicht den konfigurierten Wert. Zweimal fragen kann also erst 3600 und dann 2954 ergeben. Um Ihnen diese Verwirrung zu ersparen, holt diese Abfrage die TTL wenn möglich direkt bei einem der Nameserver der Zone, und der Hinweis unter den Ergebnissen sagt, welche Quelle verwendet wurde.
Zwei Fälle werden erwähnt, nur zur Information: eine TTL unter 60 Sekunden und eine TTL über einem Tag bei allem außer NS-Einträgen. Keins von beiden ist ein Fehler. Sehr kurze Werte sind normal bei Anbietern, die Datenverkehr per DNS zwischen Rechenzentren verschieben. Sehr lange schaden nur an dem Tag, an dem Sie umziehen müssen.
Die Widersprüche, auf die sie hinweist
- Mehr als ein SPF-Eintrag
- Eine Domain darf nur einen TXT-Eintrag veröffentlichen, der mit
v=spf1beginnt. Bei zweien melden Empfänger einen permanenten Fehler und SPF schlägt für jede Nachricht fehl. Fassen Sie sie zu einem zusammen, etwav=spf1 include:_spf.google.com include:sendgrid.net ~all. - Ein CNAME neben anderen Einträgen
- Ein Alias ersetzt den ganzen Namen, er kann ihn also nicht mit MX, TXT oder sonst etwas teilen. Meist passiert das an der Spitze einer Domain, wo NS- und SOA-Einträge vorhanden sein müssen. Verwenden Sie dort A- und AAAA-Einträge oder die Funktion „ALIAS“, „ANAME“ oder „CNAME Flattening“ Ihres DNS-Anbieters.
- Kein Adresseintrag
- Ohne A oder AAAA kann sich nichts mit dem Namen verbinden. Das ist normal für einen Namen, der nur Mail- oder Bestätigungseinträge trägt. Für eine Website ist es ein Problem.
- Ein einziger Nameserver oder DNSSEC-Schlüssel ohne DS-Eintrag
- Mit nur einem Nameserver hängen Website und E-Mail davon ab, dass eine einzige Maschine läuft. Schlüssel ohne DS-Eintrag beim Registrar bedeuten, dass die Zone signiert ist, aber niemand die Signaturen prüft.
- Mailserver ohne SPF oder ein DMARC-Eintrag unter dem falschen Namen
- Beides macht es leichter, sich als die Domain auszugeben. Die E-Mail-Authentifizierungsprüfung geht SPF, DKIM und DMARC im Detail durch.
Die Ergebnisse zeigen, was ein öffentlicher Resolver gerade sieht. Nach einer kürzlichen Änderung können andere Resolver noch den alten Wert haben, vergleichen können Sie das mit der DNS-Propagation-Prüfung. Einträge unter Namen, die Sie nicht eingegeben haben, etwa DKIM-Schlüssel unter selector._domainkey oder SRV-Einträge, werden nicht aufgeführt, weil das DNS keine Möglichkeit bietet, eine Domain nach all ihren Namen zu fragen.
Häufige Fragen
Wie sehe ich alle DNS-Einträge einer Domain?
Man fragt jeden Eintragstyp einzeln ab, und genau das macht diese Seite für die gängigen Typen. Eine Anfrage „gib mir alles“ funktioniert nicht zuverlässig. Die meisten Server lehnen den Typ ANY heute ab oder beantworten ihn nur teilweise, und Einträge auf Subdomains erscheinen nur, wenn Sie diese Subdomains namentlich abfragen.
Was ist der Unterschied zwischen einem A-Eintrag und einem CNAME?
Ein A-Eintrag liefert direkt eine IP-Adresse. Ein CNAME liefert einen anderen Namen, und der Resolver fragt stattdessen diesen Namen ab. Nehmen Sie einen CNAME, wenn ein Anbieter Sie bittet, auf einen seiner Hostnamen zu zeigen, damit er die Adresse ändern kann, ohne Sie zu behelligen. Ein Name mit CNAME kann keinen anderen Eintrag tragen.
Wie lange dauert es, bis eine DNS-Änderung sichtbar wird?
Höchstens die TTL, die der Eintrag vor Ihrer Änderung hatte, plus die paar Sekunden, die Ihr DNS-Anbieter zum Veröffentlichen braucht. War die alte TTL eine Stunde, behalten manche Besucher den alten Wert bis zu einer Stunde. Ein Wechsel der Nameserver beim Registrar folgt der TTL der übergeordneten Zone, oft ein oder zwei Tage.
Warum hat meine Domain so viele TXT-Einträge?
Jeder Onlinedienst, den Sie anbinden, von Mailplattformen über Statistik bis zur Dokumentensignatur, verlangt einen TXT-Code als Nachweis, dass die Domain Ihnen gehört. Sie sammeln sich an, und die meisten lassen sich löschen, sobald der Dienst sie geprüft hat oder Sie ihn nicht mehr nutzen. Behalten Sie den SPF-Eintrag und lesen Sie die Dokumentation des Dienstes, bevor Sie einen Code entfernen, den er erneut prüfen könnte.
Was bedeutet „kein MX-Eintrag“ für meine E-Mails?
Kein Server ist dafür bestimmt, E-Mails für die Domain anzunehmen. Absender versuchen es dann bei der Adresse aus dem A-Eintrag, meist ein Webserver, der keine E-Mails annimmt, und die Nachricht kommt zurück. Soll die Domain nie E-Mails empfangen, veröffentlichen Sie einen „Null-MX“ (0 .), damit Absender sofort aufgeben.
Kann ich eine Subdomain abfragen?
Ja. Geben Sie den vollständigen Hostnamen ein, zum Beispiel shop.example.com. Eine Subdomain hat normalerweise keinen eigenen NS- oder SOA-Eintrag. Die Nameserver der darüberliegenden Zone antworten für sie, und das Ergebnis nennt diese Zone.