Domain-Gesundheitsbericht
Ein Domainname ist gemietet, delegiert und manchmal signiert, und jede dieser Ebenen kann Sie im Stich lassen, ohne die anderen zu warnen. Dieser Bericht geht sie alle durch und listet auf, was Aufmerksamkeit braucht, das Dringendste zuerst.
Hinter einem Namen stehen drei Parteien
Eine Domain besitzen Sie nie. Sie mieten sie jahresweise, und es braucht drei getrennte Parteien, um sie am Leben zu halten.
- Die Registry
- Der Betreiber der Endung: Verisign für
.com, Nominet für.uk, DENIC für.de. Sie führt die Hauptliste, wer welchen Namen bis wann mietet. - Der Registrar
- Der Laden, bei dem Sie bezahlen: Namecheap, GoDaddy, Gandi, Cloudflare. Er trägt Ihre Daten in Ihrem Namen bei der Registry ein.
- Der DNS-Hoster
- Die Firma, die Ihre Nameserver betreibt, die Maschinen, die auf „Wie lautet die Adresse dieses Namens?“ antworten. Oft ist das wieder der Registrar, muss es aber nicht sein.
Läuft die Miete aus oder antworten die Nameserver nicht mehr, verschwinden die Website und jedes Postfach der Domain zusammen. Auf Ihrem Webserver hat sich nichts geändert, daher ist ein solcher Ausfall von innen betrachtet rätselhaft.
Was der Bericht prüft
Geben Sie eine Subdomain ein, geht der Bericht hoch zur registrierten Domain, denn Verlängerung und Delegation geschehen auf dieser Ebene.
| Ebene | Wie sie gelesen wird | Markiert, wenn |
|---|---|---|
| Ablauf | Der RDAP-Eintrag der Registry, der strukturierte Nachfolger von WHOIS | Rot unter 30 Tagen oder bereits abgelaufen, gelb unter 60 Tagen |
| Transfersperre | Die Statuscodes im selben Eintrag | Kein Status transfer prohibited vorhanden |
| Nameserver | Jeder Server wird direkt nach dem SOA-Eintrag der Zone gefragt | Weniger als zwei Server, ein stummer oder nicht autoritativer Server oder abweichende Seriennummern |
| DNSSEC | DS-Eintrag bei der Registry, DNSKEY in der Zone und eine validierte Antwort vom öffentlichen Resolver 1.1.1.1 | Ein DS existiert, aber die Zone ist nicht signiert oder besteht die Validierung nicht |
| Grundlagen | CAA, MX, A, AAAA und der Name www | Kein MX, kein A-Eintrag oder www wird nicht aufgelöst |
Ein fehlender CAA- oder AAAA-Eintrag erscheint als optional, nicht als Fehler. Dasselbe gilt für DNSSEC, das einfach ausgeschaltet ist.
Die DNSSEC-Zeile lesen
DNSSEC fügt DNS-Antworten Signaturen hinzu, damit ein Resolver beweisen kann, dass niemand sie unterwegs verändert hat. Es funktioniert als Paar. Die Zone veröffentlicht ihre öffentlichen Schlüssel (DNSKEY), und die Registry veröffentlicht einen Fingerabdruck eines davon (DS). Ein Resolver prüft das eine gegen das andere.
- Aus: kein DS bei der Registry. Die Domain funktioniert genau wie der größte Teil des Internets.
- An und gültig: DS und Schlüssel stimmen überein, und 1.1.1.1 kennzeichnet die Antwort als authentifiziert.
- Defekt oder Ungültig: Die Registry kündigt noch einen Fingerabdruck an, aber die Zone ist nicht signiert oder mit einem anderen Schlüssel signiert. Validierende Resolver, darunter Google Public DNS, Cloudflare und Quad9, liefern dann
SERVFAIL, und für deren Nutzer existiert die Domain scheinbar nicht.
Dieser letzte Zustand folgt fast immer auf einen Umzug zu einem neuen DNS-Hoster, bei dem der alte DS beim Registrar zurückblieb. Halb aktiviertes DNSSEC ist schlimmer als gar keines, behandeln Sie es also als Ausfall.
Beheben, was auftaucht
- Ablauf nah. Jetzt verlängern, die automatische Verlängerung einschalten und dann prüfen, ob die hinterlegte Karte und die Kontakt-E-Mail noch funktionieren. Bei den meisten verlorenen Domains ging die Verlängerungserinnerung an ein Postfach, das niemand mehr liest.
- Nicht gesperrt. Suchen Sie im Registrar-Panel nach „Transfer lock“, „Domain lock“ oder „Registrar lock“ (auf Deutsch oft „Transfersperre“ oder „Domain-Sperre“). Das setzt
clientTransferProhibitedund kostet nichts. - Ein stummer Nameserver. Gehört er zu einem früheren Hoster, entfernen Sie ihn beim Registrar aus der Liste. Resolver wählen unter den gelisteten Servern, also macht ein toter Eintrag einen Teil der Abfragen langsam oder lässt sie scheitern.
- Seriennummern nicht synchron. Eine Lücke von ein paar Minuten nach einer Änderung ist normal. Hält sie eine Stunde an, kopiert der sekundäre Server die Zone nicht mehr, und es ist Zeit, den DNS-Hoster zu kontaktieren. Eine Domain, die bewusst auf zwei DNS-Anbieter verteilt ist, zeigt ständig zwei Seriennummern, und das ist so gewollt.
- Defektes DNSSEC. Löschen Sie entweder den DS-Eintrag beim Registrar, oder signieren Sie die Zone beim neuen DNS-Hoster und tragen Sie dessen DS-Werte ein. Lassen Sie den alten Fingerabdruck nicht stehen.
- Keine E-Mail gewünscht. Eine Domain, die nichts empfangen soll, kann das mit einem Null-MX sagen:
example.com. MX 0 .
Manche Registrys, vor allem länderspezifische, veröffentlichen keinen RDAP-Eintrag oder lassen das Ablaufdatum weg. Der Bericht sagt es, wenn das passiert, und die einzige verlässliche Quelle ist dann Ihr Registrar-Konto. Er sieht auch nicht, ob die automatische Verlängerung an ist oder wer sich in dieses Konto einloggen kann.
Häufige Fragen
Wie prüfe ich, wann eine Domain abläuft?
Erstellen Sie den Bericht. Das Ablaufdatum kommt direkt aus dem RDAP-Eintrag der Registry. Veröffentlicht die Registry es nicht, finden Sie das Datum in Ihrem Registrar-Konto bei den Details der Domain.
Was passiert, wenn eine Domain abläuft?
Der Registrar leitet den Namen zuerst auf eine Parkseite um, Website und E-Mail stehen also still. Bei den meisten Endungen haben Sie dann eine Schonfrist von mehreren Wochen, um zum normalen Preis zu verlängern, danach folgt eine Wiederherstellungsphase mit hoher Gebühr. Anschließend wird der Name freigegeben, und jeder kann ihn registrieren.
Brauche ich DNSSEC?
Es ist optional. Es schützt Besucher vor gefälschten DNS-Antworten, und viele DNS-Hoster aktivieren es mit einem Schalter. Schalten Sie es nur ein, wenn Sie daran denken werden, den DS-Eintrag bei jedem Wechsel des DNS-Hosters anzupassen.
Was ist ein CAA-Eintrag und ist er Pflicht?
Ein CAA-Eintrag nennt die Zertifizierungsstellen, die Zertifikate für Ihre Domain ausstellen dürfen, zum Beispiel 0 issue "letsencrypt.org". Pflicht ist er nicht. Ohne ihn darf jede Stelle ausstellen.
Wie viele Nameserver sollte eine Domain haben?
Mindestens zwei, in verschiedenen Netzen. Jeder DNS-Hoster gibt Ihnen standardmäßig zwei bis vier. Tragen Sie alle beim Registrar ein.
Was bedeutet clientTransferProhibited?
Das ist die Transfersperre. Solange dieser Status gesetzt ist, lehnt die Registry jede Anfrage ab, die Domain zu einem anderen Registrar umzuziehen. Sie heben sie selbst für ein paar Tage auf, wenn Sie wirklich wechseln wollen.