DNS-records uitgelegd

Hoe DNS werkt, in één alinea

Typt iemand bakkerjansen.nl in, dan vraagt zijn computer via een resolver (meestal van de internetprovider) aan de nameservers van je domein: "welk IP-adres hoort hierbij?" De nameservers kijken in de zone van je domein, de lijst met records, en geven antwoord. Dat antwoord wordt een tijdje bewaard: de TTL.

A en AAAA: waar je website staat

Een A-record koppelt een naam aan een IPv4-adres, een AAAA-record aan een IPv6-adres.

bakkerjansen.nl.      3600  IN  A     203.0.113.10
bakkerjansen.nl.      3600  IN  AAAA  2001:db8::10

Heeft je hostingprovider beide adressen, zet dan beide records: steeds meer bezoekers gebruiken IPv6.

CNAME: een naam die naar een andere naam wijst

Een CNAME zegt: "kijk voor deze naam bij die andere naam". Handig als je provider het IP-adres kan veranderen.

www.bakkerjansen.nl.  3600  IN  CNAME  bakkerjansen.nl.

Let op: een CNAME mag niet naast andere records op dezelfde naam staan. Daarom kan het kale domein (bakkerjansen.nl) zelf meestal geen CNAME zijn: daar staan ook je MX- en NS-records.

MX: waar je e-mail naartoe gaat

Een MX-record wijst naar de mailserver die e-mail voor je domein ontvangt. Het getal is de voorkeur: lager gaat eerst.

bakkerjansen.nl.  3600  IN  MX  0  bakkerjansen-nl.mail.protection.outlook.com.

Wissel je van e-mailaanbieder, verwijder dan de oude MX-records. Blijven die staan, dan komt een deel van je mail bij de oude aanbieder terecht.

TXT: vrije tekst, vooral voor e-mail en bewijs

Een TXT-record bevat tekst. Er staan veel belangrijke dingen in:

• SPF: welke servers namens je domein mogen mailen. Zie het SPF-record.
• DKIM: de sleutel waarmee ontvangers je handtekening controleren (soms als CNAME). Zie DKIM.
• DMARC: wat ontvangers doen met mail die niet klopt. Zie DMARC instellen.
• Verificatie: diensten als Microsoft 365 of Google laten je met een TXT-record bewijzen dat het domein van jou is.

bakkerjansen.nl.         3600  IN  TXT  "v=spf1 include:spf.protection.outlook.com -all"
_dmarc.bakkerjansen.nl.  3600  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@bakkerjansen.nl"

NS: wie het antwoord geeft

De NS-records noemen de nameservers van je domein. Ze staan op twee plekken: bij de registry (via je registrar) en in je zone. Verhuis je je DNS, dan pas je de nameservers bij je registrar aan. Zet eerst alle records klaar bij de nieuwe DNS-aanbieder, anders valt je website of e-mail even weg.

CAA: wie certificaten mag uitgeven

Met een CAA-record bepaal je welke certificaatautoriteiten een https-certificaat voor je domein mogen uitgeven. Staat er geen CAA-record, dan mag elke autoriteit dat. Zet je er wel een, vergeet dan niet de autoriteit die je hostingprovider gebruikt, anders kan je certificaat niet worden vernieuwd.

bakkerjansen.nl.  3600  IN  CAA  0 issue "letsencrypt.org"

TTL: hoe lang een antwoord geldig blijft

De TTL (time to live) is het aantal seconden dat resolvers een antwoord mogen bewaren. 3600 is een uur. Een lagere TTL betekent dat wijzigingen sneller overal zichtbaar zijn, maar ook dat er vaker gevraagd wordt. Plan je een verhuizing, zet de TTL dan een dag vooraf lager (bijvoorbeeld 300) en na de verhuizing weer terug.

Veelgemaakte fouten

• Twee SPF-records naast elkaar: dan is geen van beide geldig.
• Oude MX-records laten staan na een overstap.
• Een CNAME naast andere records op dezelfde naam.
• Nameservers omzetten voordat de nieuwe zone klaarstaat.
• Een punt vergeten of te veel typen in een naam, waardoor www.bakkerjansen.nl.bakkerjansen.nl ontstaat.

In Mijn CloudVikings zie je vooraf wat er verandert, houden we dubbele of ongeldige records tegen en draai je een wijziging met één klik terug. Zie domeinnamen en DNS.