DNS check voor betrouwbare bereikbaarheid van je website
DNS is het adresboek van het internet: het vertaalt je domeinnaam naar de servers waar je website en e-mail draaien. Staat dit verkeerd of half ingesteld, dan is je site onbereikbaar, komt je e-mail niet aan of duurt een verhuizing dagen. CheckBorg controleert of de records die je domein bij elkaar houden compleet, consistent en veilig staan.
Controlepunten
Waarom dit belangrijk is
DNS is de eerste schakel bij elk bezoek aan je site en elke e-mail die binnenkomt. Een ontbrekend of fout A-record maakt je site simpelweg onbereikbaar, en bezoekers zien een foutmelding in plaats van je homepage. Ontbreken de MX-records of wijzen ze naar een dode server, dan verdwijnt inkomende e-mail zonder dat je het merkt. Slechts een nameserver of beide nameservers bij dezelfde provider betekent geen redundantie: valt die uit, dan ligt alles plat. Verkeerd ingestelde TTL's maken een verhuizing traag en risicovol, omdat oude adressen lang in caches blijven hangen. En zonder CAA-record kan in theorie elke certificaatuitgever een certificaat voor jouw domein uitgeven, wat de drempel voor misbruik verlaagt. DNS is onzichtbaar als het goed staat, maar pijnlijk merkbaar zodra er iets ontbreekt.
Veelvoorkomende bevindingen
DNS, het Domain Name System, koppelt leesbare namen aan machine-adressen. Vraagt een bezoeker jouwdomein.nl op, dan vraagt zijn resolver via de root- en TLD-servers welke nameservers verantwoordelijk zijn voor jouw domein, en die nameservers geven vervolgens de concrete records terug. Een A-record levert een IPv4-adres, een AAAA-record een IPv6-adres, een MX-record vertelt waar e-mail heen moet, en een CNAME laat een naam doorverwijzen naar een andere naam. Al die records samen vormen je zone, en die zone wordt gepubliceerd door je nameservers.
Redundantie zit ingebakken in het ontwerp: een domein hoort minimaal twee nameservers te hebben, idealiter op gescheiden netwerken of locaties. Staan beide bij dezelfde provider in hetzelfde datacenter, dan is de redundantie schijn: een storing daar haalt je hele domein offline, inclusief e-mail. Hetzelfde geldt voor je MX-records, waar een tweede mailserver met lagere prioriteit kan opvangen wat de eerste mist.
TTL (Time To Live) bepaalt hoe lang resolvers een antwoord mogen cachen. Een hoge TTL is efficient en stabiel zolang er niets verandert, maar maakt een verhuizing traag: oude adressen blijven uren of dagen rondzweven. Een lage TTL geeft snelle wendbaarheid ten koste van iets meer verkeer naar je nameservers. Voor de meeste records is een waarde van enkele uren prima; vlak voor een geplande migratie verlaag je hem tijdelijk.
Twee veelvoorkomende valkuilen zijn inconsistentie en dangling records. Inconsistentie ontstaat als nameservers verschillende antwoorden geven, bijvoorbeeld na een wijziging die maar deels is doorgekomen; resolvers krijgen dan wisselende resultaten en bezoekers ervaren grillig gedrag. Dangling records zijn verwijzingen naar een IP of dienst die niet meer van jou is, bijvoorbeeld een oud cloud-adres dat inmiddels aan iemand anders is toegewezen. Dat is niet alleen rommel, maar ook een reeel beveiligingsrisico in de vorm van subdomein-overname.
Tot slot het CAA-record. Dit vertelt certificaatautoriteiten welke uitgevers een TLS-certificaat voor jouw domein mogen afgeven. Zonder CAA mag iedereen het proberen; met CAA beperk je dat tot de uitgever(s) die je echt gebruikt. Het is geen vervanging voor andere beveiliging, maar wel een eenvoudige extra grendel op je domein.
Hoe pak je het aan
Bevestig waar je DNS wordt beheerd
Achterhaal wie je nameservers levert (domeinregistrar, hostingpartij of een aparte DNS-provider). De daadwerkelijke wijzigingen maak je daar in het DNS-beheerpaneel; CheckBorg signaleert wat er ontbreekt, maar past zelf niets aan.
Zorg voor minstens twee nameservers met redundantie
Controleer dat er minimaal twee nameservers actief zijn en bij voorkeur op gescheiden infrastructuur staan. Heb je er maar een, voeg er dan een tweede toe via je provider zodat een storing je domein niet volledig platlegt.
Controleer A/AAAA en de www-versus-apex-afhandeling
Zorg dat zowel je apex-domein als www naar dezelfde, juiste bestemming leiden. Wijs het apex naar je server en laat www daarheen doorverwijzen (of andersom), zodat bezoekers via beide varianten op dezelfde site uitkomen.
Verifieer je MX-records tegen je echte mailprovider
Vergelijk de MX-records met de hostnamen die je e-mailprovider voorschrijft, en ruim verwijzingen naar oude of dode mailservers op. Test daarna of een proefmail daadwerkelijk aankomt.
Voeg een CAA-record toe en stem TTL's af
Stel een CAA-record in dat alleen jouw certificaatuitgever toestaat. Zet TTL's op redelijke waarden voor dagelijks gebruik en verlaag ze tijdelijk vlak voor een geplande verhuizing.
Ruim dangling en verouderde records op
Verwijder records die naar IP's of diensten wijzen die je niet meer gebruikt, met name oude cloud-adressen en losse subdomeinen. Dat voorkomt verwarring en sluit de deur voor subdomein-overname.
Controleer je eigen website
Vul je domein in en ontdek welke checks aandacht nodig hebben.
Veelgestelde vragen
Mijn site werkt, dus mijn DNS is toch goed?
Niet per se. Dat je homepage laadt, betekent alleen dat je A-record klopt. MX-records, redundante nameservers, CAA en TTL's kunnen los daarvan ontbreken of fout staan, en dat merk je pas als e-mail wegvalt of een nameserver uitvalt.
Hoeveel nameservers heb ik nodig?
Minimaal twee, en bij voorkeur op gescheiden infrastructuur. Met maar een nameserver, of twee bij dezelfde provider in hetzelfde datacenter, heb je geen echte redundantie en ligt alles plat zodra die ene plek uitvalt.
Waarom duurt een DNS-wijziging zo lang voordat ze zichtbaar is?
Door TTL-caching. Resolvers wereldwijd onthouden een antwoord voor de duur van de TTL, dus zolang die niet verlopen is zien zij nog de oude waarde. Verlaag de TTL voordat je een geplande wijziging doorvoert, dan gaat het sneller.
Wat is het verschil tussen een A-record en een CNAME?
Een A-record wijst een naam rechtstreeks naar een IP-adres, een CNAME wijst een naam naar een andere naam. Op het apex-domein (zonder www) kun je doorgaans geen CNAME gebruiken; daar hoort een A- of AAAA-record.
Lost CheckBorg mijn DNS-problemen automatisch op?
Nee. CheckBorg detecteert, signaleert en prioriteert wat er mis of incompleet is. De daadwerkelijke wijziging maak je zelf in het DNS-beheer van je registrar, hosting of DNS-provider, omdat alleen die partij jouw zone kan aanpassen.
Heb ik een CAA-record echt nodig?
Het is geen wettelijke verplichting, maar wel een verstandige extra grendel. Met een CAA-record beperk je welke certificaatuitgevers een TLS-certificaat voor jouw domein mogen afgeven, wat de drempel voor misbruik verlaagt zonder iets aan je site te veranderen.