Die technische Gesundheit Ihrer Domain

Modul 7: Sicher und gesund halten · Lesezeit: 8 Minuten

Lernziel: Nach dieser Lektion können Sie prüfen, ob die Nameserver, DNSSEC und die Weiterleitung Ihrer Domain in Ordnung sind, und Sie wissen, wie Sie das dauerhaft im Blick behalten.

Kernbegriffe: Nameserver bei der Registry, Zone, abgelaufene Nameserver, DNSSEC-Kette, nackter Domainname und www, Domain-Gesundheit, Überwachung

Sauber registriert heißt noch nicht gesund

In den vorigen Modulen ging es um die Registrierung: wer Inhaber ist, ob der Name verlängert wird, ob er sicher ist. Doch eine Domain, die ordentlich registriert und bezahlt ist, kann trotzdem nicht funktionieren. Dann liegt das Problem in der Technik drumherum.

Diese Lektion geht die vier Punkte durch, die zum Namen selbst gehören: die Nameserver bei der Registry, die Nameserver selbst, DNSSEC und die Weiterleitung zu Ihrer Website. Der DNS-Kurs geht darauf viel ausführlicher ein. Hier sehen Sie vor allem, was Sie als Inhaber prüfen sollten und wo Sie mehr darüber lesen können.

Nameserver bei der Registry und die Zone

Bei der Registry ist zu Ihrer Domain eine Liste von Nameservern hinterlegt. Das ist die Adresse, an die sich der Rest des Internets wendet, um Ihre Records abzufragen. Auf diesen Nameservern liegt die Zone: die Records selbst, etwa der A-Record Ihrer Website und der MX-Record Ihrer E-Mail.

Beides muss zusammenpassen. Stehen bei der Registry die Nameserver von Anbieter A, Sie haben Ihre Records aber bei Anbieter B eingetragen, dann sieht niemand diese Records. Das passiert häufig nach einem Umzug oder nach der Kündigung eines Hostingpakets. Wie Sie Nameserver ändern, lesen Sie im DNS-Kurs, Lektion 2.3: https://www.weboke.de/dns-cursus/nameservers-wijzigen-en-glue-records

Zwei Regeln gelten fast überall: Sie brauchen mindestens zwei Nameserver, und alle müssen für Ihre Domain antworten. Ein Nameserver, der nicht (mehr) antwortet, macht Ihre Domain langsam oder unerreichbar.

Nameserver sind selbst auch Domainnamen

Ein Nameserver heißt zum Beispiel ns1.provider.example. Das ist selbst ein Name unter einer Domain, mit einem eigenen Inhaber und einem eigenen Ablaufdatum. Stellt der Anbieter hinter diesen Nameservern seinen Dienst ein oder läuft die Domain ab, zu der sie gehören, dann funktioniert auch Ihre Domain nicht mehr. Im schlimmsten Fall registriert jemand anderes diese Domain und bestimmt damit, welche Antworten Ihre Domain gibt.

Prüfen Sie deshalb ab und zu:

• ob Ihre Nameserver zu einem Anbieter gehören, bei dem Sie noch Kunde sind;
• ob Sie nach der Kündigung eines Pakets oder Dienstes keine Nameserver dieses alten Anbieters mehr verwenden;
• ob Ihre eigenen Nameserver (falls Sie welche haben) unter einer Domain liegen, die Sie selbst gut überwachen.

DNSSEC in Kürze

Mit DNSSEC werden die Antworten Ihrer Nameserver signiert. Ihr Registrar hinterlegt einen DS-Record bei der Registry: einen Fingerabdruck Ihres Schlüssels. So kann jeder prüfen, ob eine Antwort wirklich von Ihren Nameservern stammt. Das nennt man die Kette: Die Registry verweist auf Ihren Schlüssel, und Ihr Schlüssel signiert Ihre Records.

Diese Kette muss stimmen. Passt der DS-Record bei der Registry nicht mehr zu den Schlüsseln auf Ihren Nameservern, dann verweigern Resolver, die DNSSEC prüfen, Ihre Antworten. Für einen großen Teil Ihrer Besucher funktioniert Ihre Domain dann überhaupt nicht. Das passiert vor allem nach einem Umzug Ihrer Domain oder Ihres DNS (Lektion 6.2) und bei einem Schlüsselwechsel. Eine kaputte Kette ist also schlimmer als gar kein DNSSEC.

Wie die Kette genau funktioniert und wie Sie sie prüfen, steht im DNS-Kurs, Lektion 8.1: https://www.weboke.de/dns-cursus/dnssec-in-gewone-taal

Der nackte Domainname und www

Der letzte Punkt ist der sichtbarste: Gelangt ein Besucher auf Ihre Website, sowohl über den nackten Domainnamen als auch über www? Beide brauchen einen eigenen Record. Fehlt einer, dann funktioniert die Website für einen Teil der Besucher nicht, auch wenn sonst alles in Ordnung ist. Im DNS-Kurs lesen Sie, wie Sie das sauber einrichten.

Einmal prüfen oder dauerhaft überwachen

All das können Sie selbst mit Online-Tools prüfen. Welches Tool Sie für welche Frage verwenden, steht im DNS-Kurs, Lektion 8.3: https://www.weboke.de/dns-cursus/online-dns-tools

Möchten Sie die ganze Domain von oben bis unten durchgehen, einschließlich E-Mail, dann nutzen Sie die Checkliste aus Lektion 8.5: https://www.weboke.de/dns-cursus/checklist-voor-je-eigen-domein

Einmal prüfen ist gut, aber Probleme entstehen gerade später: ein gekündigter Dienst, ein vergessener Schlüsselwechsel, ein Nameserver, der abgeschaltet wird. Lassen Sie Ihre Domain deshalb auch überwachen. Ein Überwachungsdienst prüft regelmäßig, ob Ihre Domain und Ihre Website funktionieren, und warnt Sie, wenn sich etwas ändert.

In der Praxis: So funktioniert es bei WebOké

Auf der Domainseite in Mein WebOké finden Sie die Karte Domain / E-Mail-Gesundheit. Für jede Prüfung sehen Sie einen grünen, orangefarbenen oder roten Punkt, mit Erklärung und, wo möglich, einer Schaltfläche zur Behebung. Für jede Domain, auch wenn sie nicht bei WebOké liegt, können Sie dieselbe Prüfung ohne Konto auf https://www.weboke.de/domein-gezondheid durchführen. Bei anderen Registraren und in einzelnen Online-Tools finden Sie vergleichbare Prüfungen.

Zusammenfassung

• Die Nameserver bei der Registry müssen auf den Ort verweisen, an dem Ihre Zone wirklich liegt, und alle antworten.
• Nameserver sind selbst Domainnamen: Stellt der Anbieter den Dienst ein oder läuft diese Domain ab, funktioniert auch Ihre Domain nicht mehr.
• Eine kaputte DNSSEC-Kette ist schlimmer als gar kein DNSSEC; achten Sie besonders nach einem Umzug darauf.
• Sowohl der nackte Domainname als auch www müssen zu Ihrer Website führen.
• Einmal prüfen reicht nicht: Lassen Sie Ihre Domain überwachen.

Quiz

Aufgabe

Aufgabe A7.3: Domain-Gesundheit. Geben Sie Ihren eigenen Domainnamen ein. Beispielnamen wie example.com werden abgelehnt. Das Programm führt dieselben Prüfungen durch wie die Domain-Gesundheit, für vier Bereiche: die Nameserver, DNSSEC, den A-Record des nackten Domainnamens und www.

Rot bedeutet einen Fehler, den Sie beheben müssen, zum Beispiel ein Nameserver, der nicht antwortet, oder eine DNSSEC-Kette, die nicht stimmt. Orange ist eine Warnung oder ein Hinweis. Grün ist in Ordnung. Sie haben die Aufgabe bestanden, wenn kein Rot mehr angezeigt wird. Erhalten Sie Rot, lesen Sie die zugehörige Erklärung, beheben Sie das Problem bei dem Anbieter, bei dem Ihr DNS liegt, und versuchen Sie es erneut.

Weiterführende Informationen

• WebOké Anleitung 5.17: Domain- und E-Mail-Gesundheit: prüfen und beheben
• WebOké Anleitung 14.1: Domain-Gesundheit (auch ohne Konto)
• Website oder E-Mail funktioniert nach einem Umzug oder einer DNS-Änderung nicht: Überprüfen Sie Ihre Domain
• Ihre Website überwachen lassen: Erreichbarkeit, Zertifikat und Domain
• Kostenloser DNS-Kurs 8.1: DNSSEC in einfacher Sprache