So funktioniert dieses Tool
Geben Sie eine Domain oder einen Hostnamen ein, wählen Sie einen Record-Typ oder lassen Sie ALLE stehen, und der Server führt die Abfrage für Sie aus. Nichts zu installieren, kein Konto.
Der Lookup erfolgt über den Resolver auf unserem Server, dieselbe Art Resolver, die Ihr Betriebssystem beim Öffnen einer Website nutzt. Für jeden Record-Typ fragt der Server den Resolver und listet jede Antwort mit dem zugehörigen Namen und der verbleibenden TTL. Bei ALLE fragt der Server 9 Typen nacheinander ab: A, AAAA, CNAME, MX, NS, TXT, SOA, SRV und CAA.
Manche Hosting-Umgebungen betreiben einen Resolver, der nur gewöhnliche Adressrecords beantwortet. Deshalb prüft der Server die Gesundheit seines eigenen Resolvers und weicht bei unvollständigen Antworten auf eine DNS-over-HTTPS-Abfrage bei einem öffentlichen Resolver aus. Antworten über den Fallback erscheinen ohne TTL.
Ergebnisse werden 5 Minuten pro Name und Typ gecacht. Die über dem Ergebnis angezeigte Antwortzeit ist die Zeit der Live-Abfragen, ein gecachtes Ergebnis zeigt also einen sehr kleinen Wert. Das Tool akzeptiert Namen in jeder Schreibweise, entfernt führendes http:// oder https:// sowie Pfade aus vollständigen URLs und wandelt internationalisierte Namen in Punycode um.
So lesen Sie das Ergebnis
Jeder Record-Typ erscheint in einem eigenen Block mit drei Spalten: Name, TTL und Wert. Die Zahl rechts sagt, wie viele Records dieses Typs existieren. Ein Block mit „keine Records“ bedeutet, dass der Name aufgelöst wurde, aber nichts von diesem Typ veröffentlicht — etwas anderes, als wenn der Name gar nicht existiert.
Record-Typen im Überblick
| Typ | Wert | Typische Verwendung |
|---|---|---|
| A | Eine 32-Bit-IPv4-Adresse | Webserver, Mailserver, alles über IPv4 Erreichbare |
| AAAA | Eine 128-Bit-IPv6-Adresse | Dieselben Dienste über IPv6 |
| CNAME | Ein anderer Name, dessen Alias dieser Name ist | www auf ein CDN oder eine Hosting-Plattform zeigen lassen |
| MX | Priorität plus Mailserver-Hostname | Wohin Mail für die Domain zugestellt wird |
| NS | Ein Nameserver-Hostname | Welche Server für die Zone autoritativ sind |
| TXT | Freitext | SPF-Richtlinien, DKIM-Schlüssel, DMARC-Richtlinien, Inhaberschaftsnachweise |
| SOA | Primärer Server, verantwortliches Postfach, Seriennummer | Zonenverwaltung und Replikation |
| SRV | Priorität, Gewicht, Port und Zielhost | Dienstermittlung für SIP, XMPP, LDAP und Ähnliches |
| CAA | Flags, Tag und Wert | Welche Zertifizierungsstellen Zertifikate für die Domain ausstellen dürfen |
A- und AAAA-Werte verlinken auf den IP-Lookup, damit Sie sehen, wo ein Server steht und welches Netzwerk ihn ankündigt. CNAME-, NS- und MX-Ziele verlinken zurück in dieses Tool, um Alias-Ketten zu folgen oder die Adressrecords eines Mailservers zu prüfen.
MX-Records tragen eine Prioritätszahl vor dem Hostnamen; niedrigere Zahlen werden zuerst versucht, gleiche Prioritäten teilen die Last. Der SOA-Wert zeigt primären Nameserver, verantwortliches Postfach (mit Punkt statt @) und Seriennummer; Betreiber erhöhen die Seriennummer bei jeder Zonenänderung, sodass der Vergleich der Seriennummern über Nameserver hinweg schnell zeigt, ob sie synchron sind.
Die TTL-Spalte
TTL ist die Anzahl Sekunden, die ein Resolver eine Antwort behalten darf, bevor er erneut fragen muss. Der hier angezeigte Wert ist die im Cache unseres Resolvers verbleibende Zeit. Schlagen Sie denselben Namen zweimal im Abstand einer Minute nach, sinkt die TTL um etwa 60 Sekunden; bei null holt der Resolver eine frische Kopie, und die TTL springt auf den Zonenwert zurück. Der TTL-Glossareintrag erklärt, wie das Ihre Änderungen beeinflusst.
Domain zu IP und Hostname zu IP
Der häufigste Grund für einen DNS-Lookup ist, einen Namen in eine Adresse zu verwandeln. Wählen Sie A für IPv4 oder AAAA für IPv6. Ist der A-Block leer, aber ein CNAME vorhanden, ist der Name ein Alias; die Adresse liegt beim CNAME-Ziel, das selbst wieder ein Alias sein kann. Lange Ketten erhöhen die Latenz der ersten Verbindung, weshalb die meisten Anbieter sie auf 1 bis 2 Hops begrenzen. Für die Gegenrichtung, von Adresse zu Name, nutzen Sie den Reverse-DNS-Lookup; Vorwärts- und Rückwärts-Records werden getrennt gepflegt.
Häufige DNS-Probleme beheben
Die IP ist falsch oder veraltet. Prüfen Sie, was die autoritativen Server sagen: NS-Records hier nachschlagen, dann einen dieser Server direkt abfragen (Befehle unten). Ist die autoritative Antwort korrekt, ist die alte Adresse anderswo eine gecachte Kopie, die von selbst abläuft; der DNS-Propagation-Check zeigt, wie viele öffentliche Resolver den neuen Wert bereits liefern. Vor der nächsten Änderung die TTL einen Tag vorher auf 300 Sekunden senken.
Keine MX-Records oder Mail kommt nicht an. MX abfragen. Jedes MX-Ziel muss ein Hostname mit eigenem A- oder AAAA-Record sein, kein CNAME und keine IP-Adresse. Primärer Server mit der niedrigsten Zahl. TXT-Records auf eine SPF-Richtlinie prüfen; ein fehlender oder defekter SPF-Record ist ein häufiger Grund für Mail im Spam.
TXT-Records fehlen oder validieren nicht. Auf überzählige Anführungszeichen, doppelte Records oder Records am falschen Namen achten (DMARC muss bei _dmarc.example.com liegen). DKIM-Selektoren liegen bei selector._domainkey.example.com — diesen vollständigen Namen eingeben.
Ein CNAME an der Domain-Wurzel. Der Standard erlaubt keinen CNAME am Zonen-Apex neben SOA und NS. Nutzen Sie die ALIAS-, ANAME- oder Flattening-Funktion des Anbieters oder veröffentlichen Sie A- und AAAA-Records.
Welcher Record-Typ welche Frage beantwortet
| Symptom oder Frage | Abfrage | Worauf achten |
|---|---|---|
| Die Website lädt nicht | A und AAAA | Passt die Adresse zum erwarteten Server? Zeigt ein AAAA-Record auf einen Host ohne funktionierendes IPv6? |
| Mail bounct oder kommt nie an | MX, dann A jedes MX-Ziels | Mindestens ein MX, auflösbare Ziele, sinnvolle Prioritäten |
| Mail landet im Spam | TXT an der Wurzel, _dmarc und der DKIM-Selektor |
Ein einziger SPF-Record, eine DMARC-Richtlinie, ein DKIM-Schlüssel für den genutzten Selektor |
| Ein Anbieter verlangt einen Inhaberschaftsnachweis | TXT am angegebenen Namen | Das exakte Token, ohne zusätzliche Anführungszeichen |
| Änderungen erscheinen nicht | NS und SOA | Sind die NS-Records die Server, die Sie bearbeiten? Hat sich die SOA-Seriennummer geändert? |
| Eine Zertifizierungsstelle verweigert die Ausstellung | CAA | Ein Record, der Ihre CA nennt, oder gar kein CAA-Record |
| Eine App findet ihren Dienst nicht | SRV bei _service._proto.example.com |
Port und Zielhost |
Ein veralteter AAAA-Record ist eine häufige, leicht übersehene Ursache langsamer oder scheiternder Verbindungen: Browser in IPv6-fähigen Netzen versuchen zuerst die AAAA-Adresse und warten auf einen Timeout, bevor sie auf IPv4 zurückfallen. Betreiben Sie kein IPv6 auf dem Server, veröffentlichen Sie keinen AAAA-Record. Die von einem Resolver gelieferten NS-Records stammen aus der Zone selbst, während die Delegation in der Elternzone andere Server listen kann; +trace deckt genau das auf, und der Vergleich der SOA-Seriennummern zeigt, ob ein Sekundärserver die letzte Zonenübertragung verpasst hat.
DNS vom eigenen Computer prüfen
Windows (Eingabeaufforderung): nslookup -type=MX example.com fragt Ihren konfigurierten Resolver; nslookup -type=A example.com 1.1.1.1 einen bestimmten. Windows (PowerShell): Resolve-DnsName example.com -Type TXT -Server 8.8.8.8. macOS und Linux: dig example.com MX +short, dig @ns1.example.net example.com A für einen bestimmten autoritativen Server, dig +trace example.com für die Delegation von den Root-Servern abwärts.
Veraltete Antworten löschen: ipconfig /flushdns unter Windows, sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder unter macOS, sudo resolvectl flush-caches unter Linux mit systemd-resolved. Chromium-Browser haben einen eigenen Cache unter chrome://net-internals/#dns.
Grenzen dieses Tools
- Die Antworten stammen von einem Resolver am Standort unseres Servers. Ein Resolver in einer anderen Region kann eine andere Kopie halten, und geo-bewusste DNS-Dienste liefern absichtlich unterschiedliche Adressen.
- Die TTL ist die verbleibende Cache-Zeit unseres Resolvers, nicht der Zonenwert.
- Ergebnisse werden 5 Minuten gecacht.
- 9 Record-Typen; DNSKEY, DS, TLSA, NAPTR und HINFO sind nicht abgedeckt, DNSSEC-Validierung wird nicht angezeigt.
- Beim Resolver-Fallback fehlen TTLs.
- Der Lookup testet nicht, ob der Server hinter einer Adresse läuft; dafür gibt es den Port-Checker.
- Lookups sind pro Besucher ratenbegrenzt.
Nichts auf dieser Seite sagt Ihnen, ob Ihre eigene Verbindung DNS-Anfragen an einem VPN oder Proxy vorbei leakt. Das ist eine andere Frage, die der DNS-Leak-Test beantwortet.