Wie lange dauert die DNS-Propagation?

Meist so lange wie die TTL des alten Records, denn Resolver behalten die vorherige Antwort, bis sie abläuft. Bei einer TTL von 1 Stunde aktualisieren die meisten Resolver innerhalb dieser Stunde; bei 24 Stunden kann es einen ganzen Tag dauern, und einige Resolver halten Antworten etwas länger.

Warum zeigen manche Resolver noch den alten Record?

Jeder Resolver hat seinen eigenen Cache. Ein Resolver, der den Record kurz vor Ihrer Änderung geholt hat, behält die alte Kopie bis zum Ablauf der TTL, während einer, der ihn danach geholt hat, sofort den neuen Wert zeigt.

Fragt der Check Resolver in 14 verschiedenen Ländern ab?

Nein. Die meisten Resolver sind Anycast-Netzwerke, die vom Knoten antworten, der unserem Server am nächsten liegt. Das Ergebnis zeigt also, was die großen öffentlichen Resolver-Dienste liefern, keine Länderkarte.

Was bedeutet NXDOMAIN im Ergebnis?

Der Resolver meldet, dass der Name nicht existiert. Direkt nach dem Anlegen eines neuen Records kann das eine gecachte Negativantwort sein, die gemäß den SOA-Einstellungen der Zone abläuft. Es kann auch bedeuten, dass ein filternder Resolver die Domain blockiert hat.

Was bedeutet der Status „kein Record“?

Der Name existiert, hat aber keinen Record des angefragten Typs. Prüfen Sie, ob Sie den richtigen Typ und Namen abgefragt haben, etwa AAAA statt A oder www.example.com statt example.com.

Kann ich die Propagation von MX, TXT oder CNAME prüfen?

Ja. Die Typauswahl unterstützt A-, AAAA-, CNAME-, MX-, NS-, TXT-, SOA- und CAA-Records, und der Vergleich funktioniert für jeden gleich.

Warum sieht mein eigener Computer noch die alte Adresse, obwohl hier jeder Resolver die neue zeigt?

Betriebssystem, Browser und Router haben jeweils einen eigenen kleinen Cache, und der Resolver Ihres Anbieters gehört nicht zu den 14 abgefragten. Leeren Sie die lokalen Caches und wechseln Sie bei Bedarf vorübergehend zu einem öffentlichen Resolver.

Kann ich die Propagation beschleunigen?

Nicht für bereits gecachte Kopien, aber Sie können vorausplanen — senken Sie die TTL mindestens einen Tag vor der Änderung auf 300 Sekunden, damit der Wechsel selbst in Minuten abgeschlossen ist.

DNS-Propagation-Check: 14 öffentliche Resolver vergleichen

So funktioniert dieses Tool

Geben Sie einen Namen ein, wählen Sie einen Record-Typ, und der Server sendet dieselbe Frage gleichzeitig an 14 öffentliche DNS-Resolver, über DNS-over-HTTPS. Jeder Resolver hat bis zu 6 Sekunden Zeit. Die Seite listet dann jeden Resolver mit Status, Antwort, gemeldeter TTL und Antwortzeit in Millisekunden.

Abgefragt werden Cloudflare, Google, Quad9, OpenDNS, AdGuard, CleanBrowsing, NextDNS, Mullvad, DNS.SB, Alibaba DNS, DNSPod (Tencent), Yandex, Control D und LibreDNS. Zusammen decken sie die Resolver-Dienste ab, die die meisten Menschen und Geräte tatsächlich nutzen — das zählt, wenn Sie wissen wollen, ob eine Änderung für Ihre Besucher live ist.

Über der Tabelle fasst das Tool den Lauf zusammen: wie viele Resolver geantwortet haben, wie viele verschiedene Antwortmengen gesehen wurden und ob die Antworten konsistent sind. Konsistent heißt: Jeder antwortende Resolver hat exakt dieselbe Wertemenge geliefert und keiner meldet einen fehlenden Namen oder Record.

Ergebnisse werden 60 Sekunden pro Name und Typ gecacht. Das Tool ist pro Besucher ratenbegrenzt; es dient dem Prüfen einer Änderung, nicht dem Monitoring. Unterstützt werden A, AAAA, CNAME, MX, NS, TXT, SOA und CAA. Für eine einzelne detaillierte Antwort mit allen Record-Typen nutzen Sie den DNS-Lookup.

So lesen Sie das Ergebnis

Jede Zeile zeigt einen Resolver. Die Statusspalte ist das Erste, worauf Sie achten:

Status	Bedeutung
geantwortet	Der Resolver hat mit mindestens einem Record geantwortet.
kein Record	Der Name existiert, hat aber keinen Record des angefragten Typs.
Name existiert nicht	Der Resolver sagt, der Name existiert nicht (NXDOMAIN).
Serverfehler	Der Resolver konnte die Anfrage nicht abschließen, oft weil die autoritativen Server unerreichbar sind oder die DNSSEC-Validierung der Zone fehlschlägt.
abgelehnt	Der Resolver hat die Anfrage verweigert.
nicht erreichbar	Unser Server hat den Resolver innerhalb des Zeitlimits nicht erreicht.
Fehler	Der Resolver hat etwas zurückgegeben, das das Tool nicht interpretieren konnte.

Eine Zeile mit Status „geantwortet“, aber einer unerwarteten Adresse ist die, die Sie untersuchen sollten: Dieser Resolver liefert eine gecachte Kopie von vor Ihrer Änderung, oder Ihre autoritativen Server widersprechen einander.

Die TTL-Spalte zeigt, wie lange der Resolver seine aktuelle Antwort behält. Ein Resolver mit der alten Adresse und einer TTL von 2.400 Sekunden zeigt sie noch 40 Minuten. Die TTL verrät auch, ob der Record kürzlich geholt wurde: ein Wert nahe der konfigurierten TTL bedeutet frisch, ein niedriger Wert einen bald ablaufenden Eintrag.

Die Millisekunden-Spalte ist der Roundtrip von unserem Server zum Resolver und zurück. Sie sagt nichts darüber, wie schnell der Resolver für Sie ist. Mehrere Werte in einer Zeile sind bei Namen mit mehreren A-, MX- oder langen TXT-Records normal; die Konsistenzprüfung vergleicht die vollständige Menge, unabhängig von der Reihenfolge.

Was Sie als Nächstes tun

Die Änderung erscheint noch nirgends

Fragen Sie die autoritativen Nameserver direkt ab. NS-Typ hier abfragen, dann auf Ihrem Computer dig @ns1.ihranbieter.com example.com A (macOS, Linux) oder nslookup example.com ns1.ihranbieter.com (Windows). Liefert der autoritative Server noch den alten Wert, wurde die Änderung nicht gespeichert oder in einer anderen Zone.
Prüfen Sie, ob Sie die Zone bearbeitet haben, an die die Domain tatsächlich delegiert. Eine bei einem Unternehmen registrierte, bei einem anderen gehostete Domain hat ihre Records beim Hoster; der WHOIS-Lookup zeigt die delegierten Nameserver.
Ist die autoritative Antwort korrekt, bleibt nur Warten.

Manche Resolver zeigen den neuen Wert, andere den alten

Das ist normale, laufende Propagation. Nichts ist kaputt; die alten Einträge laufen nach eigenem Zeitplan ab. Zeigt ein Resolver den alten Wert weit über die alte TTL hinaus, prüfen Sie, ob beide autoritativen Server die neue Zone halten, indem Sie ihre SOA-Seriennummern vergleichen.

Ihr eigenes Gerät zeigt noch die alte Antwort

Lokalen Cache leeren: ipconfig /flushdns (Windows), sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder (macOS), sudo resolvectl flush-caches (Linux mit systemd-resolved).
Browser-Cache unter chrome://net-internals/#dns leeren oder Browser neu starten.
Router neu starten, falls er einen eigenen Caching-Resolver betreibt.
Ist der Anbieter-Resolver der Nachzügler, vorübergehend auf einen öffentlichen Resolver wechseln oder warten.

Vor der nächsten Änderung

Senken Sie die TTL der zu ändernden Records mindestens eine volle alte TTL-Periode vor der Änderung auf 300 Sekunden. Änderung durchführen, hier bestätigen, dann die TTL wieder auf einen sinnvollen Wert wie 3.600 Sekunden anheben. Der Eintrag TTL erklärt den Kompromiss zwischen schnellen Änderungen und Resolver-Last.

Warum Resolver auch ohne Änderung abweichen

Nicht jeder Unterschied zwischen Zeilen ist eine Propagationsverzögerung. Mehrere Resolver filtern: AdGuard blockiert Werbe- und Tracking-Domains, CleanBrowsing und Quad9 blockieren als bösartig eingestufte Domains, und die Antwort für einen blockierten Namen ist typischerweise NXDOMAIN oder eine Nulladresse. Eine Domain, die bei Cloudflare und Google auflöst, aber bei diesen dreien NXDOMAIN liefert, steht wahrscheinlich auf einer Sperrliste.

Manche Dienste liefern absichtlich verschiedene Adressen. Content Delivery Networks nutzen den Standort des Resolvers oder das weitergeleitete Client-Subnetz, um einen nahen Server zu wählen; dann liefert jeder Resolver legitim eine andere Adresse, und das Ergebnis wird nie konsistent. Der IP-Lookup sagt Ihnen, ob zwei Adressen zum selben Netzwerk gehören — das übliche Zeichen für geo-bewusstes DNS.

Auch Negativantworten werden gecacht. Fragen Sie einen Namen ab, bevor Sie ihn anlegen, merken sich Resolver seine Nichtexistenz für die im SOA-Record definierte Negativ-Cache-Zeit. Praktische Regel: Erst den Record anlegen, dann prüfen.

Bestimmte Änderungsarten prüfen

Neue Website oder Serverumzug. A-Record (und AAAA bei IPv6) für die nackte Domain und separat für www abfragen, da beides verschiedene Namen sind. Wechsel des Mailanbieters. MX abfragen; alte Postfächer mindestens die alte TTL plus Sicherheitsmarge am Leben halten. Neue Nameserver. NS abfragen — die langsamste Änderung, weil die Delegation in der Elternzone mit eigener TTL von oft ein bis zwei Tagen gecacht wird. Verifizierungs- und Authentifizierungsrecords. TXT am exakten Namen abfragen; eine direkt nach dem Hinzufügen fehlschlagende Verifizierung ist meist eine gecachte Negativantwort — warten und den Anbieter erneut prüfen lassen.

Grenzen dieses Tools

Die Resolver sind große Anycast-Dienste, die vom nächstgelegenen Knoten antworten; die Tabelle ist keine Karte von 14 Ländern. Nur wenige Einträge wie die beiden chinesischen Resolver, Yandex und LibreDNS sind an eine Region gebunden.
Der Resolver Ihres Anbieters, Ihr Unternehmens-Resolver und Ihr Router sind nicht enthalten.
Filternde Resolver können NXDOMAIN für gelistete Domains liefern, was wie ein fehlender Record aussieht.
Ein Name und ein Typ pro Lauf; keine CNAME-Ketten, keine DNSSEC-Validierung, kein Vergleich der Delegation mit den NS-Records der Zone.
60 Sekunden Cache und Ratenlimit — ungeeignet als Monitoring-Feed.
Antwortzeiten werden von unserem Server gemessen.