DNS monitoring houdt de DNS-records van je domein in de gaten en waarschuwt je zodra er een verandert. Dat is belangrijk, want een gewijzigd record veroorzaakt geen duidelijke storing. Als iemand je domein naar een andere server laat wijzen of je mailrecords naar een andere provider, kan alles normaal lijken terwijl verkeer en e-mail ergens anders terechtkomen. DNS monitoring vergelijkt de records zelf en vangt zo wijzigingen op die uptime checks kunnen missen.
Waarom DNS-wijzigingen gevaarlijk zijn
DNS vertaalt je domeinnaam naar de adressen van je web- en mailservers. Wie die records beheert, bepaalt waar je bezoekers en je e-mail naartoe gaan. Wijzigingen hebben drie oorzaken:
Geplande wijzigingen: een servermigratie, een nieuwe e-mailprovider, een overstap naar een ander CDN. Prima, maar je wilt bevestiging dat ze correct live zijn gegaan.
Fouten: een collega past het verkeerde record aan, bij een providermigratie verdwijnt een TXT-record, een gewijzigde TTL heeft bijwerkingen.
Kaping: iemand krijgt toegang tot je account bij de registrar of DNS-provider, vaak via een gephist wachtwoord, en wijzigt de records.
Bij een kaping kan de aanvaller bezoekers een kopie van je inlogpagina laten zien, e-mail onderscheppen of zichzelf certificaten voor je domein laten uitgeven. Monitoring kan niet voorkomen dat iemand inlogt, maar verkort de tijd tot je het merkt van dagen naar minuten.
De DNS-records die je in de gaten houdt
Elk recordtype regelt iets anders. Een goede DNS-monitor dekt ze allemaal:
A en AAAA: de IPv4- en IPv6-adressen van je website. Een wijziging stuurt bezoekers naar een andere server.
CNAME: aliassen, vaak gebruikt voor www, CDN’s en diensten van derden. Een wijziging kan een subdomein aan iemand anders overdragen.
MX: waar de e-mail voor het domein wordt afgeleverd. Een wijziging kan alle inkomende mail omleiden.
NS: welke nameservers gezaghebbend zijn voor het domein. Een wijziging geeft de controle over alle andere records aan wie de nieuwe nameservers beheert. Behandel dit als de meest kritieke melding.
SOA: het start-of-authority-record van de zone, met de primaire nameserver en het contactadres van de zone. Een wijziging hier kan betekenen dat de zone naar een andere provider is verhuisd.
TXT: SPF-, DKIM-, DMARC- en domeinverificatierecords. Wijzigingen bepalen of je e-mail wordt vertrouwd en wie bij andere diensten kan aantonen dat het domein van hem is.
CAA: welke certificaatautoriteiten certificaten voor je domein mogen uitgeven. Een wijziging kan de deur openzetten voor certificaten die je niet hebt aangevraagd.
Hoe DNS monitoring werkt
Je voegt een domein toe en kiest de recordtypes die je wilt bewaken.
De monitor vraagt de records regelmatig op en slaat de huidige waarden op.
Wijkt een waarde af van de laatst bekende waarde, dan krijg je een melding met het oude en het nieuwe record.
De wijziging wordt in een geschiedenis bewaard, zodat je precies ziet wat er wanneer is veranderd.
Uptimecheck bewaakt A-, AAAA-, CNAME-, MX-, NS-, SOA-, TXT- en CAA-records, houdt een wijzigingsgeschiedenis bij en stuurt bij elke wijziging een melding.
Hoe normale wijzigingen eruitzien
Sommige records veranderen vanzelf, en je moet weten welke. Het serienummer in het SOA-record gaat bij elke zonewijziging omhoog. Daarom laat Uptimecheck het serienummer buiten beschouwing en vergelijkt het alleen de nameserver en het contactadres van het SOA-record. Sommige DNS-providers roteren records voor load balancing of failover, waardoor A-records regelmatig kunnen veranderen. CDN’s kunnen voor verschillende locaties verschillende adressen teruggeven.
Houd je records een week lang in de gaten voordat je op meldingen gaat vertrouwen. Noteer welke records als onderdeel van de normale gang van zaken veranderen, en zorg dat het team weet hoe een verwachte wijziging eruitziet. Daarna verdient elke wijziging buiten dat patroon een nadere blik.
E-mailauthenticatie monitoren
TXT-records verdienen extra aandacht, want ze bepalen of je e-mail in de inbox belandt:
SPF somt de servers op die e-mail voor je domein mogen versturen. Verandert het onverwacht, dan heeft iemand misschien een eigen server toegevoegd.
DKIM publiceert de publieke sleutel waarmee ontvangende servers je handtekeningen controleren.
DMARC vertelt ontvangers wat ze moeten doen met mail die voor die controles zakt.
Een kapot of verwijderd record kan je nieuwsbrieven, facturen en wachtwoordresets in de spam doen belanden. Een record dat een onbekende afzender toevoegt, kan iemand mail laten versturen die op de jouwe lijkt. Beide zie je terug als een TXT-wijziging.
Een wijzigingsmelding vertelt je dat er iets is veranderd, niet of het resultaat klopt. Daarvoor controleert de domeinmonitor van Uptimecheck twee keer per dag SPF, DKIM en DMARC en vertelt hij hoe je elk probleem oplost, met een DNS-record om te plakken waar dat de oplossing is. Zie monitoring van e-mailauthenticatie.
Reageren op een melding van een DNS-wijziging
Komt er een melding binnen, werk die dan snel af:
Was het gepland? Vraag het na bij wie de DNS beheert. Zo ja, controleer of de nieuwe waarden kloppen.
Zo niet, vergelijk de waarden. Is het nieuwe IP-adres van jou? Hoort de nieuwe MX-host bij je e-mailprovider? Zijn de nieuwe nameservers die van je DNS-provider?
Beveilig de accounts. Kwam de wijziging niet van jou, verander dan de wachtwoorden bij de registrar en de DNS-provider, controleer wie toegang heeft en zet tweestapsverificatie aan.
Zet de records terug vanuit de geschiedenis.
Neem contact op met je registrar als je de controle niet terugkrijgt, zeker na een NS-wijziging.
Controleer op bijwerkingen: certificaten die in die periode zijn uitgegeven, e-mail die door de verkeerde server is ontvangen en bezoekers die mogelijk een nagemaakte pagina hebben gezien.
Informeer klanten als hun gegevens mogelijk zijn getroffen, en gebruik je statuspagina voor updates.
DNS-kaping voorkomen
Monitoring signaleert. Met deze stappen maak je een kaping al bij voorbaat lastiger:
Zet tweestapsverificatie aan voor je accounts bij de registrar en de DNS-provider.
Activeer een registrar lock, zodat het domein niet zonder extra stappen kan worden verhuisd.
Houd het aantal mensen met toegang klein en controleer het regelmatig.
Gebruik een CAA-record om te beperken welke certificaatautoriteiten certificaten mogen uitgeven.
Houd de contactgegevens bij de registrar actueel, zodat beveiligingsmails je bereiken.
Bewaak ook de vervaldatum van je domein. Een verlopen domein is de makkelijkste manier om een domein over te nemen. Zie domeinmonitoring.
Checklist voor DNS monitoring
Maak een lijst van al je domeinen, inclusief redirect- en campagnedomeinen.
Voeg DNS-monitors toe voor NS, A, AAAA, CNAME, MX, TXT, SOA en CAA.
Stuur DNS-meldingen naar een gedeeld kanaal dat snel wordt gelezen.
Spreek af dat elke geplande wijziging wordt aangekondigd, zodat ongeplande wijzigingen opvallen.
Beveilig je accounts bij de registrar en de DNS-provider met 2FA en een registrar lock.
Voeg domein- en SSL-monitoring toe voor dezelfde domeinen.
Bekijk na elke migratie de wijzigingsgeschiedenis.
Samenvatting
DNS-wijzigingen zijn stil: geen foutpagina, geen mislukte check, alleen verkeer dat ergens anders heen gaat. Door de records zelf te bewaken, met meldingen en geschiedenis, wordt elke wijziging binnen enkele minuten zichtbaar.
DNS monitoring zit in Uptimecheck, samen met uptime-, SSL-, domein- en servermonitoring. Probeer het 14 dagen gratis, zonder creditcard.