--- title: "Wat is DNSSEC? Uitleg en betekenis | Keurig Online" description: "DNSSEC (DNS Security Extensions) beveiligt DNS-informatie door deze cryptografisch te ondertekenen." canonical: https://www.keurigonline.nl/begrippenlijst/dnssec last_modified: 2025-12-18 --- [Terug naar begrippenlijst](https://www.keurigonline.nl/begrippenlijst) # DNSSEC DNSSEC (DNS Security Extensions) beveiligt DNS-informatie door deze cryptografisch te ondertekenen. Actueel: [Overstappen hosting: zonder uitval van website en mail \[2026\]](https://www.keurigonline.nl/blog/overstappen-hosting) DNSSEC staat voor DNS Security Extensions. Het is een beveiligingsuitbreiding voor het DNS-systeem. DNS zelf werd in de jaren 80 ontworpen zonder sterke beveiligingsmechanismen. Dit maakte het kwetsbaar voor manipulatie en fraude. DNSSEC voegt digitale handtekeningen toe aan DNS-records. Elke DNS-zone heeft een sleutelpaar. De private sleutel ondertekent alle records in de zone. De publieke sleutel verifieert die handtekeningen. Zo kun je controleren of de DNS-data authentiek is en niet onderweg is aangepast. Dit werkt via een vertrouwensketen. Die begint bij de DNS root-zone en loopt via de TLD naar jouw domein. Elke laag valideert de laag eronder met een DS-record. Een resolver controleert de hele keten van boven naar beneden. DNSSEC beschermt tegen DNS-spoofing en man-in-the-middle aanvallen. Het garandeert authenticiteit en integriteit van DNS-data. Maar het biedt geen vertrouwelijkheid of beschikbaarheid. Nederland loopt voorop: bijna 60% van alle .nl-domeinen is DNSSEC-beveiligd. ## Geschiedenis DNSSEC werd ontwikkeld om de beveiligingsproblemen van DNS op te lossen. In 1990 ontdekte [Steven Bellovin](https://en.wikipedia.org/wiki/Steven_M._Bellovin) een ernstige kwetsbaarheid in DNS. Dit rapport bleef geheim tot 1995. Belangrijke mijlpalen: - **1997:** Eerste DNSSEC-specificatie ([RFC 2065](https://datatracker.ietf.org/doc/html/rfc2065)) door Donald Eastlake en Charles Kaufman - **1999:** [RFC 2535](https://datatracker.ietf.org/doc/html/rfc2535) verbeterde de gebreken in RFC 2065 - **2005:** Moderne DNSSEC-standaard ([RFC 4033](https://datatracker.ietf.org/doc/html/rfc4033), [RFC 4034](https://datatracker.ietf.org/doc/html/rfc4034), [RFC 4035](https://datatracker.ietf.org/doc/html/rfc4035)) - **2008:** Dan Kaminsky ontdekte een nieuwe DNS-kwetsbaarheid die de urgentie van DNSSEC vergrootte - **2010:** DNS root-zone werd ondertekend en publiek gemaakt - **2012:** [SIDN voerde DNSSEC in voor .nl-domeinen](https://www.sidn.nl/en/modern-internet-standards/dnssec) Zweden (.SE) was het eerste landcode-domein dat DNSSEC implementeerde. De ondertekening van de root-zone in 2010 was een keerpunt. Dit creëerde een wereldwijd vertrouwensanker voor DNS-validatie. ## Bronnen 1. **IETF (2005)** - [RFC 4033: DNS Security Introduction and Requirements](https://datatracker.ietf.org/doc/html/rfc4033) 2. **IETF (2005)** - [RFC 4034: Resource Records for the DNS Security Extensions](https://datatracker.ietf.org/doc/html/rfc4034) 3. **IETF (2005)** - [RFC 4035: Protocol Modifications for the DNS Security Extensions](https://datatracker.ietf.org/doc/html/rfc4035) 4. **Cloudflare** - [How Does DNSSEC Work?](https://www.cloudflare.com/learning/dns/dnssec/how-dnssec-works/) 5. **SIDN** - [DNSSEC - DNS Security Extensions](https://www.sidn.nl/en/modern-internet-standards/dnssec) 6. **Wikipedia** - [Domain Name System Security Extensions](https://en.wikipedia.org/wiki/Domain_Name_System_Security_Extensions) ## Gerelateerde artikelen E-mail 29 okt 2026 [ Overstappen hosting: zonder uitval van website en mail \[2026\] ](https://www.keurigonline.nl/blog/overstappen-hosting) Strato beschrijft voor de domeinverhuizing een korte offline-fase en adviseert een catch-all mailbox om mail in die periode op te vangen[\[9\]](https://www.strato.nl/faq/domeinnaam/is-je-domein-offline-tijdens-een-verhuizing-naar-strato/). Wie eerst de DNS omzet en het domein later verhuist, heeft die fase niet. Een uitgewerkt voorbeeld van een mailmigratie vind je in [je XS4ALL-e-mailaccount migreren naar andere hosting](https://www.keurigonline.nl/blog/xs4all-e-mailaccount-migreren-naar-andere-hosting). ## Domeinnaam verhuizen: verhuistoken, 5-dagenregel en DNSSEC Wil je het domein ook naar je nieuwe hoster halen, dan doe je dat als laatste stap. Voor een .nl-domein regelt SIDN de verhuizing in vier stappen: nieuwe registrar kiezen, token opvragen, verhuisopdracht geven, bevestiging van SIDN[\[1\]](https://www.sidn.nl/nl-domeinnaam/domeinnaam-verhuizen). Nieuws 3 jul 2026 [XS4ALL e-mailaccount migreren naar andere hosting](https://www.keurigonline.nl/blog/xs4all-e-mailaccount-migreren-naar-andere-hosting) 1. **Bouw de volledige DNS-zone opnieuw op** bij de nieuwe provider: A-records, MX-records voor mail, en TXT-records voor SPF en DKIM. Vergeet je de MX- of SPF-records, dan valt je mail stil zonder duidelijke foutmelding[\[11\]](https://wpts.nl/kennisbank/website-migreren-zonder-downtime). Lees [hoe domeinnamen werken](https://www.keurigonline.nl/blog/hoe-domeinnamen-werken) als je het onderliggende principe nog eens wilt doornemen. 2. **Schakel DNSSEC eerst uit** voordat je de transfer start. Een actieve DNSSEC-koppeling die niet meegaat naar de nieuwe nameservers is een van de meest voorkomende redenen dat een domein na een overstap tijdelijk onbereikbaar wordt[\[9\]](https://www.theory7.net/blog/domeinnaam-verhuizen-handleiding). 3. **Test de nieuwe omgeving eerst**, bijvoorbeeld via een tijdelijke test-URL of een aanpassing in je eigen hosts-bestand, voordat je daadwerkelijk de nameservers omzet[\[9\]](https://www.theory7.net/blog/domeinnaam-verhuizen-handleiding). Beveiliging 2 jul 2026 [HSTS-header inschakelen op gedeelde hosting: .htaccess-stappenplan](https://www.keurigonline.nl/blog/hsts-header-inschakelen-op-gedeelde-hosting) Voor Nederlandse overheidsorganisaties is dit sinds 1 juli 2023 geen keuze meer: de Wet Digitale Overheid verplicht HTTPS én HSTS voor elke publiek toegankelijke overheidswebsite[\[8\]](https://www.digitaleoverheid.nl/overzicht-van-alle-onderwerpen/wetgeving/wet-digitale-overheid-wdo/veelgestelde-vragen-verplichting-https-en-hsts-voor-overheidswebsites/). Forum Standaardisatie heeft HTTPS en HSTS bovendien op de "pas toe of leg uit"-lijst geplaatst[\[9\]](https://www.forumstandaardisatie.nl/open-standaarden/https-en-hsts), de facto standaard voor elke organisatie die zich aan de overheid conformeert. Voor commerciële websites is HSTS niet wettelijk verplicht, maar het geldt inmiddels als vanzelfsprekend onderdeel van serieus beveiligingsbeleid, precies zoals [DNSSEC](https://www.keurigonline.nl/blog/dnssec-standaard-ingeschakeld) dat al is. Bij KeurigOnline staat HSTS daarom standaard actief op onze hostingpakketten, samen met DNSSEC, zodat je deze stap niet handmatig hoeft te configureren en toch met een schone lei aan de rollout in dit artikel kunt beginnen. ## Veelgestelde vragen over HSTS ### Wat is het verschil tussen een HTTP-redirect en HSTS?