---
title: "Wat is TLSA record? Uitleg en betekenis | Keurig Online"
description: "Een TLSA record is een DNS-record voor DANE dat vastlegt welk TLS-certificaat bij een server hoort."
canonical: https://www.keurigonline.nl/begrippenlijst/tlsa-record
last_modified: 2025-12-18
---

[Terug naar begrippenlijst](https://www.keurigonline.nl/begrippenlijst)

# TLSA record

Een TLSA record is een DNS-record voor DANE dat vastlegt welk TLS-certificaat bij een server hoort.

Een TLSA record is een DNS-record dat vastlegt welk certificaat bij een server hoort. Het vormt de basis van DANE, DNS-based Authentication of Named Entities. Een server die verbinding maakt, controleert het certificaat van de andere kant tegen dit record, en klopt het niet, dan gaat de verbinding niet door.

Het record staat onder een naam met poort en protocol, zoals \_25.\_tcp.mail.jouwdomein.nl, en bevat vier velden. Usage bepaalt wat je vastlegt: een certificaatautoriteit of je eigen certificaat. Selector kiest tussen het hele certificaat of alleen de publieke sleutel, en matching type bepaalt de hashfunctie, bijvoorbeeld SHA-256. Daarna volgt de hash zelf.

Voor mailservers raadt RFC 7672 de combinatie 3 1 1 aan: een SHA-256-hash van de publieke sleutel van je eigen certificaat. Zolang je dezelfde sleutel houdt, hoef je het record bij een verlenging dus niet aan te passen. Wissel je wel van sleutel, publiceer dan eerst het nieuwe record, anders kan mail blijven hangen.

Een TLSA record werkt alleen als je domein DNSSEC gebruikt, omdat een aanvaller het record zonder die handtekening kan vervalsen. In de praktijk gebruik je TLSA vooral voor mail tussen servers, want Google Chrome ondersteunt DANE voor websites niet. Voor Nederlandse overheden staan STARTTLS en DANE sinds 2016 op de pas-toe-of-leg-uit-lijst.

## Geschiedenis

DANE ontstond in de DANE-werkgroep van de IETF. Het idee: als DNS met DNSSEC betrouwbaar is, kan het ook certificaten publiceren. Paul Hoffman en Jakob Schlyter schreven de specificatie van het TLSA record, die in 2012 verscheen als [RFC 6698](https://datatracker.ietf.org/doc/html/rfc6698).

Belangrijke mijlpalen:

- **Augustus 2012:** [RFC 6698](https://datatracker.ietf.org/doc/html/rfc6698) definieert het TLSA record
- **Oktober 2015:** [RFC 7672](https://datatracker.ietf.org/doc/html/rfc7672) beschrijft DANE voor SMTP, het verkeer tussen mailservers
- **2016:** Forum Standaardisatie zet [STARTTLS en DANE](https://www.forumstandaardisatie.nl/open-standaarden/starttls-en-dane) op de pas-toe-of-leg-uit-lijst voor ontvangende mailservers
- **29 november 2018:** De verplichting wordt uitgebreid naar verzendende mailservers

## Bronnen

1. **IETF (2012)** - [RFC 6698 - The DNS-Based Authentication of Named Entities (DANE) TLS Protocol: TLSA](https://datatracker.ietf.org/doc/html/rfc6698)
2. **IETF (2015)** - [RFC 7671 - DANE Protocol: Updates and Operational Guidance](https://datatracker.ietf.org/doc/html/rfc7671)
3. **IETF (2015)** - [RFC 7672 - SMTP Security via Opportunistic DANE TLS](https://datatracker.ietf.org/doc/html/rfc7672)
4. **Forum Standaardisatie** - [STARTTLS en DANE](https://www.forumstandaardisatie.nl/open-standaarden/starttls-en-dane)
5. **Wikipedia** - [DNS-based Authentication of Named Entities](https://en.wikipedia.org/wiki/DNS-based_Authentication_of_Named_Entities)

## Gerelateerde artikelen

DNS 10 dec 2025

[Email DNS Records: SPF, DKIM, DMARC en BIMI uitgelegd](https://www.keurigonline.nl/blog/email-dns-records)

DANE is een alternatief voor MTA-STS dat certificaatvalidatie via DNSSEC regelt. Het is veiliger maar complexer om in te stellen.

**Definitie:** **DANE** (DNS-based Authentication of Named Entities) gebruikt TLSA records om TLS-certificaten te authenticeren via DNS in plaats van Certificate Authorities. Dit vereist DNSSEC voor de integriteit van DNS-antwoorden.

### DANE vs MTA-STS

| Aspect | MTA-STS | DANE |
|---|---|---|