Je winkelwagen is leeg
Producten die je toevoegt, verschijnen hier.
DNS lijkt technisch, maar is cruciaal voor de snelheid en veiligheid van je website. Leer wat DNS is, hoe het werkt, en waarom goede DNS een verschil maakt.
Elke keer dat iemand je website bezoekt vindt er achter de schermen een cruciaal proces plaats. Dat proces heet de DNS-lookup. Het vertaalt je domeinnaam
KeurigOnline zegtDomeinnaam
Dat klinkt verwaarloosbaar. Maar volgens KPI Depot verslechtert een DNS
KeurigOnline zegtDNS
Snelheid is slechts één aspect van DNS. In het eerste kwartaal van 2024 registreerde Infoblox maar liefst 1,5 miljoen DNS DDoS-aanvallen. Diezelfde zomer werden 70.000 domeinen gekaapt via DNS-kwetsbaarheden. Je DNS-configuratie bepaalt dus niet alleen hoe snel je website laadt. Het is ook een cruciaal onderdeel van je beveiliging.
In dit artikel leer je wat DNS precies is. Je leert hoe het werkt. We leggen uit welke DNS-records je moet kennen. En je ontdekt hoe je de snelheid en veiligheid van je website kunt optimaliseren. We duiken ook in DNSSEC, een beveiligingsprotocol waar Nederland wereldwijd in vooroploopt met een adoptiegraad van 60%.
DNS staat voor Domain Name System. Het is het systeem dat domeinnamen vertaalt naar numerieke IP-adressen. Computers gebruiken die IP-adressen om met elkaar te communiceren.
Denk aan DNS als het telefoonboek van het internet. Jij zoekt op naam, de domeinnaam. En het systeem geeft je het bijbehorende nummer, het IP-adres.
Zonder DNS zou je websites moeten bezoeken via hun IP-adres. Bijvoorbeeld 142.250.185.206 in plaats van google.com. Het DNS-protocol RFC 1035 werd in 1987 gestandaardiseerd door de IETF. Het vormt sindsdien de ruggengraat van het internet.
DNS beïnvloedt drie belangrijke aspecten van je website:
Wanneer je www intypt in je browser doorloopt je verzoek meerdere stappen. Dit gebeurt voordat de website verschijnt. Dit proces heet DNS-resolutie en verloopt als volgt.
KeurigOnline zegtWWW
Je browser kijkt eerst of het IP-adres al eerder is opgeslagen. Dat doet hij in de lokale cache. Als dat zo is wordt de website direct geladen. Er is dan geen verdere DNS-lookup nodig.
Als het adres niet in de cache
KeurigOnline zegtCacheDNS-resolver. Meestal is dat de resolver van je internetprovider. Of je gebruikt een publieke dienst zoals Cloudflare 1.1.1.1 of Google 8.8.8.8.
De resolver vraagt een van de 13 root nameservers waar de .nl-domeinen worden beheerd. De root server
KeurigOnline zegtRoot server
De TLD-server voor .nl wordt beheerd door SIDN. Deze verwijst naar de autoritatieve nameserver
KeurigOnline zegtAutoritatieve nameserverkeurigonline.nl.
De autoritatieve nameserver bevat de daadwerkelijke DNS-records. Deze stuurt het IP-adres terug naar de resolver. Die stuurt het vervolgens door naar je browser.
Met het IP-adres in handen kan je browser een HTTP-verzoek sturen naar de webserver. En daarna kan de website worden geladen.
Dit hele proces duurt bij een goed geconfigureerde DNS-setup gemiddeld 20-50 milliseconden. Dat is de tijd van het typen van een URL tot het ontvangen van het IP-adres. Bij een slecht geconfigureerde setup kan dit oplopen tot 150+ milliseconden. Of het kan zelfs time-outs veroorzaken.
DNS-records zijn instructies die in je DNS-zone worden opgeslagen. Elk type record heeft een specifieke functie. Hier zijn de belangrijkste records die je moet kennen.
A-record (Address)Het A-record koppelt een domeinnaam aan een IPv4-adres. Dit is het meest fundamentele DNS-record.
keurigonline.nl. IN A 93.184.216.34
AAAA-record (Quad-A)Het AAAA-record is de IPv6-equivalent van het A-record
KeurigOnline zegtA-record
KeurigOnline zegtIPv4
KeurigOnline zegtIPv6
keurigonline.nl. IN AAAA 2606:2800:220:1:248:1893:25c8:1946
CNAME-record (Canonical Name)Een CNAME-record maakt een alias
KeurigOnline zegtAlias
www.keurigonline.nl. IN CNAME keurigonline.nl.
MX-record (Mail Exchanger)Het MX-record specificeert welke mailserver e-mail voor je domein moeten ontvangen. Essentieel voor e-mailverkeer.
keurigonline.nl. IN MX 10 mail.keurigonline.nl.
TXT-recordTXT-records bevatten tekstinformatie en worden gebruikt voor verificatie en beveiliging. Denk aan SPF, DKIM en DMARC voor e-mailbeveiliging.
keurigonline.nl. IN TXT "v=spf1 include:_spf.google.com ~all"
NS-record (Nameserver)NS-records specificeren welke nameservers
KeurigOnline zegtNameservers
keurigonline.nl. IN NS ns1.keurigonline.nl.
PTR-record (Pointer)Een PTR-record wordt gebruikt voor reverse DNS-lookups van IP-adres naar domeinnaam
KeurigOnline zegtDomeinnaam
SOA-record (Start of Authority)Het SOA-record bevat administratieve informatie over de DNS-zone. Denk aan de primaire nameserver en de contactpersoon.
DNS-resolutie is de eerste stap in het laden van je website. Voordat de browser ook maar één byte kan opvragen van je pagina moet het IP-adres bekend zijn. Een trage DNS-lookup vertraagt dus alles wat daarna komt.
Volgens KPI Depot geldt:
Niet alle DNS-resolvers zijn even snel. Volgens tests van MakeUseOf en DNSPerf zijn er duidelijke verschillen.
| Provider | IP-adres | Gemiddelde responstijd |
|---|---|---|
| Cloudflare | 1.1.1.1 |
~5ms |
| Google DNS | 8.8.8.8 |
~7ms |
| Quad9 | 9.9.9.9 |
~10ms |
| OpenDNS | 208.67.222.222 |
~15ms |
| ISP |
Varieert | ~30-80ms |
Cloudflare claimt dat hun DNS-service tot drie keer sneller is dan Google Cloud DNS. Dat is volgens data uit juli 2024.
De TTL (Time to Live) bepaalt hoe lang een DNS-record in de cache wordt bewaard. Een hogere TTL
KeurigOnline zegtTTL
Een typische TTL voor stabiele websites is 3600 seconden (1 uur). Voor websites die regelmatig van server wisselen of CDN's gebruiken kan een lagere TTL van 300 seconden (5 minuten) beter zijn.
<link rel="dns-prefetch" href="//example.com"> toe voor externe resources.
DNS werd ontworpen in een tijd dat internetveiligheid minder prioriteit had. Het oorspronkelijke protocol bevat geen authenticatie of encryptie
KeurigOnline zegtEncryptie
De dreigingen zijn reëel en groeiend. Volgens Infoblox Threat Intelligence:
Onderzoek van Heimdal Security toont aan dat in 2023:
Bij deze aanval injecteert een aanvaller vervalste DNS-data in de cache van een resolver. Hierdoor worden gebruikers omgeleid naar malafide websites. Dat gebeurt zelfs als ze de correcte URL invoeren.
Aanvallers wijzigen de DNS-records van een domein. Vaak doen ze dat door toegang te krijgen tot het controlepaneel van de registrar. Zo leiden ze verkeer om naar servers onder hun controle.
Dit is een type DDoS-aanval
KeurigOnline zegtDDoS-aanval
Malware gebruikt DNS-queries om data te exfiltreren of command-and-control communicatie te verhullen. Dat werkt omdat DNS-verkeer vaak niet streng wordt gefilterd.
DNSSEC (Domain Name System Security Extensions) voegt cryptografische handtekeningen toe aan DNS-records. Hierdoor kunnen resolvers verifiëren dat de ontvangen DNS-data daadwerkelijk afkomstig is van de autoritatieve nameserver
KeurigOnline zegtAutoritatieve nameserver
DNSSEC maakt gebruik van public-key cryptografie:
DNSKEY-recordHet protocol is gedefinieerd in RFC 4033, RFC 4034 en RFC 4035.
Volgens APNIC DNSSEC Statistics en DNSSEC Deployment Statistics:
| Domein/Zone | DNSSEC-adoptie |
|---|---|
| .nl (Nederland) | 60% — hoogste ter wereld |
| .cz (Tsjechië) | >50% |
| .no (Noorwegen) | >50% |
| .se (Zweden) | >50% |
| Root zone | 92% |
| .com | 4,33% |
| .net | 5,3% |
Internet Society meldt dat 158 landen inmiddels DNSSEC-ondersteuning hebben voor hun ccTLD (Country code Top-Level Domain).
SIDN, de beheerder van het .nl-domein, heeft DNSSEC-adoptie actief gestimuleerd door:
Het resultaat is duidelijk: Nederland is wereldleider in DNSSEC-beveiliging. Als je een .nl-domein hebt is de kans groot dat DNSSEC al actief is.
De meeste Nederlandse registrars ondersteunen DNSSEC:
De keuze voor een DNS-provider hangt af van je prioriteiten: snelheid, privacy, beveiliging of een combinatie daarvan. Hier vergelijken we de populairste opties.
| Provider | IPv4 |
IPv6 |
Snelheid | Privacy | Beveiliging |
|---|---|---|---|---|---|
| Cloudflare | 1.1.1.1, 1.0.0.1 |
2606:4700:4700::1111 |
Zeer snel (~5ms) | Geen logging van IP's | DoH, DoT, DNSSEC |
| Google DNS | 8.8.8.8, 8.8.4.4 |
2001:4860:4860::8888 |
Snel (~7ms) | Beperkte logging | DoH |
| Quad9 | 9.9.9.9, 149.112.112.112 |
2620:fe::fe |
Goed (~10ms) | Geen logging | Blokkeert malware |
| OpenDNS | 208.67.222.222 |
2620:119:35::35 |
Redelijk (~15ms) | Logging voor statistieken |
Content filtering |
Naast resolvers heb je ook een DNS-host nodig voor je eigen domein. Hier zijn de populaire opties.
Je kunt je DNS-instellingen op verschillende niveaus aanpassen: op je computer, op je router of voor je eigen domein.
1.1.1.1 en 1.0.0.1)1.1.1.1 en 1.0.0.1Door DNS op routerniveau in te stellen profiteert elk apparaat in je netwerk automatisch.
192.168.1.1 of 192.168.0.1)Om DNS-records voor je eigen domein te beheren:
DNS-problemen manifesteren zich vaak als "website niet bereikbaar" of zeer trage laadtijden. Hier zijn de meest voorkomende problemen en hun oplossingen.
Dit is een van de meest voorkomende foutmeldingen. Hier zijn mogelijke oorzaken en oplossingen.
1.1.1.1 of 8.8.8.8 inAls wijzigingen niet doorkomen of je problemen ervaart kan het helpen om de DNS-cache te legen.
ipconfig /flushdns
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder
sudo systemd-resolve --flush-caches
Ga naar chrome://net-internals/#dns en klik op "Clear host cache"
nslookupDe nslookup-tool helpt bij het diagnosticeren van DNS-problemen:
nslookup keurigonline.nl
Dit toont welke DNS-server wordt gebruikt en welk IP-adres wordt geretourneerd.
nslookup keurigonline.nl 1.1.1.1
Dit test specifiek met Cloudflare's DNS om te vergelijken met je standaard DNS.
Na het wijzigen van DNS-records kun je de voortgang van propagatie controleren met deze tools:
ipconfig /all. Op macOS open je Terminal en typ je scutil --dns. Je kunt het ook online checken via What is my DNS server.DNS is de onzichtbare basis van het internet. De snelheid en veiligheid van je website hangen er direct van af. Met een optimale DNS-configuratie krijg je deze voordelen:
Neem vandaag nog actie:
Heb je hulp nodig met je DNS-configuratie of webhosting? Neem contact met ons op. We helpen je graag verder.
Dit artikel is gebaseerd op actueel onderzoek en officiële documentatie: