Checkliste für Ihre eigene Domain

Modul 8: Sicherheit und Problembehebung · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion prüfen Sie Ihre eigene Domain von oben nach unten mit einer festen Checkliste und wissen, bei welchem Punkt Sie ansetzen, wenn die Website oder die E-Mail nicht funktioniert.

Kernbegriffe: Registrierung, Nameserver, A/AAAA, www, Zertifikat, MX, SPF, DKIM, DMARC, CAA, DNSSEC, TTL, Backup

Warum von oben nach unten?

DNS ist eine Kette: ohne Registrierung keine Nameserver, ohne funktionierende Nameserver keine Einträge, ohne A-Record keine Website. Ein Fehler ganz oben verursacht allerlei Beschwerden weiter unten. Deshalb arbeiten Sie die Liste immer in dieser Reihenfolge ab und stoppen beim ersten Punkt, der nicht stimmt. Lösen Sie den zuerst, und beginnen Sie dann wieder von vorn.

In der Liste steht example.com: ersetzen Sie das durch Ihre eigene Domain. Bei jedem Punkt steht ein dig-Befehl; mit einem Online-dig (Lektion 8.3) geht es auch. Ein Domain-Gesundheitscheck, wie der Ihres Hostinganbieters oder der kostenlose Domain-Gesundheitscheck, erledigt einen großen Teil dieser Liste auf einmal, aber es ist gut zu wissen, was dahintersteckt.

Teil A: das Fundament

1. Ist die Domain registriert und aktiv?

• Wie: eine Whois- oder RDAP-Abfrage (zum Beispiel über die Website der Registry, wie sidn.nl für .nl, die Website der niederländischen Registry für .nl-Domains), oder whois example.com.
• Gut: Status aktiv (bei .de: "connect"), nicht gesperrt, nicht abgelaufen. Der Domaininhaber stimmt.

2. Welche Nameserver hat die Domain, und sind es mindestens zwei?

• Wie: dig +short NS example.com, und für das, was die Registry weitergibt, dig +trace example.com.
• Gut: mindestens zwei Nameserver, vom Anbieter, bei dem Sie Ihr DNS verwalten.

3. Antworten alle Nameserver, und geben sie dasselbe zurück?

• Wie: dig +short SOA example.com @<Nameserver> für jeden Nameserver.
• Gut: jeder Nameserver antwortet (kein Timeout, kein REFUSED) und die Seriennummer (drittes Feld des SOA) ist überall gleich. Ein Nameserver, der für Ihre Domain nicht antwortet, heißt lame.

4. Stimmt DNSSEC (falls aktiviert)?

• Wie: dig +short DS example.com und dig example.com A @1.1.1.1 (achten Sie auf den Status und die Flag ad); bei Zweifel DNSViz.
• Gut: entweder kein DS (DNSSEC aus, das funktioniert einfach), oder ein DS mit Status NOERROR und der Flag ad. Falsch: SERVFAIL.

Teil B: die Website

5. Zeigt der Domainname auf den richtigen Server?

• Wie: dig +short A example.com und dig +short AAAA example.com.
• Gut: die IPv4-Adresse (und, falls vorhanden, die IPv6-Adresse) des Servers, auf dem Ihre Website liegt. Keine alte AAAA von einem früheren Server.

6. Funktioniert www?

• Wie: dig +short A www.example.com (oder CNAME).
• Gut: ein A-Record, AAAA-Record oder CNAME, der bei derselben Site landet. Fehlt www, erhalten Besucher, die www eingeben, eine Fehlermeldung.

7. Hat die Site ein gültiges Zertifikat für beide Namen?

• Wie: öffnen Sie https://example.com und https://www.example.com und klicken Sie auf das Schloss, oder nutzen Sie den Website-Test von internet.nl.
• Gut: keine Warnung, das Zertifikat ist noch mindestens ein paar Wochen gültig und gilt für beide Namen.

8. Darf Ihr Zertifikatsaussteller Zertifikate erstellen (CAA)?

• Wie: dig +short CAA example.com.
• Gut: kein CAA-Eintrag (dann darf jeder), oder ein CAA-Eintrag mit issue für den Anbieter, der Ihr Zertifikat ausstellt. Falsch: ein CAA, das Ihren Aussteller nicht nennt.

Teil C: die E-Mail

9. Wo kommt Ihre Mail an?

• Wie: dig +short MX example.com, und danach dig +short A <Mailserver> für den ersten Namen.
• Gut: die MX-Einträge Ihres aktuellen Mailanbieters, und kein übrig gebliebener MX eines früheren Anbieters. Jeder Mailservername hat einen A- oder AAAA-Eintrag. Nutzen Sie die Domain nicht für E-Mail, kann ein Null-MX (0 .) deutlich machen, dass keine Mail ankommt.

10. Gibt es genau einen korrekten SPF-Eintrag?

• Wie: dig +short TXT example.com und achten Sie auf die Zeilen, die mit v=spf1 beginnen; ein E-Mail-Check zählt die Abfragen.
• Gut: genau ein SPF-Eintrag, mit allen Diensten, die in Ihrem Namen mailen, endend auf ~all oder -all (nie +all), und nicht mehr als zehn DNS-Abfragen.

11. Ist DKIM für jeden Dienst eingerichtet, der mailt?

• Wie: dig +short TXT <Selector>._domainkey.example.com (oder CNAME) für jeden Selector, den Sie kennen, wie den Ihres Mailanbieters und Ihres Newsletterdiensts. Den Selector finden Sie in der Anleitung des Diensts oder im Header DKIM-Signature: ... s=<Selector> einer versendeten Mail.
• Gut: jeder Eintrag liefert einen Schlüssel (v=DKIM1; ... p=...) oder einen CNAME zum Dienst, und eine Testmail zeigt bei DKIM PASS.

12. Gibt es einen DMARC-Eintrag?

• Wie: dig +short TXT _dmarc.example.com.
• Gut: genau ein Eintrag, der mit v=DMARC1 beginnt und eine gültige Richtlinie hat (p=none, p=quarantine oder p=reject). Mit p=none angefangen? Planen Sie dann die Verschärfung.

13. Kommt eine echte Mail einwandfrei an?

• Wie: senden Sie eine Mail an mail-tester.com oder an eine Gmail-Adresse und schauen Sie sich "Original anzeigen" an.
• Gut: SPF, DKIM und DMARC auf PASS.

Teil D: Wartung

14. Sind die TTLs sinnvoll?

• Wie: dig example.com A @<Ihr Nameserver> und schauen Sie sich die TTL an.
• Gut: normalerweise 3600 bis 86400 (eine Stunde bis ein Tag). Nur rund um eine geplante Änderung vorübergehend 300. Nach einem Umzug vergessen, sie zurückzusetzen, ist nicht schlimm, verursacht aber unnötig viel Verkehr.

15. Haben Sie ein Backup Ihrer Zone?

• Wie: der Backup- oder Export-Button Ihres DNS-Panels, oder dig pro Eintrag, falls Sie keinen haben.
• Gut: eine aktuelle Kopie aller Einträge, aufbewahrt außerhalb des Panels.

16. Stehen keine vergessenen Einträge mehr da?

• Wie: gehen Sie alle Einträge in Ihrem Panel durch.
• Gut: keine Verifizierungseinträge oder Subdomains von Diensten, die Sie nicht mehr nutzen. Ein CNAME zu einem gekündigten Dienst kann von jemand anderem "übernommen" werden (Subdomain-Takeover): entfernen Sie ihn.

Wo beginnen Sie bei einer Beschwerde?

In der Praxis: so sieht es in einem Panel aus

Ein Domain-Gesundheitscheck erledigt einen großen Teil dieser Liste automatisch. In Mein WebOké steht dieser auf der Domainseite als Kachel Domain / E-Mail-Gesundheit, mit Grün, Orange und Rot pro Punkt; die öffentliche Version funktioniert für jede Domain. Andere Hostinganbieter, Registrare und DNS-Anbieter haben vergleichbare Prüfungen, und internet.nl testet einen großen Teil von Teil B und C unabhängig. Nutzen Sie einen solchen Check als Ausgangspunkt und diese Liste, um zu verstehen, was rot angezeigt wird.

Zusammenfassung

• Arbeiten Sie die Liste von oben nach unten ab und stoppen Sie beim ersten Punkt, der nicht stimmt.
• Fundament: Registrierung, Nameserver, gleiche Antworten, DNSSEC.
• Website: A/AAAA, www, Zertifikat, CAA.
• E-Mail: MX mit Adresse, ein SPF, DKIM pro Dienst, ein DMARC, Testmail.
• Wartung: TTL, Backup, Aufräumen.

Quiz

Aufgabe

Aufgabe Z8.5: Abschlussaufgabe: Ihre eigene Domain. Überprüfen Sie Ihre eigene Domain mit dieser Checkliste. Geben Sie Ihren Domainnamen in der Kursumgebung ein und beantworten Sie zu jedem Punkt der Teile A, B und C, was Sie gefunden haben (zum Beispiel Ihre Nameserver, Ihren MX, Ihren SPF-Eintrag und Ihre DMARC-Richtlinie). Das Programm führt dieselben Prüfungen durch und vergleicht. Stimmt etwas in Ihrer Domain nicht, erhalten Sie eine Erklärung mit einem Verweis auf die Lektion. Haben Sie keine eigene Domain, nutzen Sie sidn.nl, die Website der niederländischen Registry für .nl-Domains.

Weiterführende Informationen

Diese Artikel beschreiben die Prüfungen bei WebOké; die Checkliste funktioniert für jede Domain.

• WebOké Anleitung 5.17: Domain- und E-Mail-Gesundheit: prüfen und beheben
• Website oder E-Mail funktioniert nach einem Umzug oder einer DNS-Änderung nicht: Überprüfen Sie Ihre Domain
• WebOké Anleitung 5.7: DNS zurücksetzen und ein DNS-Backup erstellen
• Ein Backup Ihrer DNS erstellen und wiederherstellen
• Kostenloses Tool Domain-Gesundheitscheck: https://www.weboke.de/domain-gesundheit
• Kostenloser E-Mail-Check: https://www.weboke.de/e-mail-check