Wat is een TXT-record en hoe gebruik je het?
Auteur: Redactie Domeny.ForSale Gepubliceerd
In het kort: Een TXT-record is een vermelding in DNS, het systeem dat domeinnamen beheert, waarin tekst wordt opgeslagen. Het wordt onder meer gebruikt om de controle over een domein te bevestigen en instellingen voor e-mailauthenticatie te publiceren. Het stuurt een website niet door en verwijst niet naar het adres van een webserver: de betekenis hangt af van de dienst die de opgeslagen tekst uitleest.
Hoe werkt een TXT-record en wat bevat het?
DNS koppelt domeinnamen aan allerlei informatie, niet alleen aan de IP-adressen van servers. Een TXT-record maakt tekst beschikbaar onder een bepaalde naam, bijvoorbeeld example.com of _dmarc.example.com. Een programma dat DNS raadpleegt, leest die tekst en interpreteert deze volgens de regels van de betreffende dienst.
In het beheerpaneel voor DNS zie je meestal de volgende velden:
| Veld | Betekenis |
|---|---|
| Type | Kies TXT. |
| Naam / host | Bepaalt onder welke naam het record beschikbaar is. |
| Waarde / inhoud | Tekst die je van de dienstverlener ontvangt of die uit de configuratie volgt. |
| TTL | De tijd dat een antwoord van DNS in de cache mag worden bewaard. |
Voor het hoofddomein vul je in het naamveld vaak @ in, of laat je het leeg. Dat is een afspraak binnen het betreffende paneel, geen universele instructie. Andere panelen vereisen de volledige domeinnaam. Controleer daarom vóór het opslaan de toelichting bij het veld.
Een TXT-record is openbaar leesbaar. Zet er geen wachtwoorden, privésleutels of vertrouwelijke gegevens in. Een verificatietoken dat de dienstverlener uitdrukkelijk voor publicatie in DNS heeft verstrekt, kun je daar volgens diens instructies plaatsen.
Waarvoor dienen TXT-records?
Een van de eenvoudigste toepassingen is bevestigen dat je controle over een domein hebt. Een aanbieder van e-mail, een analysetool of een andere dienst verstrekt een unieke tekst en vraagt je die aan DNS toe te voegen. Door de juiste waarde uit te lezen, kan de aanbieder controleren of je de configuratie van het domein kunt wijzigen. Dat bewijst echter niet dat je juridisch eigenaar bent van de naam of van het hele bedrijf.
Een tweede belangrijke toepassing betreft e-mail:
- SPF bepaalt welke servers e-mail mogen verzenden met het betreffende domein in het adres van de technische afzender. Een SPF-beleid publiceer je als TXT-record.
- DKIM stelt de ontvanger in staat de cryptografische handtekening van een bericht te controleren. De publieke sleutel wordt meestal in een TXT-record gepubliceerd onder een naam zoals
selector._domainkey.example.com. Sommige aanbieders vereisen in plaats daarvan een CNAME-record dat naar hun configuratie verwijst. - DMARC bepaalt hoe wordt beoordeeld of de authenticatie overeenkomt met het domein dat zichtbaar is in het veld ‘Van’, hoe berichten die niet aan die voorwaarden voldoen worden behandeld en hoe daarover wordt gerapporteerd. Het TXT-record plaats je onder de naam
_dmarc.example.com.
Deze mechanismen helpen misbruik van een domein als afzender te beperken, maar garanderen niet dat een bericht in de inbox terechtkomt. TXT wordt ook gebruikt bij de uitgifte van TLS-certificaten: bij DNS-01-verificatie publiceer je de opgegeven waarde onder de naam _acme-challenge voor het domein dat wordt geverifieerd.
Hoe voeg je stap voor stap een TXT-record toe?
Stel dat een dienst je vraagt om voor het hoofddomein example.com een TXT-record toe te voegen met de waarde service-verification=abc123. Dit is alleen een voorbeeld: voor je echte configuratie heb je de waarde nodig die je eigen aanbieder verstrekt.
- Ga na wie DNS voor het domein beheert. Je voegt het record toe bij de beheerder van de autoritatieve servers voor DNS: de servers die de oorspronkelijke antwoorden voor het domein leveren. Dat hoeft niet het bedrijf te zijn waar je voor de registratie betaalt.
- Open de zone voor DNS van het juiste domein. Een zone is de verzameling records voor dat domein. Kies de optie om een nieuw record van het type TXT toe te voegen.
- Vul de naam in volgens de instructies van het paneel. Voor het hoofddomein kan dat
@, een leeg veld ofexample.comzijn. - Plak de exacte waarde. Voeg geen spaties, regeleinden of eigen toelichtingen toe. Je kunt de standaardwaarde voor TTL laten staan, tenzij de aanbieder iets anders adviseert.
- Sla het record op en start de verificatie bij de dienst. Mislukt de eerste poging, controleer dan het antwoord van DNS voordat je de inhoud van het record gaat wijzigen.
Als je een afzonderlijk verificatierecord toevoegt, hoef je bestaande TXT-records meestal niet te verwijderen. Controleer na de verificatie in de documentatie van de dienst of het record moet blijven staan: sommige systemen controleren het later opnieuw.
Hoe controleer je het record en voorkom je fouten?
Je kunt het record controleren met een hulpmiddel dat DNS bevraagt. Gebruik in een terminal waarin dig beschikbaar is de opdracht dig TXT example.com, en voor DMARC: dig TXT _dmarc.example.com. Een alternatief is de opdracht nslookup -type=TXT example.com.
Een wijziging is niet noodzakelijk meteen overal zichtbaar. Sommige resolvers, de servers die bemiddelen bij vragen aan DNS, kunnen het eerdere antwoord nog bewaren volgens de bijbehorende TTL. Ook de informatie dat een record ontbreekt kan worden gecachet. Pas na de wijziging de TTL verlagen verwijdert dus geen eerder opgeslagen kopieën.
De meest voorkomende fout is een onjuiste recordnaam. Als het paneel zelf het domein toevoegt, kan het invullen van de volledige naam _dmarc.example.com leiden tot _dmarc.example.com.example.com. Een ander probleem is het wijzigen van DNS bij een aanbieder waarvan de servers het domein niet meer bedienen.
Onder één naam kunnen meerdere TXT-records bestaan, maar publiceer geen meerdere afzonderlijke SPF-beleidsregels voor dezelfde naam. Als je een nieuwe e-mailafzender toevoegt, moet je één beleid samenstellen dat alle vereiste bronnen omvat, in plaats van een tweede record toe te voegen dat begint met v=spf1.
Aanhalingstekens in het resultaat van een vraag aan DNS zijn vaak alleen een manier om de tekst weer te geven. Eén TXT-record kan ook uit meerdere fragmenten bestaan, elk met een lengte van maximaal 255 bytes. Dat betekent niet dat voor het hele record een limiet van 255 tekens geldt. Volg bij een lange DKIM-sleutel de instructies van je beheerder voor DNS, in plaats van de sleutel zelf op te splitsen in afzonderlijke records.
Vergelijk vóór het opslaan drie onderdelen met de officiële instructies van de dienst: het recordtype, de volledige doelnaam en de waarde. Controleer ze na het opslaan in het antwoord van DNS. Dat het record in het paneel verschijnt, bevestigt op zichzelf nog niet dat het correct is gepubliceerd.
Zie ook: Wat is Linux?
Lees ook
