Was ist ein Wildcard-DNS-Record? Einsatz und Risiken

Ein Wildcard-DNS-Record nutzt ein Sternchen-Label, um Antworten für Namen zu liefern, die in einer Zone keinen spezifischeren Record haben. Er ist nützlich, wenn eine Anwendung viele Mandanten-Subdomains akzeptiert oder ein Dienst absichtlich eine breite Menge von Hostnamen bedient. Eine Wildcard ist keine universelle Regel, die jeden expliziten Record überschreibt, und ihr Verhalten hängt von der Existenz des DNS-Namens und dem angefragten Record-Typ ab. Sie kann auch überraschende Ergebnisse erzeugen, indem falsch geschriebene oder unbeabsichtigte Subdomains irgendwohin auflösen, statt eindeutig zu scheitern. Setzen Sie sie nur ein, wenn Anwendung und Sicherheitsmodell auf diese Breite ausgelegt sind.

Wie Wildcard-Matching funktioniert

Ein Wildcard-Label wird als Sternchen auf einer bestimmten Namensebene geschrieben, üblicherweise *.example.com. Es kann Daten für bestimmte Namen unterhalb dieses Punktes liefern, wenn keine näher passenden Daten existieren. Es bedeutet nicht, dass jeder Nachkomme in jeder Tiefe automatisch so angelegt wird, wie ein Dateisystem-Platzhalter es vermuten ließe. Bestehende Namen, Delegationen und leere Zwischenknoten beeinflussen das Ergebnis. Auch der Record-Typ spielt eine Rolle: Ein Wildcard-A-Record erzeugt nicht automatisch jeden möglichen MX-, TXT- oder AAAA-Record für jede Subdomain. Testen Sie die Namen und Record-Typen, die Ihre Anwendung erwartet, statt anzunehmen, dass eine Wildcard das gesamte DNS-Verhalten abdeckt.

Ein häufiger Anwendungsfall ist Multi-Tenant-Hosting, bei dem jeder Kunde eine Subdomain erhält und alle diese Namen zum selben Anwendungs-Edge geroutet werden. Die Anwendung prüft dann den Hostnamen und entscheidet, welchen Mandanten oder welche Website sie ausliefert. DNS bringt die Anfrage nur zu einem Endpunkt; es validiert nicht, ob der angefragte Mandant existiert oder ob der Anfragende darauf zugreifen darf. Die Anwendung muss ihre eigenen Routing- und Autorisierungsregeln durchsetzen. Fallen unbekannte Subdomains auf eine Standardseite durch, stellen Sie sicher, dass diese keine Administrationswerkzeuge, Debug-Inhalte oder Daten eines anderen Kunden preisgibt.

Betriebliche und sicherheitsrelevante Überlegungen

Wildcards können beim Testen Tippfehler verbergen, weil ein falsch geschriebener Name trotzdem auflösen kann. Sie können auch dazu führen, dass die Zertifikatsautomatisierung Namen anfordert, die Sie nicht veröffentlichen wollten. Wildcards im E-Mail-Umfeld erfordern besondere Sorgfalt: Ein Wildcard-Adress-Record sollte nicht mit einer bewussten Mail-Richtlinie verwechselt werden, und Catch-all-Verhalten bei E-Mail gehört zum Mailsystem und wird nicht allein durch DNS erzeugt. Erfassen Sie explizite Namen und delegierte Subdomains, bevor Sie eine Wildcard einführen. Dokumentieren Sie, wer für das Verhalten verantwortlich ist und was die empfangende Anwendung mit unerwarteten Hostnamen macht.

• Verwenden Sie Wildcard-Records nur für Namen, die Ihre Anwendung bedienen kann.
• Behalten Sie explizite Records für Dienste, die eigenes Routing oder eigene Richtlinien brauchen.
• Testen Sie unbekannte und fehlerhafte Subdomains, nicht nur erwartete Mandantennamen.
• Behandeln Sie Wildcard-DNS nicht als Zugriffskontrolle oder Mandantenautorisierung.
• Prüfen Sie die Auswirkungen auf Zertifikate, E-Mail und Monitoring vor dem Einsatz.

Eine Wildcard-Antwort troubleshooten

Löst eine unerwartete Subdomain auf, suchen Sie in der Zone nach einer Wildcard auf der betreffenden Ebene und prüfen Sie, ob ein spezifischerer Record oder eine Delegation existiert. Fragen Sie den exakten Namen und Record-Typ ab und vergleichen Sie ihn mit dem Wildcard-Ziel. Scheint eine Wildcard nicht zu greifen, prüfen Sie, ob ein bestehender Knoten die Wildcard-Synthese für diesen Zweig des DNS-Baums verändert. Anbieteroberflächen können diese Details abstrahieren, bestätigen Sie daher, wie der Dienst Wildcard-Records umsetzt. Warten Sie nach dem Entfernen oder Ändern einer Wildcard das Ablaufen von Caches ab und testen Sie sowohl zuvor erwartete Namen als auch Namen, die jetzt scheitern sollten.

Wildcards sind ein gezieltes Werkzeug, keine Abkürzung an der Hostnamen-Inventur vorbei. Sie funktionieren am besten, wenn ein Produkt bewusst einen variablen Namensraum bedient und die Anwendung ein sicheres, explizites Host-Routing vornimmt. Grundlagen finden Sie unter DNS-Record-Typen erklärt und Was ein CNAME tut. Eine öffentliche DNS-Abfrage kann bestätigen, was ein Resolver für einen gewählten Namen zurückgibt, während Anwendungstests bestätigen, dass der Endpunkt diesen Namen korrekt behandelt.

Erwartete und unerwartete Namen testen

Ein Wildcard-Einsatz sollte mit mehr als einem bekanntermaßen funktionierenden Mandantennamen getestet werden. Prüfen Sie einen Namen, der bedient werden soll, einen Namen, der eine explizite Überschreibung haben soll, und einen zufälligen Namen, der nicht existieren sollte. Untersuchen Sie dann sowohl die DNS-Antworten als auch die Antwort der Anwendung. Eine Wildcard kann ein unbekanntes Label zum Dienst routen, doch die Anwendung sollte eine sichere Not-found-Antwort liefern, statt versehentlich ein Standardkonto anzulegen oder Konfiguration preiszugeben. Wiederholen Sie die Tests nach dem Hinzufügen expliziter Records und Delegationen, weil die Struktur des DNS-Baums ändern kann, welche Wildcard-Daten gelten. Dokumentieren Sie das beabsichtigte Namensmuster, damit künftige Betreiber wissen, ob eine neu auflösende Subdomain erwartet ist oder eine Konfigurationsüberraschung.