CNAME abfragen: Einem Alias bis zum Ziel folgen
Ein CNAME macht einen Namen zum Alias eines anderen, und in Ketten davon verstecken sich seltsame DNS-Probleme. Geben Sie einen Hostnamen ein, um seinen Aliasen bis zum Ende zu folgen, die Adresse zu sehen, zu der er schließlich auflöst, und auf die beiden klassischen Fehler zu prüfen: eine Schleife und einen Alias, der auf einen Namen zeigt, den es nicht mehr gibt.
Wie ein CNAME funktioniert
Statt eine IP-Adresse zu wiederholen, sagt ein CNAME: „Dieser Name ist derselbe wie jener.“ Ein Resolver fragt das Ziel ab und gibt dessen Antwort zurück. Unternehmen nutzen das, um www oder shop auf eine Hosting-Plattform oder ein CDN zeigen zu lassen. Wechselt der Anbieter seine Server, muss sich auf Ihrer Seite nichts ändern.
Ketten sind erlaubt: a kann auf b zeigen und b auf c. Jeder zusätzliche Schritt kostet eine Abfrage, halten Sie sie also kurz. Dieses Tool folgt bis zu acht.
Regeln, die ein CNAME einhalten muss
- Ein Name mit einem CNAME darf keinen anderen Record-Typ haben. Kein MX, kein TXT, nichts.
- Die Wurzel einer Domain muss SOA- und NS-Records enthalten, daher kann sie kein CNAME sein. Manche Anbieter bieten an der Wurzel ein ALIAS oder „CNAME-Flattening“, das das Ziel auf ihrer Seite auflöst und einfache A-Records veröffentlicht.
- Das Ziel muss ein Hostname sein: keine IP-Adresse und keine URL.
- Ein CNAME gilt für jeden Record-Typ. Wer einen Namen auf ein Ziel zeigen lässt, verschiebt damit auch dessen Mail- und Textrecords, sofern diese nicht unter getrennten Namen liegen.
Hängende CNAMEs: die stille Sicherheitslücke
Angenommen, blog.example.com ist ein Alias für example.hosting-platform.com. Sie kündigen den Hosting-Tarif, vergessen aber den DNS-Eintrag. Der Alias zeigt nun auf einen Namen, den es nicht mehr gibt, und bei manchen Plattformen kann jeder diesen Namen registrieren und unter Ihrer Subdomain eigene Inhalte ausliefern. Das ist eine Subdomain-Übernahme, und sie gehört zu den häufigsten DNS-Sicherheitsbefunden.
Prüfen Sie Ihre Subdomains hin und wieder mit der Verfolgung. Eine Kette, die mit „dieser Name existiert nicht“ endet, ist die, die Sie löschen sollten.
Was die Verfolgung sonst noch zeigen kann
- Eine Schleife: Die Kette kehrt zu einem bereits besuchten Namen zurück, sodass der Name nie aufgelöst werden kann.
- Eine lange Kette: Jeder Schritt verursacht Verzögerung, und manche Resolver geben nach einer begrenzten Zahl von Schritten auf.
- Eine Kette, die in einer privaten Adresse endet, die aus dem Internet nicht erreichbar ist. Solche werden hier nicht angezeigt.