DNS Glossary

Korte definities in gewone taal van de DNS-termen die je tegenkomt. Termen met een eigen gids zijn gelinkt.

Resolver: Een server die namens jou DNS-records opzoekt — meestal die van je internetprovider of een publieke zoals 8.8.8.8 of 1.1.1.1. Ook wel recursieve resolver genoemd.
Autoritatieve naamserver: De server die de werkelijke DNS-records van een domein bevat — de bron van waarheid die resolvers uiteindelijk raadplegen.
Zone: Een deel van de DNS-naamruimte dat als eenheid wordt beheerd — meestal één domein en zijn subdomeinen, vastgelegd in een zonebestand op de autoritatieve naamserver.
TTL (Time To Live): Hoelang, in seconden, een resolver een record in de cache mag houden voordat hij de autoritatieve naamserver opnieuw bevraagt.
Propagation: De tijd die een DNS-wijziging nodig heeft om elke resolver wereldwijd te bereiken, bepaald door de oude TTL.
NXDOMAIN: Een autoritatief antwoord dat betekent dat de opgevraagde naam niet in de zone bestaat.
SERVFAIL: De resolver kon de lookup helemaal niet afronden — onbereikbare servers, gebroken delegatie of mislukte DNSSEC-validatie.
Zone-apex / rootdomein: Het kale domein zonder subdomein (example.com, niet www.example.com). CNAME-records zijn hier niet toegestaan.
DNSSEC: Een set uitbreidingen die DNS-records cryptografisch ondertekenen, zodat resolvers kunnen controleren dat antwoorden niet vervalst zijn.
DoH (DNS over HTTPS): DNS-query's die versleuteld via HTTPS worden verstuurd, zodat ze onderweg niet kunnen worden afgeluisterd of gemanipuleerd.
DoT (DNS over TLS): DNS-query's versleuteld over een aparte TLS-verbinding — hetzelfde doel als DoH, ander transport.
SPF: Een DNS-TXT-record dat aangeeft welke mailservers namens een domein e-mail mogen versturen.
DKIM: Een cryptografische handtekening bij uitgaande e-mail zodat ontvangers kunnen verifiëren dat het bericht onderweg niet is gewijzigd.
DMARC: Een beleidsrecord dat ontvangende mailservers vertelt wat te doen als SPF en DKIM allebei falen, en dat bovendien rapportage levert.
Glue Record: Een A-record voor een naamserver die zich binnen het domein bevindt dat hij bedient (bijv. ns1.example.com voor example.com), nodig om een circulaire lookup te voorkomen.
Wildcardrecord: Een record met * als hostnaam (*.example.com) dat overeenkomt met elk subdomein dat niet apart is gedefinieerd.
SOA (Start of Authority): Een record met de metagegevens van de zone: primaire naamserver, beheerderscontact, serienummer en cachetimingwaarden.
Delegation: Een subdomein of zone via NS-records naar een andere set naamservers laten wijzen en daarmee het gezag over dat deel van de naamruimte overdragen.
Cachevergiftiging: Een vervalst DNS-antwoord in de cache van een resolver injecteren om verkeer om te leiden — precies de aanval die DNSSEC moet voorkomen.
Subdomeinovername: Een subdomein claimen waarvan het DNS-record nog verwijst naar een externe dienst die de oorspronkelijke eigenaar heeft losgelaten, waardoor een aanvaller daar inhoud kan tonen onder het vertrouwde domein.
Amplificatie-aanval: Een DDoS-techniek waarbij een kleine vervalste query naar een open resolver wordt gestuurd, zodat deze het vervalste bronadres overspoelt met een veel groter antwoord, wat de bandbreedte van de aanvaller vermenigvuldigt.
Open resolver: Een DNS-resolver die recursieve query's van elk IP-adres op internet beantwoordt in plaats van alleen vanuit het eigen netwerk, waardoor hij bruikbaar is als reflector bij amplificatie-aanvallen.
Anycast: Een routeringstechniek waarbij hetzelfde IP-adres vanaf veel fysieke locaties wordt aangekondigd, zodat een query automatisch door de dichtstbijzijnde wordt beantwoord.
EPP-statuscodes: Gestandaardiseerde codes (bijv. clientTransferProhibited, serverHold) waarmee een WHOIS-record toont wat de registrar of registry van een domein momenteel vergrendelt of beperkt.
CGNAT (carrier-grade NAT): Een opzet waarbij een internetprovider één openbaar IP-adres deelt tussen veel klanten, wat IP-gebaseerde locatiebepaling of identificatie onbetrouwbaar kan maken.
Happy Eyeballs: Een algoritme waarmee clientsoftware IPv6- en IPv4-verbindingen parallel probeert en degene behoudt die het eerst verbinding maakt, waardoor het toevoegen van AAAA-records weinig risico met zich meebrengt.
RRL (Response Rate Limiting): Een verdediging op autoritatieve nameservers die herhaalde identieke antwoorden naar dezelfde schijnbare bron afremt, wat DNS-amplificatie-aanvallen verzwakt.
BCP38: Een best practice voor netwerkfiltering die pakketten met een vervalst bronadres tegenhoudt bij het verlaten van een netwerk, waardoor amplificatie-aanvallen bij hun oorsprong worden gestopt in plaats van bij hun doelwit.