Hoe je zonder downtime van DNS-provider wisselt

Voordat je begint: exporteer alles

Zorg voor een volledige, letterlijke kopie van elk record bij de huidige provider — een exportbestand als dat bestaat, screenshots als het niet bestaat. Let vooral op providerspecifieke recordtypes zoals ALIAS of ANAME op het hoofddomein, want niet elke nieuwe provider implementeert die op dezelfde manier, of helemaal niet.

Verlaag de TTL vooraf

Verlaag 24 tot 48 uur vóór de migratie de TTL van elk record dat je gaat wijzigen naar iets korts, zoals 300 seconden. Zo laten resolvers hun gecachte antwoorden na de overstap snel vallen, in plaats van de oude records te blijven serveren voor wat er nog over was van de vorige, waarschijnlijk veel hogere, TTL.

Recreëer eerst elk record bij de nieuwe provider

Bouw de volledige zone op bij de nieuwe provider terwijl de nameservers van het domein nog naar de oude wijzen. Bij veel providers kun je hun nameservers rechtstreeks bevragen, zodat je kunt bevestigen dat elk record correct oplost voordat er iets live gaat.

De eigenlijke overstap

Wijzig bij de registrar van het domein de nameservers naar die van de nieuwe provider. Dit is de enige stap die niet vooraf te testen is — vanaf dit moment hangt het volledig af van welke resolvers de nieuwe nameservers al hebben opgepikt, welke records de wereld ziet.

Bevestig voordat je het afgerond verklaart

Controleer de propagatie bij veel resolvers wereldwijd, niet alleen op je eigen verbinding, want dat de resolver van je eigen internetprovider de nieuwe records heeft, zegt niets over de rest.

Zodra het stabiel is

Zodra de propagatie compleet lijkt en er een dag of twee niets kapot is gegaan, zet je de TTL's weer terug naar een normale waarde — een permanent korte TTL betekent permanent meer DNS-query's zonder enig blijvend voordeel.

Wat vergeten wordt

• MX- of TXT-records — e-mail blijft na een migratie een tijdje werken op gecachte antwoorden, dus een gemist MX-record kan dagen duren voordat het als echt probleem naar boven komt
• CAA-records die beperken welke certificaatautoriteiten voor het domein mogen uitgeven — een weggelaten CAA-record kan een routinematige certificaatvernieuwing laten mislukken zonder duidelijk verband met de DNS-migratie die de oorzaak was
• DNSSEC — als dit is ingeschakeld, moet het DS-record bij de registrar worden afgestemd op de sleutels van de nieuwe provider, anders kan het domein voor valideerende resolvers volledig onbereikbaar worden in plaats van gewoon verouderde gegevens te serveren

Controleer de propagatie voor en na de overstap