Wildcard-records in DNS: zo werkt *.example.com

Gevorderd⏱ 4 min leestijdBijgewerkt op 13 oktober 2026

Een record met de naam *.example.com antwoordt voor elk subdomein dat je nooit hebt aangemaakt: blog, test, wat-dan-ook. Zo worden een subdomein per klant of preview-omgevingen één regel werk. Maar zo resolven ook tikfouten, wordt e-mail uitgenodigd naar hosts die niet bestaan en kan een vergeten subdomein bij iemand anders terechtkomen. De regels voor wat het sterretje raakt, zijn strenger dan de meesten denken.

Hoe een wildcard antwoordt

Een resolver vraagt een naam op. Staat die niet in de zone, dan zoekt de server een *-record bij de dichtstbijzijnde naam die wel bestaat en antwoordt alsof het record voor de gevraagde naam was geschreven (RFC 4592). Neem deze zone:

; zone example.com
example.com.        3600 IN A      203.0.113.10
www.example.com.    3600 IN CNAME  example.com.
shop.example.com.   3600 IN A      203.0.113.20
*.example.com.      3600 IN A      203.0.113.80

Met *.example.com in de zone: een bestaande naam houdt zijn eigen record, een ontbrekende krijgt de wildcard en een naam onder een bestaande krijgt niets.

Opvraging	Antwoord	Waarom
`example.com` `A`	`203.0.113.10`	De apex wordt nooit geraakt door `*.example.com`.
`shop.example.com` `A`	`203.0.113.20`	De naam bestaat, dus de wildcard wordt genegeerd.
`blog.example.com` `A`	`203.0.113.80`	De naam bestaat niet: het antwoord komt uit `*`.
`a.b.example.com` `A`	`203.0.113.80`	`b` en `a.b` bestaan geen van beide, dus hij wordt toch geraakt — over elk aantal labels.
`shop.example.com` `MX`	Geen records (NODATA)	De naam bestaat. De wildcard vult nooit types aan die een echte naam mist.
`x.shop.example.com` `A`	NXDOMAIN	De dichtstbijzijnde bestaande naam is `shop`, en er is geen `*.shop.example.com`.

Regels die mensen verrassen

Bestaande namen blijven onaangeroerd. Heeft www alleen een CNAME, dan krijgt een TXT-opvraging voor www niets uit * — ook als de wildcard een TXT-record heeft.
Een naam „bestaat” ook zonder eigen records zodra er iets onder staat. Maak api.dev.example.com aan en dev.example.com bestaat: test.dev.example.com bereikt *.example.com niet meer.
Het sterretje werkt alleen als volledig meest linkse label. *.example.com is een wildcard; www.*.example.com, *-dev.example.com en *abc.example.com zijn gewone, letterlijke namen.
Een wildcard-CNAME mag, maar zoals elke CNAME mag hij zijn naam met geen ander record delen — *.example.com CNAME plus *.example.com MX is ongeldig.
Antwoorden dragen de gevraagde naam, niet *. De client ziet geen verschil tussen een wildcard-antwoord en een echt record; alleen vergelijken met een willekeurige naam verraadt het.

Let op: Een wildcard-TLS-certificaat is iets anders, met een andere regel: een certificaat voor *.example.com dekt blog.example.com, maar niet a.b.example.com of example.com zelf. Dat een DNS-wildcard diepe namen resolvet, breidt het certificaat niet uit.

Wanneer een wildcard het juiste gereedschap is

SaaS met een subdomein per klant (acme.app.example): nieuwe klanten werken meteen, en de applicatie kiest op basis van de Host-header welke klant ze toont.
Preview- en branch-omgevingen die automatisch ontstaan en verdwijnen, allemaal achter één load balancer.
Een vangnet-doorverwijzing die elk verkeerd getypt subdomein naar de hoofdsite stuurt — als je de bijwerkingen hieronder accepteert.

De risico's

Tikfouten lijken te werken. ww.example.com of mial.example.com resolven en komen uit bij een server die een verwarrende pagina toont in plaats van een duidelijke fout.
E-mail. Een wildcard-MX maakt van elk verzonnen subdomein een geldige mailbestemming, en spammers merken dat; een wildcard-A zonder MX doet hetzelfde via de terugval op het A-record. Is de wildcard alleen voor het web, publiceer er dan een null MX en een strikte SPF op.
Subdomeinovername. Een wildcard-CNAME naar een clouddienst (*.example.com → example.azurewebsites.net) geeft elk onbezet subdomein aan wie dat doel registreert nadat jij de dienst verlaat.
Verborgen fouten. Een verwijderd record blijft via de wildcard „werken”, zodat een mislukte migratie onopgemerkt blijft — tot de wildcard verdwijnt.

; keep a web wildcard from inviting mail to every subdomain
*.example.com.  3600 IN MX   0 .              ; RFC 7505 "null MX"
*.example.com.  3600 IN TXT  "v=spf1 -all"

Pas op: Voordat je een wildcard toevoegt aan een domein dat e-mail verstuurt of voor inloggen wordt gebruikt: noteer welke subdomeinen niet mogen resolven en test ze na de wijziging.

Zo controleer je of een domein een wildcard heeft

Vraag een naam op die niemand zou aanmaken. Resolvet die, dan is er een wildcard (of een CDN of DNS-provider die antwoorden aanmaakt). Vergelijk daarna met een echt subdomein:

# a label that surely does not exist — answered by the wildcard?
dig +short pixdns-test-7f3a.example.com A
# compare with a name that does exist
dig +short shop.example.com A

Tip: Plak de willekeurige naam in de DNS-lookup van PixDNS om het recordtype en de TTL van de wildcard te zien. Tools voor subdomeinverkenning filteren wildcard-antwoorden op dezelfde manier: ze resolven eerst een willekeurig label en gooien alles weg wat daarop lijkt.

Een willekeurig subdomein opzoeken →Verder: CNAME-records uitgelegd →

Veelgestelde vragen

Dekt *.example.com ook example.com?

Nee. De wildcard raakt namen onder het domein, nooit het domein zelf. Houd voor de apex een apart record.

Dekt *.example.com ook a.b.example.com?

In DNS wel — zolang b.example.com niet bestaat. Een wildcard-TLS-certificaat dekt daarentegen maar één niveau.

Waarom werkt mijn wildcard niet voor één subdomein?

Omdat die naam, of een naam eronder, in de zone bestaat. Een bestaande naam krijgt nooit antwoorden van de wildcard, ook niet voor types die hij mist.

Kan ik een wildcard gebruiken voor MX of TXT?

Ja, elk recordtype kan een wildcard zijn. Een wildcard-MX is zelden een goed idee; een wildcard-null-MX en v=spf1 -all zijn een gangbare beveiliging.

Probeer het op je domein

Zie de theorie in de praktijk — voer DNS-lookup uit voor je eigen domein.

Bijgewerkt op 13 oktober 2026

Bronnen