Domain und DNS
Diese Checks laufen auf der Domain; CAA zusätzlich je Hostname mit Zertifikat.
dnsDNS-Records: A, AAAA, CNAME, MX, TXT, NS und CAA, bevorzugt am autoritativen Nameserver, kanonisiert als Snapshot für die Änderungserkennung. NXDOMAIN und SERVFAIL sind kritisch (dns_failed), eine Zone ohne A, AAAA, CNAME und MX eine Warnung (dns_empty), jeweils nach zwei Läufen. Ein CNAME neben anderen Records ist eine Warnung ohne Incident. Einzelne Record-Änderungen sind Ereignisse, Nameserver- und MX-Wechsel Warnungen. Gezählt werden dabei nur Records des abgefragten Namens: A-Records eines CNAME-Ziels sind kein Verstoß, und eine Subdomain ohne eigene NS-Records gehört zur Zone darüber (keine Warnung).dnssecDNSSEC: DS-Record in der Elternzone und Validierung über einen validierenden Resolver, Ablauf der Signaturen, abgekündigte Algorithmen. Eine scheiternde Validierung ist kritisch (dnssec_bogus, zwei Läufe), denn Google, Cloudflare und Quad9 erreichen die Domain dann nicht. Signaturen, die in unter 7 Tagen ablaufen, sind eine Warnung, unter 2 Tagen kritisch (dnssec_expiring); die Warnung greift nur, wenn auch weniger als ein Drittel der Gültigkeitsdauer übrig ist, damit kurz signierende Anbieter keine Fehlalarme erzeugen. Ohne DNSSEC gibt es einen Hinweis.domainRegistrierung: Ablaufdatum, Registrar, EPP-Status und Nameserver laut Registry per RDAP, einmal täglich. Ablauf in unter 30 Tagen ist eine Warnung (domain_expiring), unter 60 Tagen ein Hinweis; abgelaufen oder nicht registriert kritisch (domain_expired);clientHold/serverHoldkritisch (domain_hold). Fehlende Transfersperre ist ein Hinweis. Registries ohne Ablaufdatum (DENIC für .de) liefern nur Status und Nameserver. Ein Registrarwechsel wird als Warnung gemeldet.blacklistBlacklists: Die IPv4-Adressen der Website und der ersten fünf MX-Hosts gegen Spamhaus ZEN, Spamcop, Barracuda und PSBL, der Domainname gegen Spamhaus DBL und SURBL. Eine gelistete Mailserver-IP oder Domain ist kritisch, eine gelistete Website-IP eine Warnung (blacklist_listed, ein Lauf). Nur eindeutige Listungsantworten zählen; die Streichung wird als Entwarnung gemeldet.caaCAA: CAA-Records samt Eltern- und Wildcard-Regeln, verglichen mit der Zertifizierungsstelle des aktuellen Zertifikats auf Port 443 (rund 30 CAs bekannt). Kein CAA-Record ist ein Hinweis; ein Record, der die eigene CA aussperrt, eine Warnung (caa_blocks_issuer), weil die nächste Verlängerung scheitern würde; ungültige Recordscaa_invalid, jeweils nach zwei Läufen.nameserversNameserver: Jeder NS der Zone braucht eine Adresse, muss antworten, autoritativ sein und denselben Stand der Zone liefern. Tote, lame und adresslose Server sowie ein Server mit anderer Serial und anderen Daten (SOA-Werte, NS, MX, TXT, CAA, A/AAAA ohne gemeinsame Adresse) eröffnennameservers_brokennach zwei Läufen, antwortet keiner ist es kritisch. Eine andere Serial bei gleichen Daten (Anycast-Anbieter wie Google zählen sie je Server) ist nur ein Hinweis; ein unvollständiger Datenabgleich gilt als unvollständiger Lauf. Ein einzelner Nameserver, alle im selben /24-Netz oder bei mehreren Anbietern sind Hinweise. Der Lauf hat 20 Sekunden Budget und beginnt an wechselnder Stelle; unvollständige Läufe werden markiert.
Siehe auch: DNS-Monitoring · Domain-Monitoring
Zonen-Backup: was die Prüfung von außen nicht sieht
Der DNS-Check fragt die überwachten Namen von außen ab, so wie jeder Resolver. Records unter anderen Namen – interne Hosts, Service-Records, Verifizierungen – sieht er nicht. Ist der DNS-Anbieter der Domain verbunden, ergänzt das Zonen-Backup das: Es liest jede Nacht die ganze Zone beim Anbieter, zeigt die Änderungen im Reiter DNS unter „Zonen-Backup“ und meldet nur, was die Prüfung von außen nicht ohnehin meldet. Jeder Stand lässt sich als Zonendatei herunterladen und per Klick wiederherstellen.
Siehe auch: Zonen-Backup einrichten