So funktioniert’s
IPv6 (RFC 8200) löst das knappe Adressformat von IPv4 ab: Statt 32 Bit hat eine Adresse 128 Bit und wird hexadezimal geschrieben, etwa 2001:db8::1. Im DNS steht sie als AAAA-Record, so wie die IPv4-Adresse als A-Record.
Hat ein Hostname beides, bevorzugen moderne Clients meist IPv6 und weichen nach kurzer Wartezeit auf IPv4 aus („Happy Eyeballs“, RFC 8305). Viele Mobilfunknetze arbeiten intern schon nur mit IPv6 und erreichen reine IPv4-Ziele über Übersetzungsdienste wie NAT64.
Für eine Website heißt das: Ein AAAA-Record ist ein Versprechen. Sobald er im DNS steht, schicken Besucher ihre Anfragen auch an diese Adresse, und dort muss derselbe Webserver mit demselben Zertifikat antworten wie unter IPv4.
Warum gefährlich
Kein IPv6 zu haben ist heute noch unkritisch. Gefährlich ist ein AAAA-Record, hinter dem nichts mehr lauscht – nach einem Serverumzug, bei dem nur der A-Record angepasst wurde, oder wenn die Firewall IPv6 sperrt. Clients mit IPv6 laufen dann in Timeouts oder warten, bis sie auf IPv4 zurückfallen, während jeder reine IPv4-Test grün bleibt.
Ähnlich tückisch ist eine Weiterleitung auf ein Ziel ohne AAAA-Record: Die Startseite antwortet über IPv6, die eigentliche Seite dahinter ist für Clients, die nur IPv6 haben, aber nicht erreichbar.
So vermeidest du es
- Pflege A- und AAAA-Records immer gemeinsam und nimm beide in die Checkliste für jeden Server- oder Hosterwechsel auf.
- Prüfe nach dem Eintragen, ob der Webserver wirklich auf der IPv6-Adresse lauscht (in nginx etwa listen [::]:443 ssl) und die Firewall IPv6 durchlässt.
- Entferne einen AAAA-Record, sobald die Adresse nicht mehr bedient wird, statt ihn bis zur Klärung stehen zu lassen.
- Sorge dafür, dass auch Weiterleitungsziele wie www oder ein Shop-Host AAAA-Records haben, wenn die Startseite IPv6 anbietet.
- Teste von außen gezielt über IPv6, etwa mit curl -6 -I https://example.com/.
So erkennt DomainWarn es
Der Check IPv6 fragt stündlich die AAAA-Records jeder überwachten Website ab und ruft die Seite über jede einzelne IPv6-Adresse auf. Antwortet eine Adresse nicht oder mit einem 5xx-Fehler, gibt es eine Warnung; hält das länger als die eingestellte Fehlerdauer an, eröffnet DomainWarn den Incident „Website über IPv6 gestört“. Leitet die Seite über IPv6 auf ein Ziel ohne AAAA-Record weiter, kommt ein Hinweis, ebenso wenn es gar keine AAAA-Records gibt.
Bevor ein Befund entsteht, prüft DomainWarn den eigenen IPv6-Weg gegen Referenzziele; ohne IPv6-Route am Prüfstandort endet der Lauf ohne Ergebnis statt mit einem Fehler der Website. Den Monitor gibt es nur, wenn der Betreiber IPv6 freigeschaltet hat. Der kostenlose Domain-Check listet die AAAA-Records auch ohne IPv6-Route und zieht für fehlendes IPv6 keine Punkte ab.
DomainWarn prüft das für alle deine Domains regelmäßig und meldet sich, wenn etwas fehlt oder sich ändert.