Nameservers wijzigen naar een nieuwe partij? Zet eerst de hele zone klaar, ook MX, SPF en DKIM, regel DNSSEC en controleer daarna met dig NS en whois.
Er zijn twee niveaus in DNS die vaak door elkaar worden gehaald. De nameservers bepalen wélke servers de gegevens van je domein beheren. De records (A, MX, TXT en zo verder) zijn die gegevens zelf. Nameservers stel je in bij je domeinbeheerder of registrar, die ze doorgeeft aan het register van de extensie. Records stel je in bij de partij waar die nameservers staan.
Wissel je van nameservers, dan wissel je dus in één keer van complete zone. Alles wat op de oude nameservers stond en niet op de nieuwe, bestaat vanaf dat moment niet meer: de mailrecords, de verificatie voor je mailpakket, het DKIM-record van je nieuwsbriefdienst. Dat is de meest voorkomende reden dat ‘opeens de mail niet meer werkt’ na een verhuizing.
Een tweede valkuil is DNSSEC. Is het domein ondertekend, dan staat er bij het register een DS-record dat bij de sleutels van de oude nameservers hoort. Wissel je naar nameservers die andere of geen sleutels hebben zonder dat DS-record aan te passen, dan weigeren controlerende resolvers je domein met SERVFAIL. Ten slotte duurt een nameserverwissel vaak langer om overal door te komen dan een gewone recordwijziging.
Menunamen kunnen per versie of toestel iets anders heten. Loop de stappen op volgorde af en stop zodra het werkt.
Voor een websiteverhuizing is het vaak genoeg om bij de huidige DNS-beheerder de A- en AAAA-records aan te passen. Wissel alleen van nameservers als je de DNS bij de nieuwe partij wilt beheren, bijvoorbeeld omdat je daar alles in één paneel wilt of een dienst die eigen nameservers vereist. Elke wissel brengt een risico op vergeten records.
Exporteer de zone uit het oude DNS-beheer of maak schermafbeeldingen van álle records. Een lijst opvragen met dig lukt alleen per naam en type, en je ziet dan geen subdomeinen die je vergeten bent. Let vooral op MX, TXT op het hoofddomein (SPF en verificaties), _dmarc, records onder _domainkey (DKIM), autodiscover, SRV-records en subdomeinen als mail, webmail, shop of api.
dig NS voorbeeld.nl +short
dig voorbeeld.nl MX +short
dig voorbeeld.nl TXT +short
dig _dmarc.voorbeeld.nl TXT +short
dig selector1._domainkey.voorbeeld.nl TXT +short
dig autodiscover.voorbeeld.nl +shortMaak het domein aan bij de nieuwe DNS-partij en voer daar alle records in, vóór je iets aan de nameservers verandert. Controleer daarna rechtstreeks bij de nieuwe nameservers of alles klopt; dat kan al voordat het domein ernaar verwijst. Vergelijk record voor record met je lijst. Een overzicht van de mailinstellingen zie je achteraf met de Mail-DNS-check.
dig @ns1.nieuwe-dns.nl voorbeeld.nl A
dig @ns1.nieuwe-dns.nl voorbeeld.nl MX
dig @ns1.nieuwe-dns.nl voorbeeld.nl TXT
dig @ns1.nieuwe-dns.nl _dmarc.voorbeeld.nl TXTKijk of je domein DNSSEC gebruikt: geeft de opdracht hieronder een DS-record, dan is het ondertekend. Laat dan het DS-record bij je domeinbeheerder of registrar verwijderen en wacht minstens de TTL van dat DS-record af voordat je wisselt. Na de wissel zet je DNSSEC bij de nieuwe partij aan en laat je het nieuwe DS-record plaatsen. Sommige partijen kunnen een wissel met DNSSEC zonder onderbreking regelen; vraag dat na. Zie ook DNSSEC-fout en SERVFAIL.
dig voorbeeld.nl DS +shortZet een dag voor de wissel de TTL’s in de oude zone laag. Na de wissel blijven resolvers soms nog antwoorden van de oude nameservers gebruiken tot hun cache verloopt. Hoe korter die TTL’s, hoe sneller iedereen de nieuwe zone gebruikt. Laat de oude zone ook nog een tijd ongewijzigd bestaan, zodat resolvers die nog even daar vragen een goed antwoord krijgen.
Vul de nieuwe nameservers in bij je domeinbeheerder of registrar, precies zoals de nieuwe partij ze opgeeft, en vervang alle oude. Een mengeling van oude en nieuwe nameservers geeft wisselende antwoorden. Heeft je domein ‘eigen’ nameservers onder hetzelfde domein (zoals ns1.voorbeeld.nl), dan zijn er ook glue-records met IP-adressen nodig; vraag je domeinbeheerder hoe dat daar werkt.
Kijk met whois welke nameservers bij het register staan, en met dig NS wat resolvers teruggeven. dig +trace laat de hele keten zien, vanaf de rootservers tot jouw nameserver. Werken website en mail, zet dan de TTL’s in de nieuwe zone weer op een normale waarde en zet DNSSEC aan. Het kan soms 24 tot 48 uur duren voor alle caches zijn bijgewerkt: zie DNS-wijziging duurt lang.
whois voorbeeld.nl
dig NS voorbeeld.nl +short
dig @1.1.1.1 NS voorbeeld.nl +short
dig +trace voorbeeld.nl ALet op: Wissel nooit van nameservers zonder dat de nieuwe zone compleet is, inclusief MX, SPF, DKIM en DMARC. Vanaf het moment van wisselen bestaat alleen de nieuwe zone nog, en mail naar een domein zonder MX-record komt niet aan.
Kom je er met deze stappen niet uit, of wil je het liever niet zelf doen? We kijken online mee of komen langs. Hulp op afstand kost €20 per uur; komen we langs, dan is de prijs op aanvraag. Je weet vooraf waar je aan toe bent.
Schrijf kort wat er misgaat en wat je al hebt geprobeerd. Kies of we bellen, online meekijken of langskomen.
Nameservers bepalen wélke servers de gegevens van je domein bijhouden. Records zijn die gegevens zelf, zoals het IP-adres van je site en de mailserver.
Vaak is het binnen enkele uren grotendeels door, maar het kan soms 24 tot 48 uur duren voordat alle caches de nieuwe nameservers gebruiken.
Alleen als je de mailrecords (MX, SPF, DKIM, DMARC) vooraf in de nieuwe zone hebt gezet. De mailboxen zelf blijven waar ze zijn.
Als de nieuwe partij de sleutels niet kan overnemen wel: laat eerst het DS-record verwijderen, wacht de TTL af, wissel, en zet daarna DNSSEC opnieuw aan.
Hulp nodig van een mens? Gratis Mail-DNS-check · Domeincheck · Hosting en onderhoud · Alle oplossingen