Beliebige Record-Typen abfragen, DNSSEC-Daten mitlesen, den Resolver je Abfrage wählen und PTR-Records mit Forward-Bestätigung prüfen.

DNS Lookup und Reverse DNS sind die Grundwerkzeuge der Toolbox und ohne Lizenz nutzbar. Der Lookup ersetzt dig und nslookup, Reverse DNS prüft, ob eine IP-Adresse einen sauberen PTR-Record hat.

DNS Lookup

Tipp eine Domain in Name oder IP, wähl den Typ und klick Abfragen.

Record-Typen

Typ	Wofür
`A`, `AAAA`	IPv4- und IPv6-Adressen
`CNAME`	Alias auf einen anderen Namen
`MX`	Mailserver
`NS`, `SOA`	Nameserver und Zonendaten
`TXT`	SPF, Verifizierungen und andere Texte
`CAA`	welche Zertifizierungsstellen Zertifikate ausstellen dürfen
`SRV`	Dienste mit Port, etwa für SIP oder XMPP
`PTR`	Reverse-Einträge
`HTTPS`, `SVCB`	Dienstbindungen, etwa für HTTP/3
`DS`, `DNSKEY`	DNSSEC-Schlüssel und ihre Verankerung in der Elternzone
`TLSA`	DANE-Zertifikatsbindungen
`NAPTR`, `SSHFP`	Namensumschreibung und SSH-Schlüssel-Fingerprints
`ANY`	alles, was der Server dazu herausgibt (viele Server antworten darauf nur eingeschränkt)

Gibst du eine IP-Adresse ein, fragt der Lookup automatisch den PTR-Record unter in-addr.arpa bzw. ip6.arpa ab. Du kannst auch eine URL oder E-Mail-Adresse einfügen, die App nimmt den Hostnamen daraus. Domains mit Umlauten funktionieren direkt.

DNSSEC mit abfragen

Der Schalter DNSSEC setzt in der Anfrage das DO-Bit. Die Antwort enthält dann auch die Signaturen (RRSIG), die du in der Tabelle und in den Rohdaten siehst. Validiert der Resolver selbst, meldet die App zusätzlich Per DNSSEC validiert (AD-Flag des Resolvers).

Das ist ein schneller Blick. Ob die ganze Vertrauenskette von der Root bis zur Domain stimmt, prüft die DNSSEC-Prüfung.

Resolver wählen

Neben dem Typ sitzt die Resolver-Auswahl. Sie gilt nur für diese eine Abfrage:

Standard (Einstellungen): der Resolver aus Einstellungen › Resolver, ab Werk der des Systems
System-Resolver
DoH Cloudflare, DoH Google, DoH Quad9, DoH AdGuard, DoH dns0.eu, DoH OpenDNS
20 öffentliche Resolver direkt per UDP/TCP, etwa Cloudflare (1.1.1.1), Google (8.8.8.8), Quad9 (9.9.9.9), DNS.WATCH oder Digitalcourage

So siehst du schnell, ob ein bestimmter Resolver noch eine alte Antwort im Cache hat. Für den Vergleich vieler Resolver auf einmal gibt es die DNS-Propagation.

In den Einstellungen legst du fest, welcher Resolver ohne ausdrückliche Wahl gilt, welcher DoH-Anbieter genutzt wird, ob ein eigener Server gefragt werden soll und wie lange eine Abfrage höchstens dauern darf (Zeitlimit je Abfrage, ab Werk 5 Sekunden). Im Browser gibt es keine direkten Abfragen, dort läuft alles über DNS over HTTPS.

Befunde

Befund	Bedeutung und was zu tun ist
n A-Records gefunden	Alles da.
Keine A-Records (Warnung)	Den Namen gibt es, aber keinen Eintrag dieses Typs (NODATA). Prüf, ob du den richtigen Typ oder Namen fragst, oder leg den Eintrag an.
Den Namen gibt es nicht (NXDOMAIN) (Fehler)	Tippfehler, oder die Zone ist nicht delegiert. Prüf die Schreibweise und die Nameserver beim Registrar.
Antwort SERVFAIL oder ein anderer Fehlercode (Fehler)	Der Resolver konnte nicht antworten. Bei signierten Domains steckt oft eine gebrochene DNSSEC-Kette dahinter.
CNAME-Kette (Hinweis)	Der Name zeigt über einen oder mehrere Aliase auf das Ziel.
Lange CNAME-Kette (Warnung)	Mehr als drei Stufen. Jede kostet eine Auflösung, besser direkt aufs Ziel zeigen.
Erweiterter Fehler (Warnung)	Der Resolver liefert einen Extended DNS Error mit, etwa zu DNSSEC oder einem Zeitlimit.
Antwort abgeschnitten (TC) (Warnung)	Die Antwort passte nicht in ein UDP-Paket.
Sehr kurze TTL (Hinweis)	Unter 60 Sekunden. Änderungen greifen schnell, aber jede Abfrage geht bis zum Nameserver.
Antwort von … über … in … ms (Hinweis)	Welcher Server über welches Protokoll wie schnell geantwortet hat.

Reverse DNS

Reverse DNS sucht den PTR-Record einer IP-Adresse und prüft, ob der gefundene Name wieder auf dieselbe IP zeigt (Forward-Confirmed Reverse DNS, kurz FCrDNS). Für Mailserver ist das wichtig, weil viele Empfänger Mail von Servern ohne passenden PTR ablehnen.

Tipp eine IPv4- oder IPv6-Adresse in IP-Adresse und klick Prüfen. Die Tabelle Reverse DNS zeigt je PTR den Namen, die Adressen, auf die er vorwärts auflöst, und ob die Bestätigung klappt.

Befund	Bedeutung und was zu tun ist
IP → Name → IP (Forward-bestätigt)	PTR und A/AAAA passen zusammen.
Kein PTR-Record (Warnung)	Den PTR setzt der Inhaber des IP-Netzes, meist dein Provider oder Hoster, nicht dein DNS. Bei privaten Adressen ist das normal.
… zeigt nicht zurück auf … (Warnung)	Der Name im PTR löst nicht auf diese IP auf. Leg für den Namen einen A- bzw. AAAA-Record mit dieser IP an oder lass den PTR ändern.
Mehrere PTR-Records (Warnung)	Üblich und empfohlen ist genau einer.