Je domein staat bij de nieuwe registrar, maar sommige bezoekers zien de website niet meer en mail kan ook problemen geven. Een DNSSEC-fout is dan één mogelijke oorzaak. Behandel SERVFAIL als een aanleiding voor onderzoek, niet als bewijs dat je alle beveiliging moet uitzetten. Begin met de wijzigingen en de publieke foutmelding vast te leggen.
Scheid de delegatie van de beveiligingsketen
Nameservers wijzen aan waar de DNS-zone staat. DNSSEC laat validerende resolvers controleren of antwoorden bij de verwachte beveiligingsketen horen. Bij een nameserver- of sleutelwijziging kunnen die onderdelen uit elkaar gaan lopen. Houd daarom twee lijsten bij: de actieve DNS-aanbieder en de DNSSEC-wijzigingen die rond hetzelfde moment zijn uitgevoerd. Een losse registrarverhuizing is weer een andere handeling.
Leg vast wat SERVFAIL in jouw test betekent
Controleer het domein via een publieke resolver en noteer naam, recordtype, tijdstip en de volledige status. Vergelijk dat met een andere resolver en met een DNSSEC-analyse. Een mislukte validatie kan passen bij een verouderde DS-koppeling, maar ook andere DNS-storingen kunnen SERVFAIL geven. Alleen de melding dat een site bij één persoon werkt, is daarom onvoldoende om de oorzaak vast te stellen.
Laat DS en DNSKEY als één geheel beoordelen
De DS-koppeling bij de bovenliggende zone moet passen bij het sleutelmateriaal van de actieve DNS-zone. Geef je registrar en DNS-aanbieder de analyse en vraag hen de keten samen te controleren. Plak een DS-waarde niet als willekeurig TXT-record in je account; daarmee herstel je de delegatie niet. Bewaar uitsluitend publieke controlewaarden in je melding, nooit geheime sleutels.
Bereid een nameserverwijziging volledig voor →
Plan herstel met de betrokken beheerders
Vraag welke wijziging nodig is, wie die uitvoert en hoe je controleert dat de keten daarna klopt. Bij nlnamen.nl is een DNSSEC-sleutelwijziging een afgestemde beheeractie; het is niet hetzelfde als het gewone nameserverformulier invullen. Laat ook vastleggen wanneer de volgende controle plaatsvindt. Zo voorkom je dat twee beheerders gelijktijdig verschillende herstelacties uitvoeren.
Bevestig herstel voor website én e-mail
Herhaal na herstel dezelfde DNS-onderzoeken en vergelijk de antwoorden met je eerdere notities. Test daarna HTTPS en inkomende en uitgaande e-mail. Bewaar de oorzaak en oplossing bij je domeindocumentatie. Plan een volgende registrar-, DNS- of sleutelwijziging als een afzonderlijke klus met eigen controles. Het doel is een aantoonbaar werkende configuratie, niet alleen het verdwijnen van één foutscherm.
Jouw praktische checklist
- Noteer wat er tegelijk met de verhuizing veranderde.
- Bewaar resolverstatus, recordtype en testtijd.
- Laat delegatie en DS/DNSKEY samen controleren.
- Stem één herstelactie af met de beheerders.
- Test na herstel website en e-mail opnieuw.
Een onderneming verhuist tegelijk de registratie en de DNS-dienst. De nieuwe zone bevat de verwachte web- en mailrecords, maar een publieke analyse wijst op een oude DS-koppeling. Het supportverzoek bevat daarom de wijzigingstijd, actieve nameservers en analyse. De beheerders spreken eerst de juiste herstelactie af en voeren daarna dezelfde controles opnieuw uit.
Veelgestelde vragen
Betekent SERVFAIL altijd dat DNSSEC fout staat?
Nee. DNSSEC-validatie is een mogelijke oorzaak, maar de bereikbaarheid of werking van nameservers kan ook problemen geven. Laat de concrete antwoorden en analyse beoordelen.
Moet DNSSEC uit voor een .nl verhuizing?
Niet standaard. Behoud van de keten vraagt een passende verhuisprocedure en afstemming tussen betrokken beheerders. Stem een noodzakelijke sleutel- of DNS-wijziging vooraf af.
Bronnen en verder lezen
- Google Public DNS: domain troubleshooting
- Cloudflare: troubleshoot DNSSEC
- SIDN: DNSSEC en veilige verhuizing
Registratieregels en providerfuncties kunnen wijzigen. Controleer de actuele eisen voor jouw domein voordat je bestelt of diensten aanpast.
Klaar voor jouw eigen .nl?
€ 9,99 voor het eerste jaar, € 12,99 verlengen of 3 jaar voor € 27. Zonder verplicht hostingpakket.
Check jouw domeinnaam →
