DNSKEY-Eintrag Abfrage

Die DNSKEY-Abfrage liefert die öffentlichen Schlüssel, die eine DNSSEC-signierte Zone veröffentlicht: in der Regel einen Key Signing Key (KSK), den der DS-Eintrag der übergeordneten Zone verankert, und einen oder mehrere Zone Signing Keys (ZSKs), die die eigentlichen Einträge der Zone signieren.

Domainname

Was möchtest du abfragen?

Blacklist-Abfrage

Fragt ab, ob die IP-Adresse dieser Domain (oder die von dir eingegebene IP-Adresse) auf gängigen E-Mail-Blacklists (DNSBL) gelistet ist — eine Listung kann dazu führen, dass ausgehende E-Mails abgelehnt oder als Spam eingestuft werden.

Beim Ausführen dieser Suche auch den Blacklist-Status abfragen

So verwendest du dieses Tool

Wähle einen Abfragetyp aus dem Dropdown-Menü oder gib direkt eine Kurzform in das Feld ein — z. B. mx:example.com, all:example.com, spf:example.com, whois:example.com — und drücke Enter.
Gib einen Domainnamen ein (z. B. example.com) oder eine IP-Adresse für PTR- und Blacklist-Abfragen.
Aktiviere oben "Auch den Blacklist-Status abfragen", um eine DNSBL-Abfrage zusammen mit deiner Suche einzubeziehen.
Deine letzten 20 Abfragen werden im Verlaufsfeld gespeichert, sodass du sie jederzeit erneut aufrufen kannst.

Warum es wichtig ist

DNSKEY-Einträge sind das Fundament einer signierten Zone — fehlen sie, passen sie nicht zum DS-Eintrag der übergeordneten Zone oder werden sie gewechselt, ohne den DS-Eintrag zu aktualisieren, behandeln validierende Resolver die Zone entweder als unsigniert oder, schlimmer noch, die Auflösung schlägt komplett fehl (SERVFAIL). Sie zu prüfen ist der erste Schritt, wenn eine Domain mit aktiviertem DNSSEC plötzlich unerreichbar wird.

Beispiele

Ein Flags-Wert von 257 kennzeichnet einen Key Signing Key (KSK); 256 kennzeichnet einen Zone Signing Key (ZSK).
Moderne Zonen verwenden häufig Algorithmus 13 (ECDSA P-256/SHA-256), der deutlich kleinere Schlüssel und Signaturen erzeugt als ältere RSA-Algorithmen.
Nach einem Schlüsselwechsel muss der DS-Eintrag der übergeordneten Zone an den neuen KSK angepasst werden — diesen Schritt zu vergessen ist die klassische Ursache eines DNSSEC-Ausfalls.