Nameservers wijzigen zonder downtime: een checklist

Je kunt nameservers zonder downtime wijzigen als de nieuwe DNS-aanbieder al een volledige kopie van je DNS-records heeft voordat je overstapt. Tijdens de overgang vragen sommige resolvers het nog aan de oude nameservers en andere al aan de nieuwe, dus beide moeten hetzelfde antwoord geven. De checklist hieronder laat zien wat je kopieert, wat je controleert en hoe je het resultaat nagaat, met extra aandacht voor e-mail.

Wat nameservers doen

Typt iemand je domein in een browser, dan moet zijn resolver uitzoeken welk IP-adres erbij hoort. Die vraagt aan de registry van je topleveldomein (bijvoorbeeld .com of .nl) welke servers verantwoordelijk zijn voor je domein. Dat zijn je nameservers. Vervolgens vraagt de resolver hun om de eigenlijke records: waar de website staat, waar e-mail naartoe gaat, enzovoort.

Er zijn dus twee lagen, en het helpt om die uit elkaar te houden:

Door nameservers te wijzigen verhuis je de hele zone in één stap naar een andere aanbieder. Pas je één record aan, dan wijzig je alleen één regel binnen de zone. Wil je je geheugen opfrissen over hoe DNS-lookups in het algemeen werken, dan is de MDN-woordenlijst over DNS (Engelstalig) een goede korte introductie.

Wat er gebeurt als je ze wijzigt

Je past de nameservers aan bij je registrar. De registrar geeft de wijziging door aan de registry, wat meestal een paar minuten duurt. Daarna nemen resolvers wereldwijd de nieuwe delegatie over zodra hun gecachete kopie verloopt.

Die caching wordt geregeld door de TTL (time to live), een waarde in seconden die resolvers vertelt hoe lang ze een antwoord mogen bewaren, zoals vastgelegd in RFC 1034 (Engelstalig). De TTL van de delegatie zelf bepaalt de registry, niet jij, en die is vaak een dag of twee. Daarom zeggen aanbieders vaak dat het tot 48 uur kan duren voordat iedereen een nameserverwijziging ziet, ook al zien veel bezoekers hem veel eerder.

In die periode krijgen beide sets nameservers verzoeken binnen. Er gaat niets mis zolang ze hetzelfde antwoorden. Downtime ontstaat als er in de nieuwe zone iets ontbreekt, bijvoorbeeld een MX-record, en de bezoekers of mailservers die de nieuwe nameservers al gebruiken geen antwoord krijgen.

Voordat je overstapt: de checklist

1. Maak een volledige kopie van je huidige zone

Log in bij je huidige DNS-aanbieder en exporteer het zonebestand als dat kan. Zo niet, neem dan elk record met de hand over: type, naam, waarde, prioriteit en TTL. Vertrouw niet op je geheugen of op wat de website nodig heeft. Vergeten subdomeinen (een stagingsite, een klantenportaal, een autodiscover-record voor mail) zijn de meest voorkomende oorzaak van problemen.

2. Controleer e-mailrecords twee keer

E-mail is het onderdeel dat geruisloos stukgaat, dus zoek naar al deze records:

• MX-records, met hun prioriteiten
• SPF: een TXT-record op het hoofddomein dat begint met v=spf1
• DKIM: TXT- of CNAME-records onder <selector>._domainkey
• DMARC: een TXT-record op _dmarc
• Autodiscover/autoconfig: CNAME- of SRV-records die mailprogramma's gebruiken

DKIM mis je gemakkelijk, want selectors kun je van buitenaf niet opvragen. Kijk in het beheerpaneel van je e-mailaanbieder, of open een bericht dat je hebt verstuurd en zoek naar s= in de header DKIM-Signature. Die waarde is de selector.

3. Verzamel verificatierecords

TXT-records voor Google Search Console, Microsoft 365, betaalproviders, SSL-validatie en vergelijkbare diensten staan vaak op het hoofddomein of op speciale subdomeinen. Verdwijnen ze, dan kunnen die diensten stoppen met werken of je opnieuw om verificatie vragen.

4. Kijk of DNSSEC actief is

Is DNSSEC actief, dan heeft je registrar een DS-record dat hoort bij sleutels bij de oude aanbieder. Wijzig je de nameservers zonder daar rekening mee te houden, dan wijzen validerende resolvers je domein volledig af. De eenvoudigste veilige route: verwijder eerst het DS-record bij de registrar, wacht tot het verlopen is en stap pas daarna over. Het DNSSEC-overzicht van ICANN (Engelstalig) legt uit hoe de vertrouwensketen werkt.

5. Bouw de zone opnieuw op bij de nieuwe aanbieder

Voeg elk record toe aan de zone van de nieuwe aanbieder voordat je aan de nameservers komt. Vergelijk oud en nieuw regel voor regel.

6. Kies een rustig moment

Kies een moment met weinig verkeer, waarop je het resultaat daarna een uur of twee kunt controleren. Vermijd vrijdagavond en dagen waarop er een campagne uitgaat.

De overstap maken

1. Open de domeininstellingen bij je registrar (niet bij je webhoster, tenzij dat hetzelfde bedrijf is).
2. Zoek het onderdeel voor nameservers en kies voor eigen nameservers.
3. Vervang de bestaande vermeldingen door de nameservers die je nieuwe aanbieder je geeft. Verwijder alle oude; een mix van oude en nieuwe nameservers leidt tot inconsistente antwoorden.
4. Sla op. Sommige registrars vragen om een bevestiging per e-mail.
5. Houd je oude DNS-dienst actief, minstens een paar dagen. Resolvers die de oude delegatie nog gebruiken, hebben die nodig om antwoord te krijgen tot hun cache verloopt.

Na de overstap: controleren

Kijk wat de rest van de wereld ziet voor je delegatie:

dig NS example.com +short

Vraag het de nieuwe nameservers direct, zodat het antwoord niet van caching afhangt:

dig MX example.com @ns1.new-provider.example +short
dig TXT example.com @ns1.new-provider.example +short
dig A www.example.com @ns1.new-provider.example +short

Vergelijk elk resultaat met je export. Doe daarna de praktijktests: laad de website, stuur vanaf een extern adres een e-mail naar het domein, stuur er een vanaf het domein en controleer dat die niet in de spam belandt, en log in bij elke dienst die op een TXT- of CNAME-record leunt.

Als er iets misgaat

• Website voor een deel van de bezoekers onbereikbaar: vergelijk de A- en AAAA-records in beide zones. Een ontbrekend AAAA-record zie je gemakkelijk over het hoofd.
• E-mail komt terug of komt niet aan: controleer eerst MX, daarna SPF, DKIM en DMARC aan de hand van de export.
• Domein wordt helemaal niet opgelost: controleer DNSSEC. Een achtergebleven DS-record is de gebruikelijke verdachte.
• Terugdraaien nodig: zet bij de registrar de oude nameservers weer terug. Daarom houd je de oude dienst draaiende; het terugdraaien verspreidt zich op dezelfde manier als de wijziging.

Het supportartikel over DNS-problemen behandelt meer gevallen in detail.

Zo helpt fast.site je

Aansluiten bij fast.site is een nameserverwijziging, dus deze checklist is direct van toepassing. Je voegt je domein toe in het dashboard, stelt bij je registrar de nameservers in die daar staan en verifieert. fast.site controleert daarna automatisch op de achtergrond of de wijziging is doorgevoerd, zodat je niet steeds zelf lookups hoeft te draaien.

Na de overstap beheert fast.site de DNS van het domein en ondersteunt het A-, AAAA-, CNAME-, MX-, TXT- en SRV-records. Je bestaande records, inclusief MX en de records voor e-mailauthenticatie, moeten dus in de DNS-zone van fast.site staan. Vergelijk ze met je export voordat je iets bij de registrar verandert. De DNS-documentatie en de handleiding om te beginnen lopen de stappen met je door.

Je website blijft bij je huidige hoster. fast.site staat ervoor zoals beschreven in wat een CDN doet, cachet openbare pagina's aan de edge en voegt automatische Layer 7-DDoS-detectie toe. Dat is ook relevant als je overstapt vanwege een aanval (zie wat je doet bij een DDoS-aanval). SSL-certificaten worden automatisch uitgegeven en verlengd.

Is het domein actief, meet je site dan voor en na. Een gratis proefperiode van 7 dagen start pas zodra DNS, SSL en de domeinactivering klaar zijn.

Veelgestelde vragen

Hoe lang duurt het wijzigen van nameservers?

De registry verwerkt de wijziging meestal binnen een paar minuten. Resolvers nemen hem daarna over zodra hun gecachete delegatie verloopt, en dat kan tot 48 uur duren. Veel bezoekers zien de nieuwe nameservers veel eerder.

Werkt mijn e-mail nog als ik mijn nameservers wijzig?

Ja, als de nieuwe zone dezelfde MX-, SPF-, DKIM- en DMARC-records bevat als de oude. Mailservers zoeken MX-records op zoals elke andere resolver. Ontbreken die records in de nieuwe zone, dan kan inkomende mail terugkomen of vertraging oplopen.

Is nameservers wijzigen hetzelfde als een domein verhuizen?

Nee. Bij een domeinverhuizing gaat de registratie naar een andere registrar. Bij een nameserverwijziging verandert alleen wie de DNS-vragen beantwoordt. Het domein blijft bij je registrar en je kunt je nameservers op elk moment wijzigen zonder verhuizing.

Moet ik de TTL verlagen voordat ik nameservers wijzig?

Dat helpt voor records die je wilt aanpassen, want resolvers vernieuwen ze dan sneller. De delegatie zelf gaat er niet sneller door, want die TTL bepaalt de registry. Antwoorden beide zones hetzelfde, dan veroorzaakt de TTL geen downtime.

Kan ik mijn nameservers terugzetten als er iets misgaat?

Ja. Zet de oude nameservers weer in bij je registrar en de wijziging verspreidt zich op dezelfde manier. Dat gaat alleen soepel als je oude DNS-dienst de zone nog heeft, dus zeg die niet direct na de overstap op.