Wat is een DNS TXT-record? Opmaak en voorbeelden

Een DNS-TXT-record is een DNS-record waarin tekst voor een domein wordt opgeslagen. Tegenwoordig wordt het vooral gebruikt om het eigendom van een domein aan te tonen en om records voor e-mailverificatie (SPF, DKIM en DMARC) te publiceren.

Controleer de TXT-records van elk domein met onze TXT-recordzoekfunctie.

Wat is een DNS-TXT-record?

Een DNS TXT-record (tekstrecord) is een resource-record binnen het Domain Name System dat bedoeld is om onopgemaakte tekstreeksen op te slaan. Toen TXT-records in de vroege internetspecificaties werden gedefinieerd, dienden ze als opslagplaats voor voor mensen leesbare opmerkingen, contactgegevens of systeembeschrijvingen die bij een hostnaam hoorden.

In de loop der tijd zijn beveiligings- en berichtenstandaarden aangepast om dit recordtype geschikt te maken voor geautomatiseerd gebruik. Moderne mailservers, cloudproviders en certificaatautoriteiten raadplegen TXT-records om machinaal leesbare beveiligingsbeleidsregels, cryptografische sleutels en eigendomstokens te lezen.

In tegenstelling tot adresrecords sturen TXT-records geen netwerkverkeer aan en verbinden ze gebruikers niet met een IP-adres. In plaats daarvan publiceren ze operationele metagegevens die door externe systemen worden opgevraagd en geëvalueerd. Eén domein kan zonder conflicten meerdere TXT-records publiceren onder exact dezelfde hostnaam.

Als je meer wilt weten over basiszone-records, bekijk dan onze gids over wat een DNS-record is en onze volledige lijst met soorten DNS-records.

Indeling van DNS TXT-records

In standaard DNS-zonebestanden volgt een TXT-record een vaste structuur:

example.com. 3600 IN TXT “v=spf1 include:_spf.google.com ~all”

De onderdelen van dit item werken als volgt:

• Naam (voorbeeld.com.): Het domein of subdomein waarop het record van toepassing is.
• TTL (3600): Time to live in seconden, waarmee aan de resolver-nameservers wordt aangegeven hoe lang de tekenreeks in de cache moet worden bewaard.
• Klasse (IN): Internetklasse, die door vrijwel alle configuraties in het publieke domein wordt gebruikt.
• Type (TXT): Geeft aan dat het bronrecord tekst is.
• Waarde (“v=spf1…”): De feitelijke tekstgegevens tussen aanhalingstekens.

DNS-dashboards vereenvoudigen dit vaak tot de velden ‘Host’, ‘TTL’ en ‘Waarde’. Bij het configureren van de host staat @ doorgaans voor het apex- of rootdomein, terwijl voorvoegsels zoals _dmarc, _mta-sts of selector._domainkey verwijzen naar specifieke subdomeinen. De meeste DNS-beheerdashboards voegen je apex-domein automatisch toe. Als u _dmarc.example.com in een hostveld invoert, kan dit onbedoeld leiden tot _dmarc.example.com.example.com, waardoor de resolutie mislukt.

De limiet van 255 tekens en het opsplitsen van tekenreeksen

Volgens de DNS-specificaties (RFC 1035) mag een enkele tekenreeks binnen een TXT-record niet langer zijn dan 255 octetten (tekens). Bij het publiceren van lange vermeldingen, zoals 2048-bits openbare DKIM-sleutels of gedetailleerde SPF-beleidsregels, moet u de inhoud opsplitsen in meerdere tekenreeksen tussen aanhalingstekens binnen hetzelfde record:

example.com. 3600 IN TXT “v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA0Y…” “…rest van de publieke sleutel…”

Ontvangende resolvers voegen deze aangrenzende tekenreeksen automatisch weer samen zonder witruimte toe te voegen. Splits lange waarden automatisch met onze DNS-recordsplitser.

Voorbeelden van DNS-TXT-records

Moderne internetstandaarden maken gebruik van TXT-records voor e-mailbezorging, beveiliging van de routering en identiteitscontrole. In de onderstaande tabel staan acht veelvoorkomende toepassingen vermeld:

DMARC-beleids vlaggen zoals p, rua en pct worden nader toegelicht in onze uitgebreide documentatie over DMARC-records.

Algemeen gebruik van DNS TXT-records

E-mailverificatie: SPF, DKIM, DMARC en BIMI

E-mailverificatie is vrijwel volledig afhankelijk van DNS-TXT-records om identiteitsfraude te voorkomen en de reputatie van het merk te beschermen.

Sender Policy Framework (SPF) maakt gebruik van een TXT-record dat op het hoofddomein wordt gepubliceerd om aan te geven welke mailservers en IP-adressen berichten namens u mogen verzenden. Mailverzendingsagenten raadplegen dit record tijdens het verzendproces om vervalste afzenders te detecteren en organisaties te helpen spoofing van e-mails te voorkomen.

DomainKeys Identified Mail (DKIM) publiceert cryptografische openbare sleutels op aangewezen selector-hostnamen. Ontvangende servers halen deze sleutels op om de cryptografische handtekeningen in de headers van uitgaande e-mails te verifiëren, waarmee wordt aangetoond dat berichten tijdens het verzenden niet zijn gewijzigd of vervalst. U kunt de stapsgewijze procedure voor het publiceren van sleutels bekijken in onze DKIM-installatiehandleiding handleiding.

Domain-based Message Authentication, Reporting, and Conformance (DMARC) zorgt voor afstemming tussen SPF- en DKIM-authenticatie. Het is gepubliceerd op _dmarc en geeft ontvangende e-mailproviders instructies over hoe ze met niet-geauthenticeerde berichten moeten omgaan door middel van monitoring, een quarantainebeleidof strikte afwijzing.

Aanvullende standaarden bouwen voort op deze basis. Brand Indicators for Message Identification (BIMI) koppelt aan geverifieerde merktekens die worden weergegeven in ondersteunende webmail-interfaces, terwijl MTA-STS en TLS-RPT versleutelde transporttunnels verplicht stellen en verbindingsstoringen melden.

Verificatie van domeineigendom

Webapplicaties van derden en SaaS-platforms vereisen een bewijs van domeinbeheer voordat beheerderstoegang wordt toegekend. Diensten zoals Google Workspace, Microsoft 365, Search Console en openbare certificeringsinstanties genereren tijdens de installatie unieke verificatietokens.

Door de gegenereerde tekenreeks in een Apex TXT-record te plaatsen, wordt bevestigd dat er beheerderstoegang is tot de onderliggende DNS-zone. Aangezien alleen geautoriseerde domeineigenaren DNS-zonebestanden kunnen bewerken, wordt hiermee de bevoegdheid van de tenant aangetoond zonder dat de routering van de website of de hostingconfiguraties worden gewijzigd.

Andere toepassingen

TXT-records ondersteunen ook operationele automatisering en het beheer van de levenscyclus van certificaten. Geautomatiseerde certificaatsystemen zoals Let’s Encrypt maken gebruik van _acme-challenge TXT-records voor DNS-01-validatie, waarmee domeinbeheer wordt aangetoond voordat gratis TLS-certificaten worden uitgegeven. Andere bedrijfsplatforms gebruiken TXT-tokens om webhook-bestemmingen te verifiëren, diensten van derden te routeren en administratieve notities op te slaan.

Hoe een DNS TXT Record toevoegen

Uw DNS-instellingen openen 

Log in bij uw domeinregistrar, het controlepaneel van uw hostingprovider of de aanbieder van uw cloud-DNS-beheer, waar uw gezaghebbende naamservers zich bevinden. Ga naar het dashboard voor DNS-zonebeheer van uw doeldomein.

Het record toevoegen

1. Klik op op 'Record toevoegen' en selecteer TXT in de vervolgkeuzelijst met recordtypen.
2. Voer de Gastheer of naam. Gebruik @ voor uw Apex-domein, of voer het specifieke subdomeinvoorvoegsel in (zoals _dmarc of uw DKIM-selector). Typ niet de volledige domeinnaam als uw provider deze automatisch toevoegt.
3. Plak de meegeleverde tekenreeks in het Waarde of Inhoud . Voer de waarde netjes in zonder extra aanhalingstekens toe te voegen, tenzij uw DNS-interface expliciet vereist dat de tekenreeks handmatig tussen aanhalingstekens wordt geplaatst.
4. Stel de TTL (Time to Live)in. Een waarde van 3600 (één uur) is standaard, terwijl 300 (vijf minuten) goed werkt bij het testen van nieuwe records.
5. Sla je wijzigingen op of publiceer ze.

Propagatietijd 

DNS-updates worden niet onmiddellijk wereldwijd doorgevoerd. Nameservers blijven hun in de cache opgeslagen kopie gebruiken totdat de vorige TTL is verstreken.

De meeste wijzigingen in TXT-records worden binnen enkele minuten doorgegeven aan de primaire resolvers, hoewel het, afhankelijk van de caches van de providers, tot 48 uur kan duren voordat de wijzigingen wereldwijd zijn doorgevoerd. Volg hoe wijzigingen zich verspreiden met behulp van onze DNS-verspreidingschecker, of lees meer over het gedrag van caches in onze gids over hoe lang DNS-updates duren.

Hoe DNS TXT-records controleren

Online

Door logbestanden te controleren met behulp van webtools kun je de resolutiewaarden bekijken zonder gebruik te maken van lokale terminalomgevingen. Je kunt de actuele configuratie van je domein bekijken met behulp van onze speciale TXT-recordzoekfunctie . Om alle gepubliceerde zone-records tegelijk te bekijken, kunt u uw domein opvragen via onze uitgebreide DNS-recordzoekfunctie.

Opdrachtregel

Je kunt records ook rechtstreeks vanuit de terminal van je besturingssysteem opvragen:

dig gebruiken op Linux en macOS:

dig TXT example.com +short

Om een specifiek subdomeinrecord op te vragen, zoals DMARC:

dig TXT _dmarc.example.com +short

nslookup gebruiken op Windows, macOS of Linux:

nslookup -type=TXT example.com

PowerShell gebruiken op moderne Windows-systemen:

Resolve-DnsName example.com -Type TXT

Regels voor TXT-records en veelgemaakte fouten

Hoewel DNS veel flexibiliteit biedt, gelden er toch een aantal structurele regels voor TXT-configuraties:

• Publiceer slechts één SPF-record per domein: Domeinen kunnen tientallen afzonderlijke TXT-records op de root bevatten, maar u mag nooit meer dan één SPF-record (v=spf1) publiceren. Het publiceren van meerdere SPF-records zorgt ervoor dat mailservers bij het opzoeken een SPF PermError retourneren, waardoor de authenticatie mislukt. Combineer alle verzendbronnen in één regel.
• Zorg ervoor dat het aantal DNS-lookups binnen de SPF-limiet blijft: SPF-beleidsregels mogen niet meer dan 10 DNS-lookups vereisen voor alle include-, a-, mx- en ptr-mechanismen. Houd uw lookup-gebruik binnen de limieten met behulp van onze SPF-opzoekteller.
• Tekstreeksen die langer zijn dan 255 tekens opsplitsen: Als een aaneengesloten tekenreeks meer dan 255 tekens bevat zonder onderbrekingen door aanhalingstekens, weigeren sommige DNS-providers de update of korten ze de waarde in, waardoor cryptografische DKIM-sleutels beschadigd raken.
• Vermijd typografische aanhalingstekens: Bij het kopiëren en plakken van gegevens uit tekstverwerkers of documentatiesystemen worden vaak gekrulde of slimme aanhalingstekens (“ ”). DNS-systemen vereisen gewone ASCII-aanhalingstekens (” “).
• Verouderde verificatiestrings verwijderen: Verwijder verouderde domeinverificatietokens zodra cloudproviders of softwaremigraties worden stopgezet, om zonebestanden overzichtelijk en beheersbaar te houden.

Veelgestelde Vragen

Wat is het verschil tussen een DNS TXT-record en een CNAME-record?

Een TXT-record bevat willekeurige tekstgegevens die worden gebruikt voor authenticatie, metagegevens en domeinverificatie. Een CNAME-record maakt een alias aan die de ene domeinnaam koppelt aan een andere canonieke domeinnaam, waarbij zoekopdrachten worden omgeleid in plaats van dat er rechtstreeks tekstinformatie wordt opgeslagen.

Kan een domein meerdere DNS TXT-records hebben?

Ja. Eén domein of hostnaam kan tegelijkertijd meerdere TXT-records bevatten. Zo kan je hoofddomein bijvoorbeeld een SPF-record bevatten, naast afzonderlijke verificatietokens voor Google en Microsoft. Je mag echter nooit meerdere SPF-records op dezelfde hostnaam publiceren.

Hebben TXT-records invloed op de snelheid of prestaties van een website?

Nee. Webbrowsers raadplegen A- en AAAA-adresrecords om webservers te lokaliseren en webpagina’s weer te geven. Tijdens het normale surfen op internet vragen ze geen TXT-records op en analyseren ze deze ook niet, wat betekent dat TXT-vermeldingen geen enkele invloed hebben op de laadsnelheid van websites.

Geldt er een lengtebeperking voor TXT-records?

Ja. Afzonderlijke tekenreeksen binnen een TXT-record mogen niet langer zijn dan 255 tekens. Waarden die deze limiet overschrijden, moeten binnen hetzelfde record worden opgesplitst in meerdere tekenreeksen tussen aanhalingstekens. Moderne resolvers voegen deze aangrenzende tekenreeksen automatisch weer samen tot één aaneengesloten blok zonder spaties.

Hoe kan ik controleren of een DNS-TXT-record actief is?

Je kunt controleren of een TXT-record is doorgevoerd door de hostnaam te testen in onze gratis TXT-recordzoekfunctie of door in uw opdrachtregel `dig TXT example.com +short` uit te voeren. Als de uitvoer de door u gewenste tekenreeks weergeeft, is het record actief.

Laatste woorden

DNS-TXT-records zijn uitgegroeid van eenvoudige administratieve notities tot een centraal mechanisme voor e-mailbeveiliging, identiteitsverificatie en integraties met webservices. Van het publiceren van SPF-, DKIM- en DMARC-beleidsregels tot het valideren van SSL-certificaten en bedrijfssoftwaresuites: een correcte opmaak van TXT-records beschermt uw digitale domein tegen spoofing en verkeerde configuraties.

Door voortdurend zicht te houden op uw gepubliceerde gegevens zorgt u ervoor dat beleidswijzigingen en verouderde vermeldingen de afleverbaarheid of het vertrouwen in uw merk niet ondermijnen.

Elk record op elk domein bijhouden

Mislukte controles gerangschikt op ernst, met stappen om het probleem op te lossen, waarschuwingen voor domeinen die op andere domeinen lijken, het bijhouden van de vervaldata van SSL-certificaten en domeinen, en rapporten in PDF- en CSV-formaat met uw huisstijl voor SOC 2-, ISO 27001- en PCI DSS-audits, allemaal in één dashboard.