DNS over HTTPS (DoH) is een manier om DNS-opvragingen te versleutelen via het HTTPS-protocol, zodat niemand onderweg kan meelezen welke domeinnamen je bezoekt. Voor ondernemers en websitebeheerders betekent dit meer privacy voor bezoekers, maar ook aandacht nodig bij DNS-wijzigingen, caching en troubleshooting. Hieronder lees je hoe DoH werkt, waarom het ertoe doet en wat je in de praktijk moet controleren.
Wat is DNS over HTTPS
Normaal gesproken stuurt een apparaat DNS-vragen (‘waar is tandata.io?’) onversleuteld naar een DNS-server. Iedereen die het netwerkverkeer kan zien — een internetprovider, een beheerder van openbaar wifi, of een kwaadwillende op hetzelfde netwerk — kan dan zien welke domeinen worden opgevraagd. DNS over HTTPS stopt die opvraging in een versleutelde HTTPS-verbinding, net zoals je browser al doet voor het laden van een website zelf.
Het resultaat: de inhoud van de DNS-vraag is onzichtbaar voor tussenliggende partijen. Alleen de DoH-server waarmee verbinding wordt gemaakt (bijvoorbeeld die van een browser of besturingssysteem) ziet welk domein wordt opgevraagd. Dit is een ander mechanisme dan DNSSEC, dat de echtheid van DNS-antwoorden waarborgt maar niets versleutelt.
Waarom DoH belangrijk is voor ondernemers
Voor een webshop of zakelijke website speelt DNS op de achtergrond, maar de betrouwbaarheid ervan bepaalt direct of klanten je site en e-mail kunnen bereiken. DoH verandert niet hoe jouw domein en DNS-records zijn ingericht, maar het verandert wel hoe bezoekers die records opvragen: via de browser of het besturingssysteem in plaats van via de DNS-server van de internetprovider.
Dat heeft twee praktische gevolgen. Ten eerste kan content-filtering of monitoring op netwerkniveau (bijvoorbeeld bij bedrijven of scholen) minder goed werken, omdat DNS-verkeer niet meer zichtbaar is voor de netwerkbeheerder. Ten tweede kan het oplossen van DNS-problemen net iets anders verlopen, omdat niet elk apparaat dezelfde DNS-server gebruikt om een domein op te zoeken.
Voor de meeste bezoekers van je website merk je niets: ze krijgen gewoon de juiste pagina te zien, alleen privater. Voor jou als beheerder is het vooral belangrijk om te weten dat DNS-wijzigingen, zoals het aanpassen van een A-record of MX-record, niet overal even snel zichtbaar worden omdat verschillende DoH-providers hun eigen caching toepassen.
Gevolgen voor beheer en troubleshooting
Bij het beheren van domeinnamen en e-mail is het goed om te beseffen dat ‘dns flushen’ op je eigen pc niet altijd helpt als de browser een eigen DoH-resolver gebruikt die los staat van het besturingssysteem. Chrome en Firefox hebben bijvoorbeeld eigen instellingen voor DoH, die afwijken van wat op netwerkniveau is ingesteld.
Dit is vooral relevant bij het verifiëren van e-mailrecords zoals SPF, DKIM en DMARC, en bij het controleren van een internet.nl-score voor je zakelijke e-mail. Als je twijfelt of een wijziging al actief is, controleer dan met een los DNS-lookup-hulpmiddel in plaats van alleen te vertrouwen op wat je browser laat zien.
Ook bij het overstappen naar een nieuwe hostingpartij is dit relevant: tijdens de overgangsperiode van DNS-records kunnen bezoekers via verschillende resolvers tijdelijk nog de oude of al de nieuwe server zien. Een rustige, geplande overstap met voldoende lage TTL-waarden voorkomt verwarring.
Controleer je huidige DNS-instellingen
Bekijk je A-, MX- en TXT-records in het beheerpaneel van je domeinnaam of hostingprovider voordat je iets wijzigt.
Verlaag de TTL voor een wijziging
Zet de TTL-waarde tijdelijk laag zodat aanpassingen sneller doorkomen bij verschillende resolvers, inclusief DoH-providers.
Voer de wijziging door
Pas het record aan in Plesk of je domeinbeheer en noteer het tijdstip van de wijziging.
Test via meerdere netwerken
Controleer het resultaat vanaf een ander wifi-netwerk, mobiele data en eventueel een los DNS-lookup-hulpmiddel.
Zet de TTL terug naar normaal
Verhoog de TTL weer zodra je zeker weet dat de wijziging overal zichtbaar is.
Wat je concreet moet doen
Als eigenaar van een website of webshop hoef je DoH zelf niet te configureren; dat gebeurt aan de kant van de browser of het besturingssysteem van je bezoekers. Wat wel in jouw hand ligt, is zorgen dat je eigen DNS-records correct en up-to-date zijn, en dat je weet hoe je wijzigingen moet testen zodra DoH in het spel is.
Zorg dat je domeinnamen, A-records en MX-records overzichtelijk beheerd worden op één plek. In Plesk, het controlepaneel dat bij webhosting wordt gebruikt, vind je deze instellingen onder het DNS-beheer van je domein. Combineer dit met een correcte configuratie van je zakelijke e-mail, inclusief SPF, DKIM en DMARC, zodat je e-mail goed scoort op internet.nl, ongeacht via welke resolver een ontvangende mailserver de records opvraagt.
Heb je twijfels over je huidige DNS-opzet of wil je overstappen naar een partij die dit voor je overzichtelijk houdt, bekijk dan de mogelijkheden voor overstappen naar Tandata of raadpleeg de kennisbank voor stapsgewijze uitleg over DNS-beheer.
Veelgestelde vragen
Moet ik DoH zelf inschakelen op mijn server?
Nee, DoH is iets dat aan de kant van de bezoeker (browser of besturingssysteem) wordt gebruikt om DNS-vragen te versleutelen. Als websitebeheerder hoef je hier niets voor te configureren.
Werkt DoH samen met DNSSEC?
Ja, het zijn complementaire technieken. DNSSEC waarborgt dat een DNS-antwoord echt en onvervalst is, terwijl DoH de opvraging zelf versleutelt zodat niemand onderweg kan meelezen.
Waarom zie ik een DNS-wijziging niet meteen bij een bezoeker?
Dit komt vaak door caching op basis van de TTL-waarde van het record, gecombineerd met het feit dat een DoH-resolver los kan cachen van de lokale internetprovider.
Heeft DoH invloed op mijn e-mail of internet.nl-score?
Niet rechtstreeks. Zorg wel dat SPF, DKIM en DMARC correct zijn ingesteld, zodat ontvangende mailservers, ongeacht de gebruikte resolver, je e-mail goed kunnen verifiëren.
Kan ik controleren of mijn DNS-records overal correct worden opgevraagd?
Gebruik een onafhankelijk DNS-lookup-hulpmiddel en test vanaf verschillende netwerken en apparaten om zeker te weten dat een wijziging overal is doorgevoerd.
Conclusie
DNS over HTTPS versleutelt DNS-opvragingen en verbetert de privacy van bezoekers, zonder dat je als websitebeheerder iets aan je eigen DNS-configuratie hoeft te wijzigen. Belangrijk is wel dat je weet hoe caching en resolvers werken, zodat je DNS-wijzigingen voor je webhosting, domeinnamen en zakelijke e-mail goed test voordat je ervan uitgaat dat ze overal zichtbaar zijn.