Ein HTTPS-Record beschreibt, wie eine Website erreicht werden kann. Es ist die spezialisierte Variante des SVCB für das Web. Er kann ein Ziel angeben und Parameter wie Protokolle, Port und ECH-Daten ankündigen. Browser verwenden ihn zur Auswahl der besten Verbindung.
Ein HTTPS-Record enthält einen Namen, einen Typ, eine Priorität, ein Ziel, Parameter und eine TTL. Die TTL gibt an, wie lange die Antwort im lokalen Resolver zwischengespeichert bleibt.
| Name | Typ | Priorität | Ziel | Parameter | TTL in Sekunden |
|---|
| test.captaindns.com | HTTPS | 1 | cdn.beispiel.net. | alpn=h3,h2 port=443 ipv4hint=203.0.113.10 | 3600 |
In diesem Beispiel zielt der Name auf die Website ab. Das Ziel ist ein anderer Hostname. Die Parameter geben die Protokolle, den Port und eine Fallback-Adresse an. Eine TTL von 3600 entspricht einer Stunde.
Die Priorität null aktiviert den Alias-Modus. Der Name verhält sich dann wie ein Alias zum Ziel.
| Name | Typ | Priorität | Ziel | Parameter | TTL in Sekunden |
|---|
| captaindns.com | HTTPS | 0 | cdn.beispiel.net. | (keine Parameter) | 3600 |
Dieser Modus dient dazu, auf eine andere Zone zu zielen, während man am Apex konform bleibt, wo ein CNAME nicht erwünscht ist.
| Parametername | Rolle |
|---|
| alpn | Kündigt Protokolle wie h2 oder h3 an |
| port | Gibt den Port des Dienstes an |
| ipv4hint | Liefert indikative v4-Adressen |
| ipv6hint | Liefert indikative v6-Adressen |
| ech | Veröffentlicht ECH-Daten zur Verschlüsselung des ClientHello |
Diese Parameter leiten den Client. Sie ersetzen nicht die A- und AAAA-Einträge, die weiterhin die Adressquelle bleiben.
Eine kurze TTL macht eine Änderung sichtbarer. Praktisch während eines Übergangs.
Eine mittlere oder lange TTL reduziert die Anfragen an die autoritativen Server. Geeignet für einen stabilen Dienst.
TTL einige Stunden vor einer Umstellung reduzieren, dann nach Validierung wieder erhöhen.
Gut zu wissen
Clients, die HTTPS-Records nicht verstehen, verwenden A und AAAA. Das Veröffentlichen von HTTPS beseitigt nicht die Notwendigkeit, diese Adressen beizubehalten.
Auf www zur Ankündigung von h3 oder einem Verbreitungsziel. Am Apex im Alias-Modus, um auf einen Namen zu zielen und dabei konform zu bleiben. Auf einer Anwendungs-Subdomain, wenn der Webdienst dort residiert.
HTTPS kann mit A und AAAA koexistieren. Browser wählen IPv6, wenn möglich, und fallen auf IPv4 zurück, wenn nötig.
Zu vermeiden
HTTPS ohne A oder AAAA am Ziel zu veröffentlichen.
Mehrere Ziele ohne Grund zu verketten.
Parameter zu deklarieren, die nicht dem tatsächlichen Dienst entsprechen.
Ein Online-DNS-Lookup ermöglicht die Eingabe eines Namens. Man sieht die Priorität, das Ziel, die Parameter und die TTL, wie sie vom Internet aus wahrgenommen werden. Das ist eine nützliche erste Kontrolle. Anschließend einen lokalen Test von der eigenen Maschine durchführen.
Windows stellt nslookup zur Verfügung. Man kann es im interaktiven Modus verwenden.
nslookup set q=https beispiel.com
nslookup
set q=https
server 1.1.1.1
beispiel.com
Der erste Teil fragt entsprechend der Netzwerkkonfiguration der Maschine ab. Der zweite erzwingt die Verwendung eines Drittanbieters-Resolvers, hier den von Cloudflare.
Auf diesen Systemen ist der Befehl dig praktisch und einfach zu verwenden.
dig HTTPS beispiel.com
dig HTTPS beispiel.com @1.1.1.1
Eine Priorität von null zeigt einen Alias an. Ein Wert größer als null beschreibt einen Dienst mit Parametern.
Das Vorhandensein von alpn leitet die Wahl zwischen h3 oder h2. Die Felder ipv4hint und ipv6hint sind nur Hinweise.
Eine hohe verbleibende TTL kann eine Verzögerung nach einer Änderung erklären.
- Das Ziel wählen. Alias am Apex oder Veröffentlichung von Parametern auf
www. - Die TTL vor der Einrichtung auf 300 oder sogar 60 Sekunden reduzieren.
- Den HTTPS-Eintrag mit der gewählten Priorität, dem Ziel und den Parametern veröffentlichen.
- Mit nslookup oder dem dig-Befehl von mehreren Netzwerken aus überprüfen.
- Die TTL erhöhen, wenn alles stabil ist.
Praktischer Tipp
Die Priorität, das Ziel und jeden Parameter dokumentieren. Datum und Grund der Änderung festhalten. Diese Spur erleichtert die Kontrollen.
alpn h3 auf www veröffentlichen. h2 für Kompatibilität behalten.
Alias-Modus verwenden, um auf den vom Dienst bereitgestellten Namen zu zielen. A und AAAA am Ziel behalten.
ech veröffentlichen, wenn die Plattform es anbietet. Unterstützung browser-seitig überprüfen.
- Wenn die Website nicht von h3 profitiert, das Vorhandensein von alpn und die server-seitige Unterstützung überprüfen.
- Wenn Clients HTTPS ignorieren, A und AAAA am Ziel überprüfen.
- Wenn eine Schleife auftritt, überprüfen, dass das Ziel nicht auf den ursprünglichen Namen zurückverweist.
- Wenn die Antwort trotz Aktualisierung veraltet bleibt, das Ablaufen der TTL abwarten und wenn möglich den Cache des lokalen Resolvers leeren.
Zusammengefasst kündigt ein HTTPS-Eintrag die optimale Weise an, eine Website zu erreichen. Er kann als kontrollierter Alias dienen und nützliche Parameter wie alpn, port und ech veröffentlichen. Eine gut eingestellte TTL erleichtert Übergänge. Die Überprüfung erfolgt über ein Online-Tool, dann über nslookup und dig.
Mit diesen Anhaltspunkten bleibt die Verwaltung klar. Änderungen laufen stressfrei ab. Benutzer greifen ohne Zwischenfälle auf die Website zu.