Je e-mails komen steeds in spam terecht en je snapt niet waarom. Je hebt SPF, DKIM en DMARC ingesteld via je TXT-records voor e-mailbeveiliging en alles lijkt goed. Maar er is nog één ding dat ontvangende servers controleren voordat ze je berichten vertrouwen. Ze doen een reverse DNS-lookup op het IP-adres waarvandaan de e-mail is verstuurd. Geeft die lookup geen overeenkomende domeinnaam terug, dan wordt de e-mail gemarkeerd. Het record dat voor die lookup verantwoordelijk is, heet een PTR-record.
Wat is een PTR-record?
PTR staat voor Pointer. Een PTR-record koppelt een IP-adres terug aan een domeinnaam. Het is het omgekeerde van een A-record. Waar een A-record zegt "deze domeinnaam wijst naar dit IP-adres", zegt een PTR-record "dit IP-adres hoort bij deze domeinnaam".
Zie het als een telefoonboek. Bij een A-record zoek je iemands telefoonnummer op via zijn naam. Bij een PTR-record zoek je iemands naam op via zijn telefoonnummer. Beide records verbinden dezelfde twee gegevens, alleen in tegengestelde richting.
PTR-records staan in een speciale zone van het DNS-systeem die is bedoeld voor reverse lookups. Voor IPv4-adressen staat die zone onder het domein in-addr.arpa. Voor IPv6-adressen staat ze onder ip6.arpa. Je hoeft dat niet te onthouden. Het gaat erom dat PTR-records op een andere plek staan dan je andere DNS-records, en daarom werkt het instellen ervan anders.
Wat is een reverse DNS-lookup?
Een reverse DNS-lookup is het proces waarbij je een IP-adres neemt en de bijbehorende domeinnaam zoekt. Ontvangt een mailserver een e-mail van IP-adres 203.0.113.25, dan vraagt hij het DNS-systeem "welke domeinnaam hoort bij dit IP?" Het DNS-systeem kijkt in het PTR-record voor dat IP en geeft het antwoord terug.
Bestaat er een PTR-record en komt de domeinnaam die het teruggeeft overeen met de server die de e-mail heeft verstuurd, dan slaagt de lookup. Is er geen PTR-record, of komt de domeinnaam niet overeen, dan heeft de ontvangende server een reden om argwanend te zijn.
De term "reverse" is logisch als je het vergelijkt met een gewone DNS-lookup. Een gewone lookup gaat van domeinnaam naar IP-adres (vooruit). Een reverse lookup gaat van IP-adres naar domeinnaam (achteruit). Meer betekent het niet.
Waarom zijn PTR-records belangrijk voor e-mail?
E-mailservers gebruiken PTR-records als een van hun eerste controles om te bepalen of ze een binnenkomend bericht accepteren. De logica is simpel. Legitieme afzenders hebben PTR-records ingesteld voor de IP-adressen waarvandaan ze versturen. Spammers vaak niet.
Dit gebeurt er als je een e-mail verstuurt.
- Je mailserver maakt verbinding met de ontvangende mailserver vanaf een specifiek IP-adres
- De ontvangende server neemt dat IP-adres en voert een reverse DNS-lookup uit
- Hij controleert of er een PTR-record bestaat voor dat IP
- Bestaat er een PTR-record, dan controleert hij of de domeinnaam in het PTR-record overeenkomt met het domein in de e-mailheaders
- Komt alles overeen, dan slaagt de e-mail voor deze controle en gaat hij door naar de SPF-, DKIM- en DMARC-verificatie
Is er helemaal geen PTR-record, dan weigeren veel ontvangende servers de e-mail meteen of sturen ze hem naar spam. Sommige van de grootste e-mailaanbieders zijn hier streng in. Geen PTR-record betekent geen vertrouwen.
Daarom worden PTR-records soms de eerste verdedigingslinie voor e-mailreputatie genoemd. Ze staan helemaal aan het begin van de verificatieketen, voordat alle andere controles zelfs maar draaien.
Wie stelt een PTR-record in?
Hierin verschillen PTR-records van elk ander DNS-record waar je mee hebt gewerkt. Je voegt een PTR-record niet zelf toe. Je hostingaanbieder of e-maildienstverlener stelt het voor je in.
De reden is eenvoudig. PTR-records zijn gekoppeld aan IP-adressen, niet aan domeinnamen. De organisatie die het IP-adresblok bezit, beheert de reverse DNS-zone voor die adressen. Dat is je hostingaanbieder, je cloudserveraanbieder of je gespecialiseerde e-mailverzenddienst.
Voor de meeste merken betekent dit een van twee dingen.
- Gebruik je shared hosting, dan heeft je hostingaanbieder al PTR-records ingesteld voor de gedeelde IP-adressen op zijn servers. Je hoeft niets te doen
- Heb je een dedicated IP-adres (gebruikelijk bij VPS-hosting of dedicated servers), dan moet je je aanbieder misschien vragen een PTR-record voor je IP aan te maken. De meeste aanbieders hebben hiervoor een formulier of supportoptie
Dit is een belangrijk onderscheid. Je kunt niet naar je domeinregistrar gaan en een PTR-record toevoegen zoals je een A-record of CNAME-record toevoegt. Zo werkt het niet. Het PTR-record staat in de reverse DNS-zone, die je hostingaanbieder beheert.
Hoe controleer je of je een PTR-record hebt?
Controleren is simpel. Je moet weten vanaf welk IP-adres je e-mails worden verstuurd en doet dan een reverse DNS-lookup op dat IP.
Dat kan op een paar manieren.
- Gebruik een online reverse DNS-lookuptool. Voer je IP-adres in en de tool vertelt of er een PTR-record bestaat en welke domeinnaam het teruggeeft
- Op een computer met een opdrachtregel kun je "nslookup" typen, gevolgd door je IP-adres. Het resultaat toont het PTR-record als dat bestaat
- Bekijk de e-mailheaders van een bericht dat je hebt verstuurd. De meeste e-mailheaders bevatten het resultaat van de reverse DNS-lookup, aangeduid als rDNS of PTR
Geeft de lookup je domeinnaam terug, dan ben je klaar. Geeft hij niets terug, of een generieke hostnaam die eruitziet als een reeks cijfers en letters van je hostingaanbieder, dan moet je een goed PTR-record laten instellen.
Hoe vraag je een PTR-record aan bij je hostingaanbieder?
Het proces hangt af van je aanbieder, maar volgt meestal hetzelfde patroon.
- Zoek het IP-adres waarvandaan je server of e-maildienst verstuurt
- Bepaal naar welke domeinnaam het PTR-record moet verwijzen. Dit moet overeenkomen met de hostnaam waarmee je mailserver zich bekendmaakt bij het versturen van e-mail
- Neem contact op met je hostingaanbieder of gebruik zijn controlepaneel om een reverse DNS-vermelding (rDNS) voor dat IP-adres aan te vragen
- Wacht tot de wijziging van kracht is. Updates van PTR-records kunnen een paar uur nodig hebben om te propageren
Bij sommige cloudhostingaanbieders stel je dit direct in via je serverinstellingen. Bij andere heb je een supportticket nodig. In beide gevallen is het meestal snel gedaan zodra je weet waar je om moet vragen.
PTR-records en A-records moeten overeenkomen
Om alles goed te laten werken moeten je forward en reverse DNS het met elkaar eens zijn. Dit heet forward-confirmed reverse DNS, of FCrDNS.
Zo ziet dat er in de praktijk uit.
- Je A-record zegt "mail.jouwdomein.com wijst naar 203.0.113.25"
- Je PTR-record zegt "203.0.113.25 wijst terug naar mail.jouwdomein.com"
Als beide records naar elkaar wijzen, bevestigen de forward en reverse lookups elkaar. Dit is de ideale opzet, en veel mailservers controleren op precies deze overeenkomst. Wijst je A-record naar het ene IP maar geeft het PTR-record van dat IP een andere domeinnaam terug (of helemaal geen), dan mislukt de verificatie.
Zie het als een wederzijdse kennismaking. Je domein zegt "mijn adres is dit IP". Het IP zegt "ik hoor bij dit domein". Komen de verhalen overeen, dan is vertrouwen gewonnen. Spreken ze elkaar tegen, dan klopt er iets niet.
Wat gebeurt er zonder PTR-record?
Zonder PTR-record gaan de gevolgen vooral over e-mail. Je website laadt nog gewoon. Je DNS wordt nog gewoon omgezet. Maar je e-mailreputatie krijgt een knauw.
Dit kun je verwachten.
- E-mails vanaf je server komen vaker in spamfolders terecht
- Sommige ontvangende mailservers weigeren je e-mails helemaal en sturen een bouncebericht terug
- Tools om e-mailbezorging te testen markeren het ontbrekende PTR-record als probleem
- Je score voor afzenderreputatie daalt, wat invloed heeft op alle toekomstige e-mails vanaf dat IP
Het frustrerende is dat een ontbrekend PTR-record onzichtbaar is als je niet weet waar je moet kijken. Je ziet geen fout in je e-mailprogramma. Je krijgt geen waarschuwing als je op verzenden klikt. Je merkt alleen dat je e-mails niet aankomen, en als je niet weet dat je op een PTR-record moet controleren, kun je uren besteden aan het oplossen van het verkeerde probleem.
Veelvoorkomende misvattingen over PTR-records
Een paar dingen waar mensen over struikelen.
- Je kunt geen PTR-record toevoegen bij je domeinregistrar. Dit is de meest voorkomende misvatting. PTR-records zijn gekoppeld aan IP-adressen, niet aan domeinnamen. Je registrar beheert de DNS-zone van je domein. Je hostingaanbieder beheert de reverse DNS-zone voor zijn IP-adressen. Dat zijn twee aparte systemen
- PTR-records zijn niet alleen voor mailservers. E-mail is het meest voorkomende gebruik, maar PTR-records worden ook gebruikt voor netwerkproblemen oplossen, logging en beveiligingsaudits. Elke keer dat een systeem moet bepalen wie een IP-adres bezit, gebruikt het een reverse DNS-lookup
- Een PTR-record garandeert geen e-mailbezorging. Het is een factor tussen vele. Je hebt nog steeds SPF, DKIM en DMARC nodig via je TXT-records. Je hebt nog steeds een goede afzenderreputatie nodig. Maar zonder PTR-record krijgen de andere controles misschien niet eens de kans te draaien
- Shared hosting heeft meestal al PTR-records. Zit je op shared hosting, dan heeft je aanbieder waarschijnlijk PTR-records voor het gedeelde IP ingesteld. Je hoeft je hier alleen zorgen over te maken als je een eigen dedicated IP-adres hebt
Zo regelt WEMASY PTR-records
WEMASY beheert de hostinginfrastructuur voor elke website die op het platform is gebouwd. Dat omvat de DNS-configuratie, SSL-certificaten en serverinstellingen. PTR-records voor de mail- en hostingservers van WEMASY worden op infrastructuurniveau ingesteld, dus je hoeft zelf niets in te stellen.
Gebruik je WEMASY voor e-mailforwarding of koppel je een eigen e-mail via je domein, dan worden de MX-records en bijbehorende DNS-vermeldingen geregeld via de domeinkoppeling van het platform. Voor merken die een aparte e-mailverzenddienst gebruiken, stel je het PTR-record in bij de hostingaanbieder van die dienst, niet via WEMASY. Bekijk wat er in elk abonnement zit op de prijzenpagina van WEMASY.
Hoe nu verder
Nu je begrijpt hoe PTR-records werken voor reverse DNS en e-mailverificatie, behandelt het volgende hoofdstuk het CAA-record. Een CAA-record bepaalt welke certificeringsinstanties SSL-certificaten voor je domein mogen uitgeven en voegt een extra beveiligingslaag toe aan je DNS-opzet. Voor een overzicht van alle recordtypen en wanneer je welk gebruikt, lees je het hoofdstuk over DNS-recordtypen.
Veelgestelde vragen
Kun je meer dan één PTR-record voor hetzelfde IP-adres hebben?
Technisch gezien wel, maar het wordt niet aanbevolen. De DNS-standaard staat meerdere PTR-records voor één IP toe, maar de meeste mailservers lezen alleen het eerste resultaat. Meer dan één kan onvoorspelbaar gedrag veroorzaken bij reverse DNS-lookups. De best practice is één PTR-record per IP-adres, dat naar de primaire hostnaam van die server wijst. Met de websitebouwer van WEMASY stel je dit direct op je website in.
Hoe lang duurt het voordat een PTR-recordwijziging van kracht is?
Wijzigingen van PTR-records propageren meestal binnen een paar uur, vergelijkbaar met andere DNS-wijzigingen. De exacte tijd hangt af van de TTL-waarde die je hostingaanbieder heeft ingesteld en hoe snel DNS-caches op internet verlopen. In de meeste gevallen zie je de update binnen 4 tot 24 uur terug.
Beïnvloeden PTR-records de laadsnelheid van je website?
Nee. PTR-records hebben geen invloed op hoe snel je website laadt. Ze worden alleen gebruikt voor reverse DNS-lookups, die plaatsvinden als een systeem de eigenaar van een IP-adres wil bepalen. De browsers van je websitebezoekers doen forward DNS-lookups (met A-records en CNAME-records), geen reverse lookups. PTR-records zijn relevant voor e-mailbezorging en netwerkdiagnostiek, niet voor surfen op het web.
Wat is het verschil tussen een PTR-record en een A-record?
Ze zijn elkaars spiegelbeeld. Een A-record neemt een domeinnaam en geeft een IP-adres terug (forward lookup). Een PTR-record neemt een IP-adres en geeft een domeinnaam terug (reverse lookup). Een A-record beheer je in de DNS-zone van je domein bij je registrar of DNS-aanbieder. Een PTR-record wordt beheerd in de reverse DNS-zone door wie het IP-adresblok bezit, meestal je hostingaanbieder.
Heb je een PTR-record nodig als je alleen een website hebt en geen e-mail verstuurt?
Voor alleen een website is een PTR-record niet nodig. Je site laadt en werkt normaal zonder. PTR-records worden belangrijk als je e-mail verstuurt vanaf een server die bij je domein hoort. Gebruik je een e-maildienst van een derde die namens jou verstuurt, dan beheert die aanbieder het PTR-record voor zijn verzend-IP's. Je hoeft alleen aan PTR-records te denken als je de server beheert die je e-mail verstuurt.