Domain oder Link eingeben: 12 öffentliche Resolver werden gleichzeitig gefragt. Sie sehen die DNS-Einträge, was jeder Resolver gerade antwortet, und eine Check-Note für Antworten, Mail und DNSSEC.
| Typ | Wert | TTL | Resolver, die ihn zurückgeben |
|---|
Gleiche Werte sind zusammengefasst; der TTL ist die Restzeit beim jeweiligen Resolver.
Was jeder Resolver gerade antwortet
Daten: 12 öffentliche DNS-Resolver über DNS over HTTPS; Registrierungsdaten aus RDAP, die der 1ms.dog-Server abfragt, wenn ein Browser sie nicht lesen kann.
Geben Sie eine Domain ein: Neun Eintragstypen (A, AAAA, CNAME, MX, NS, TXT, CAA, SRV, SOA) werden bei 12 öffentlichen DNS-Resolvern abgefragt, jeweils per DNS over HTTPS aus Ihrem Browser. Gleiche Werte werden zusammengefasst, die Antwort jedes Resolvers steht unter Antworten der Resolver. Die Registrierungsdaten kommen von RDAP, der strukturierten Form von WHOIS.
Die Note ist die schlechtere von zwei Noten: wie einheitlich die Resolver antworten und wie es um Mail steht. Gezählt werden nur Resolver, die geantwortet haben: sagen alle von ihnen dasselbe, gibt es ein A, eine abweichende Antwort macht daraus ein B. Ein Resolver, den diese Seite nicht erreicht hat (meist liegt es an Ihrer Verbindung), zählt weder dafür noch dagegen; ein SERVFAIL oder REFUSED des Resolvers ist eine Antwort und zählt mit. Antworten weniger als die Hälfte der zwölf, gibt es keine Note. Die Mail-Note kommt aus SPF und DMARC und gilt nur, wenn die Domain einen MX hat, der Mail annimmt. Eine signierte Domain, deren DNSSEC nicht validiert, rutscht eine Stufe tiefer. CAA und IPv6 sind nur Abzeichen und ändern die Note nie.
Mit DNSSEC kann ein Resolver beweisen, dass eine Antwort wirklich von dieser Domain stammt und unterwegs nicht verändert wurde. Die Seite fragt den DS-Eintrag bei der Elternzone ab und liest das AD-Bit von Resolvern, die bekannt für Validierung sind. „Aktiv und validiert“ heißt: Die Domain ist signiert und diese Resolver bestätigen es. „Aktiv, aber die Validierung schlägt fehl“ heißt: Eine signierte Domain antwortet mit einer kaputten Kette, und prüfende Resolver lehnen sie ab. Inaktiv ist der Normalfall und kostet keine Note; fehlen Belege, schreibt die Seite, dass sie es nicht feststellen kann.
Nach einer Änderung hält jeder Resolver seine alte Kopie, bis der TTL (Lebensdauer) abläuft. Direkt danach antworten daher manche Resolver noch mit dem alten Wert, und das Panel zeigt, welche. Die Seite sieht nur, was die öffentlichen Resolver im Cache haben: Ein Browser erreicht den autoritativen Server der Domain nicht über Port 53 und kann den aktuellen Zonenstand daher nicht zeigen.
Die Abfragen gehen von Ihrem Browser direkt an jeden Resolver. In Festlandchina sind Cloudflare und Google DNS meist blockiert, einzelne andere ebenfalls, daher steht dort „keine Verbindung“. Das ist eine Aussage über den Weg, keine leere Eintragsmenge: Ein Resolver ohne Antwort zählt nie als Abweichung.
„Gleiche Antwort“ zählt die Resolver, die die häufigste Antwort geliefert haben, unter denen, die geantwortet haben. Der TTL sind die Sekunden, die dieser Resolver den Eintrag noch behalten darf; er zählt vom Zonenwert herunter und ist bei jedem Resolver anders, also keine Abweichung.
SPF wird aus den TXT-Einträgen der Domain gelesen: Die Seite sucht mehr als einen v=spf1-Eintrag, prüft den Schluss (+all, -all, ~all oder ?all) und zählt Mechanismen, die eine weitere DNS-Abfrage brauchen (include, a, mx, ptr, exists, redirect), Grenze 10. Include-Einträge werden nicht verfolgt, die Zahl ist also ein Minimum. DMARC wird aus _dmarc.<domain> gelesen: Regel p=, ob Berichte (rua) gesetzt sind, und pct.
Die Registry-Liste (RDAP) ist das, was registriert ist; die Resolver geben zurück, was die Domain tatsächlich in ihren NS-Einträgen veröffentlicht. Ein Unterschied heißt meist, dass eine Änderung noch unterwegs ist oder die Registry-Daten veraltet sind. Beide Seiten werden unverändert angezeigt.
RDAP ist der strukturierte Nachfolger von WHOIS, bereitgestellt von der Registry. Manche Registries veröffentlichen wenig, und Datenschutzdienste ersetzen die Inhaberdaten; ein fehlendes Feld wird als unbekannt angezeigt, nicht als „keins“.
RDAP wird von jeder Registry selbst angeboten, und rdap.org kennt nur die Endungen aus der Bootstrap-Datei der IANA; bei manchen Endungen gibt es RDAP, das ein Browser nicht lesen darf (DENIC für .de etwa). In beiden Fällen kann der Browser nichts lesen, also bittet die Seite den 1ms.dog-Server: Er versucht zuerst RDAP und dann WHOIS auf Port 43 der Registry (derzeit .cn, .jp, .ru, .hk); die Antwort ist auf der Seite als „vom Server abgefragt“ gekennzeichnet. Der Server gibt unverändert zurück, was die Registry veröffentlicht: Registrar, Daten, Status und Nameserver, dazu Inhaber (Organisation oder Name), E-Mail, Telefon und den DNSSEC-Status der Registry; was die Registry nicht veröffentlicht, bleibt leer — nichts wird erfunden oder verborgen; die Originalantwort steht unter „Rohdatensatz“. WHOIS für .vn antwortet nicht, dort bleibt der Link zur Registry und die Seite sagt, dass sie nicht nachsehen kann, nie, dass nichts vorhanden ist.
Jede DNS-Abfrage geht von Ihrem Browser direkt an die unter Antworten der Resolver gelisteten Resolver. Registrierungsdaten fragt zuerst der Browser ab: rdap.org oder das RDAP der Registry selbst (etwa .io). Kann der Browser sie nicht lesen — die Registry sendet keinen CORS-Header, oder die Endung hat kein RDAP — fragt die Seite stattdessen den 1ms.dog-Server: erst RDAP, dann WHOIS auf Port 43 der Registry, und die Antwort ist als „vom Server abgefragt“ gekennzeichnet. Ihre IP und Ihre Abfragen protokollieren wir nicht. Ein geteilter Link enthält die öffentlichen Einträge der Domain selbst und die angezeigten Registrierungsdaten, nie Ihre IP.
Ein geteiltes Ergebnis ist ein Schnappschuss: Es zeigt, was die Resolver zu diesem Zeitpunkt zurückgegeben haben, damit zwei Personen dieselben Daten vergleichen. Tippen Sie auf „Meines abfragen“, um neu zu fragen.
Die Tests starten in deinem Browser. Kein Konto, und deine Ergebnisse werden nicht gespeichert.
310.000+ Besuche© 2026 1ms.dog
