So funktioniert es
Geben Sie einen Domainnamen ein, fügen Sie eine vollständige URL oder E-Mail-Adresse ein oder tippen Sie eine IPv4-/IPv6-Adresse. Zuerst wird der Host herausgelöst; internationale Domainnamen werden für die Abfrage in Punycode umgewandelt und zusätzlich lesbar in Unicode angezeigt. Anschließend wird jeder gewählte Eintragstyp bei einem öffentlichen DNS-over-HTTPS-Resolver abgefragt, und die Antworten werden nach Typ gruppiert – mit TTL, Antwortstatus und DNSSEC-Ergebnis.
example.com → A · AAAA · CNAME · MX · NS · TXT · SOA · CAA | 8.8.8.8 → 8.8.8.8.in-addr.arpa (PTR)
Eintragstypen
- A / AAAA: die IPv4- und IPv6-Adressen des Namens.
- CNAME: ein Alias, der auf einen anderen Namen zeigt.
- MX: Mailserver. Der Server mit der niedrigsten Prioritätszahl wird zuerst verwendet.
- NS / SOA: die Nameserver der Zone und ihr Start of Authority: primärer Server, Admin-E-Mail, Seriennummer und Aktualisierungsintervalle.
- TXT: freier Text, genutzt für SPF, DMARC, DKIM und Inhaberschaftsnachweise. Aufgeteilte Zeichenketten werden automatisch zusammengefügt.
- CAA: welche Zertifizierungsstellen TLS-Zertifikate für die Domain ausstellen dürfen.
- SRV: Dienstort mit Priorität, Gewichtung, Port und Zielhost.
- PTR: Rückwärtsauflösung von einer IP-Adresse zu einem Hostnamen über in-addr.arpa bzw. ip6.arpa.
- HTTPS: Verbindungshinweise wie unterstützte Protokolle (alpn, z. B. HTTP/3) und IP-Hinweise.
- DS / DNSKEY: öffentliche DNSSEC-Schlüssel und der Delegation Signer, der sie mit der übergeordneten Zone verknüpft. Die Key-Tags werden berechnet, sodass Sie DS und Schlüssel zuordnen können.
Schnellchecks
Bei Domainnamen werden fünf grundlegende Prüfungen als Badges angezeigt. Eine Warnung ist nicht immer ein Fehler, aber einen Blick wert.
- SPF: ein TXT-Eintrag, der mit v=spf1 beginnt und festlegt, wer im Namen der Domain Mails versenden darf. Mehr als ein SPF-Eintrag ist ein Fehler.
- DMARC: ein TXT-Eintrag unter _dmarc.<Domain>, der Empfängern sagt, wie sie mit Mails umgehen sollen, die SPF/DKIM nicht bestehen (p=none, quarantine oder reject).
- CAA: beschränkt, welche Zertifizierungsstellen Zertifikate ausstellen dürfen. Übergeordnete Domains werden mitgeprüft, weil CAA vererbt wird.
- IPv6: ein AAAA-Eintrag bedeutet, dass der Name über IPv6 erreichbar ist.
- DNSSEC: das AD-Flag bedeutet, dass der Resolver die Signaturen der Antwort geprüft hat.
Resolver vergleichen
„Beide vergleichen“ schickt dieselben Abfragen an Cloudflare und Google und hebt Einträge hervor, die nur einer der beiden geliefert hat. Unterschiedliche A/AAAA-Antworten sind bei CDNs und geografischem Load Balancing oft normal; eine abweichende SOA-Seriennummer oder fehlende Einträge können dagegen bedeuten, dass sich eine Änderung noch verbreitet. TTLs laufen im Cache jedes Resolvers getrennt ab und gelten daher nicht als Unterschied.
Datenschutz
Abfragen gehen direkt von Ihrem Browser an den gewählten Resolver – nur wenn Sie auf „Abfragen“ klicken oder einen geteilten Link mit q= öffnen. Dazwischen liegt kein Server von beancuit, und es wird nichts gespeichert. Ein geteilter Link enthält die Domain und die gewählten Eintragstypen.
Standards und Quellen
- DNS: RFC 1034 und RFC 1035; Rückwärtsauflösung über in-addr.arpa und ip6.arpa (RFC 3596)
- DNS over HTTPS (RFC 8484), JSON-API von Cloudflare 1.1.1.1 und Google Public DNS
- SPF RFC 7208, DKIM RFC 6376, DMARC RFC 7489
- CAA RFC 8659, SRV RFC 2782, HTTPS/SVCB RFC 9460
- DNSSEC RFC 4033–4035 (Key-Tag: RFC 4034, Anhang B)
Zuletzt geprüft am 12. Oktober 2026
Häufige Fragen
Was kann ich abfragen?
Einen Domainnamen, eine vollständige URL, eine E-Mail-Adresse oder eine IP-Adresse. Bei URLs und E-Mail-Adressen wird der Host automatisch herausgelöst, bei einer IP-Adresse wird der PTR-Eintrag (Rückwärtsauflösung) abgefragt. Zur Wahl stehen 13 Typen: A, AAAA, CNAME, MX, NS, TXT, SOA, CAA, SRV, PTR, HTTPS, DS und DNSKEY.
Warum zeigen Cloudflare und Google unterschiedliche Ergebnisse?
Jeder Resolver hat seinen eigenen Cache und erreicht unter Umständen einen anderen Server. Websites hinter einem CDN oder mit geografischem Load Balancing liefern je nach Standort andere IP-Adressen, und kurz nach einer Änderung kann ein Resolver noch den alten Eintrag halten, bis dessen TTL abläuft. Mit „Beide vergleichen“ werden die Unterschiede hervorgehoben.
Was bedeuten NXDOMAIN und SERVFAIL?
NXDOMAIN heißt, dass der Name im DNS nicht existiert – meist ein Tippfehler oder eine nicht registrierte Domain. SERVFAIL heißt, dass der Resolver keine gültige Antwort erhalten hat, oft weil die Nameserver nicht erreichbar sind oder die DNSSEC-Validierung fehlschlug. NOERROR ohne Einträge bedeutet: Der Name existiert, hat aber keinen Eintrag dieses Typs.
Was bedeutet das DNSSEC-Flag AD?
AD (Authenticated Data) bedeutet, dass der Resolver die DNSSEC-Signaturen der Antwort geprüft hat und sie gültig sind. Fehlt es, ist die Zone wahrscheinlich nicht signiert oder in der übergeordneten Zone gibt es keinen DS-Eintrag.
Warum ist meine DNS-Änderung noch nicht sichtbar?
Resolver speichern jede Antwort für die Dauer ihrer TTL. Hatte ein Eintrag eine TTL von 3600, kann der alte Wert nach der Änderung noch bis zu einer Stunde in Caches liegen. Die TTL-Spalte zeigt, wie lange die aktuelle Antwort noch zwischengespeichert wird.
Wird meine Abfrage irgendwohin gesendet?
Nur wenn Sie auf „Abfragen“ klicken oder einen geteilten Link mit q= öffnen – und nur an den gewählten Resolver (Cloudflare oder Google). Die Anfrage geht direkt von Ihrem Browser aus; beancuit sieht und speichert sie nicht.