Wie lange die DNS-Propagation dauert und wie Sie sie prüfen

Wenn ein Browser example.com aufrufen will, fragt er einen rekursiven Resolver: den Ihres Internetanbieters, den Ihrer Firma oder einen öffentlichen wie Google oder Cloudflare. Der Resolver fragt die autoritativen Nameserver der Domain und speichert die Antwort so lange zwischen, wie die TTL (Time to Live) des Eintrags es erlaubt. Bis diese Kopie abläuft, liefert er weiter die alte Antwort aus, egal wie kurz Ihre Änderung zurückliegt.

„Propagation“ bedeutet also nur, dass Tausende Caches zu unterschiedlichen Zeiten ablaufen. Ein Resolver, der Ihre Domain eine Sekunde vor der Änderung abgefragt hat, behält die alte Antwort eine volle TTL lang. Einer, der sie nie abgefragt hat, bekommt sofort die neue Antwort. Deshalb sieht ein Bekannter schon die neue Website, während Sie noch die alte sehen.

Die überall genannten „24 bis 48 Stunden“ stammen von Nameserver-Wechseln und aus der Zeit, als lange TTLs üblich waren. Bei einer Änderung eines A-Records mit 300 Sekunden TTL sieht fast jeder den neuen Server innerhalb von Minuten.

• Sie haben die TTL zu spät gesenkt. Eine niedrigere TTL hilft erst, wenn die alte, lange TTL aus den Caches abgelaufen ist. Senken Sie sie einen Tag vorher: siehe TTL vor einem Website-Umzug senken.
• Lokale Caches. Auch Betriebssystem und Browser speichern DNS zwischen. Leeren Sie diese Caches, bevor Sie annehmen, dass die Propagation hängt.
• Ein vergessener Eintrag. www zeigt noch auf den alten Server, oder ein alter AAAA-Record (IPv6) schickt IPv6-Besucher weiterhin dorthin.
• Ein CDN oder Proxy vor der Website. Steht Cloudflare oder ein anderer Proxy davor, ist die DNS-Antwort die Adresse des CDN und bleibt gleich. Stattdessen muss die Origin-Einstellung im CDN geändert werden, und Cloudflare übernimmt sie innerhalb von Sekunden. Es gibt also nichts zu propagieren: Prüfen Sie den neuen Server stattdessen mit einem Vorschau-Link.
• Resolver, die Antworten länger als die TTL behalten. Einige tun das. Sie sind eine Minderheit, und genau deshalb lassen Sie den alten Server nach der Umstellung noch ein bis zwei Tage laufen.

1. 1

   Schritt 1: Änderung auf den autoritativen Nameservern bestätigen

   Fragen Sie die eigenen Nameserver der Domain ab. Liefern sie noch den alten Wert, wurde der Eintrag nicht gespeichert, und Warten hilft nicht.

2. 2

   Schritt 2: Öffentliche Resolver weltweit fragen

   Geben Sie Domain und erwarteten Wert in den DNS-Propagation-Checker ein, um zu sehen, welche Resolver ihn bereits liefern.

3. 3

   Schritt 3: Jeden Hostnamen und Record-Typ prüfen

   Wiederholen Sie das für www, andere Subdomains und AAAA-Records. Ein vergessener Eintrag ist der häufigste Grund, warum eine Änderung zu hängen scheint.

4. 4

   Schritt 4: Eigene Caches leeren

   Leeren Sie den DNS-Cache des Betriebssystems und starten Sie den Browser neu, bevor Sie die Website selbst testen.

5. 5

   Schritt 5: Bestätigen, dass die Website vom neuen Server antwortet

   Prüfen Sie mit Ist meine Domain schon umgestellt?, ob die Domain auf die neue IP auflöst und die Website dort antwortet.

6. 6

   Schritt 6: Benachrichtigen lassen statt neu laden

   Aktivieren Sie DNS-Benachrichtigungen für den Vorschau-Link. DNSPeek prüft dann alle paar Minuten und schickt Ihnen eine E-Mail, sobald die Änderung durch ist.

Fragen Sie bestimmte öffentliche Resolver direkt. Die Zahl im Answer-Abschnitt ist die verbleibende TTL der zwischengespeicherten Antwort in Sekunden:

dig @8.8.8.8 example.com A +short
dig @1.1.1.1 example.com A +short
dig @9.9.9.9 example.com A +noall +answer

Resolve-DnsName -Name example.com -Type A -Server 8.8.8.8
Resolve-DnsName -Name example.com -Type A -Server 1.1.1.1

Um ohne jeden Cache zu sehen, was die autoritativen Nameserver antworten, fragen Sie sie direkt ab. Ermitteln Sie sie mit dig NS example.com +short oder dem Nameserver-Checker und führen Sie dann dig @ns1.your-dns-host.com example.com A aus. Ist selbst die autoritative Antwort noch alt, wurde die Änderung nicht gespeichert.

# Windows
ipconfig /flushdns

# macOS
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

Es gibt keinen globalen Schalter, der umgelegt wird, also brauchen Sie eine Regel. DNSPeek nutzt diese: Die Propagation ist abgeschlossen, wenn mindestens 90 % der öffentlichen Resolver, die geantwortet haben, den neuen Wert liefern und mindestens die Hälfte aller Resolver geantwortet hat. Resolver mit Zeitüberschreitung werden nicht gezählt, damit ein einzelner unerreichbarer Resolver Sie nicht aufhält. Die höchste noch gesehene TTL zeigt, wie lange ein veralteter Cache höchstens bestehen kann. Ist der neue Wert eine Cloudflare-Adresse, zählt jede Cloudflare-Adresse, weil Cloudflare jeder Region eine eigene Edge-IP gibt.

Der kostenlose DNS-Propagation-Checker wendet diese Regel auf 20 öffentliche Resolver an, abgefragt vom Server von DNSPeek. Im Dashboard kann ein Vorschau-Link bei Bedarf 16 Resolver prüfen, und in den kostenpflichtigen Tarifen kann DNSPeek Sie per E-Mail oder Webhook benachrichtigen, sobald die Domain propagiert ist, und dann Ihren QA-Bericht auf der Live-Domain erneut ausführen.

Dass ein Resolver noch die alte und ein anderer schon die neue Adresse liefert, ist mittendrin völlig normal. Jeder Resolver hat den Eintrag zu einem anderen Zeitpunkt zwischengespeichert, also läuft er auch zu einem anderen Zeitpunkt ab. Große öffentliche Resolver betreiben zudem viele getrennte Caches hinter einer Adresse. Deshalb können zwei Abfragen an denselben Resolver im Abstand von einer Minute unterschiedlich ausfallen.

Sorgen müssen Sie sich nur machen, wenn sich das Verhältnis nicht bewegt. Bleibt der Anteil neuer Antworten länger als die alte TTL gleich, suchen Sie nach einem nicht geänderten Eintrag, einem zweiten Satz Nameserver, der noch die alte Zone ausliefert, oder einem CDN, das für die Domain antwortet. Das Tool DNS-Vergleich zeigt, ob zwei Nameserver unterschiedliche Einträge liefern.

Stressig ist die Propagation nur, wenn der neue Server vorher nicht geprüft wurde. Haben Sie die Website vor der Umstellung mit einem Vorschau-Link auf der neuen IP geöffnet, bedeutet die Wartezeit nur, dass manche Besucher die alte Kopie etwas länger sehen. Lassen Sie beide Server dieselben Inhalte ausliefern, ändern Sie auf dem alten keine Inhalte mehr und beobachten Sie seine Access-Logs: Wenn keine echten Besucher mehr ankommen, können Sie ihn gefahrlos abschalten.