Reverse DNS en PTR-records uitgelegd voor mailservers
Reverse DNS uitgelegd: hoe een PTR-record een IP-adres aan een naam koppelt, wie het kan wijzigen, waarom mailservers FCrDNS eisen en wat een mismatch betekent.
Van adres naar naam
Voorwaartse DNS-records zoals A en AAAA staan in de zone van een domein: wie example.com beheert, bepaalt dat www.example.com naar een adres verwijst. Reverse DNS heeft een andere boom nodig, omdat adressen niet per domeinnaam zijn georganiseerd. Voor IPv4 is dat de boom in-addr.arpa, voor IPv6 ip6.arpa.
Voor de omgekeerde naam wordt het adres achterstevoren geschreven. 8.8.8.8 wordt 8.8.8.8.in-addr.arpa en 203.0.113.10 wordt 10.113.0.203.in-addr.arpa, zodat het meest algemene deel van het adres achteraan staat, zoals in een domeinnaam. Bij IPv6 wordt elk hexadecimaal cijfer van het volledige adres van 32 cijfers omgedraaid en door punten gescheiden; daarom zijn omgekeerde IPv6-namen zo lang.
Wie een PTR-record beheert
De omgekeerde zone van een adresblok wordt door het regionale internetregister gedelegeerd aan de organisatie die het blok heeft, en van daaruit aan wie die organisatie kiest. Bij een thuis- of mobiele verbinding is dat je provider. Bij een cloudserver is het de cloudprovider, die je de naam meestal laat instellen in zijn configuratiescherm of op aanvraag.
Daarom heeft een PTR-record toevoegen bij je domeinregistrar of DNS-host geen effect: zij beheren de omgekeerde zone van het adres van je server niet. Vraag het aan de provider die je het adres heeft gegeven en geef de exacte hostnaam door die je wilt.
Forward-confirmed reverse DNS
Wie een omgekeerde zone beheert, kan daarin elke naam publiceren, ook een naam in het domein van een ander. Een PTR-naam wordt daarom in de andere richting gecontroleerd: zoek de A- of AAAA-records van die naam op en controleer of het oorspronkelijke adres daartussen staat. Als beide richtingen kloppen, heet het resultaat forward-confirmed reverse DNS, of FCrDNS.
De reverse-DNS-lookup van IPNixa doet beide stappen. Hij vraagt het PTR-record op bij Cloudflare en Google, zoekt daarna de teruggegeven naam op en meldt een van vier statussen.
| Resultaat | Betekenis | Gebruikelijke volgende stap |
|---|---|---|
| Overeenkomst | Er is een PTR-naam en die verwijst terug naar hetzelfde adres | Niets; dit verwachten mailservers |
| Mismatch | Er is een PTR-naam, maar de voorwaartse records bevatten het adres niet | Vraag de provider de PTR te wijzigen, of voeg het adres toe aan het A- of AAAA-record van de naam |
| Geen PTR-record | De omgekeerde zone antwoordt dat er voor dit adres geen naam bestaat | Vraag de eigenaar van het adres er een aan te maken, als het adres e-mail verstuurt of een naam nodig heeft |
| Onbekend | Een resolver faalde, kreeg een time-out of gaf een inconsistent antwoord | Voer de lookup later opnieuw uit voordat je iets wijzigt |
Waargenomen opzoekingen
Op 2 november 2026 zochten we deze openbare adressen op via de DNS-over-HTTPS-resolvers van Cloudflare en Google. Elke naam verwees terug naar het oorspronkelijke adres.
| Adres | PTR-naam | Voorwaartse lookup bevat het adres |
|---|---|---|
| 8.8.8.8 | dns.google | Ja (8.8.8.8 en 8.8.4.4) |
| 1.1.1.1 | one.one.one.one | Ja (1.1.1.1 en 1.0.0.1) |
| 9.9.9.9 | dns9.quad9.net | Ja (9.9.9.9 en 149.112.112.9) |
| 173.194.118.27 | yukulhq-in-f27.1e100.net | Ja |
Wat de voorbeelden laten zien
Het vierde adres was op dat moment het adres dat werd teruggegeven voor de inkomende mailhost van Gmail, gmail-smtp-in.l.google.com. De PTR-naam valt niet onder gmail.com maar onder 1e100.net, het domein dat Google voor zijn servernamen gebruikt. Een PTR-naam hoeft niet overeen te komen met het domein waaronder een dienst bekend is; hij moet terugverwijzen naar het adres.
De twee resolvers gaven dezelfde namen, maar met heel verschillende resterende cachetijden. Voor 8.8.8.8 meldde Cloudflare 84.907 seconden en Google 18.566 seconden, omdat elk het record op een ander moment in de cache had gezet. Nadat een provider een PTR-record heeft gewijzigd, kan de oude naam daarom nog verschijnen tot de volledige TTL van het record is verstreken.
Een thuisverbinding heeft meestal een algemene naam die uit het adres wordt gegenereerd. Een breedbandlijn in Bangkok die op dezelfde dag werd gecontroleerd, gaf een naam van de vorm ppp-a-b-c-d.revip8.asianet.co.th, waarbij a tot en met d de cijfers van het adres zijn. Zulke namen herkennen de provider en vaak het verbindingstype, niet de abonnee.
Waarom mailservers het nodig hebben
Ontvangende mailservers gebruiken reverse DNS als goedkope eerste controle tegen spam van gehackte thuiscomputers. De richtlijnen van Google voor afzenders vereisen dat verzendende servers een geldig PTR-record hebben dat terugverwijst naar het verzendadres, en andere grote e-mailproviders passen vergelijkbare controles toe. Algemene namen zoals het breedbandvoorbeeld hierboven worden vaak als thuisverbinding behandeld en gefilterd.
- Kies een hostnaam voor de server onder een domein dat je beheert, bijvoorbeeld mail.example.com.
- Maak een A-record aan, en een AAAA-record als de server via IPv6 verstuurt, dat de hostnaam naar het adres van de server laat verwijzen.
- Vraag de provider die eigenaar is van het adres om het PTR-record van dat adres op dezelfde hostnaam in te stellen. Doe dit voor elk adres waarvandaan de server verstuurt, IPv4 en IPv6.
- Laat de mailserver dezelfde hostnaam melden in zijn SMTP-begroeting (HELO of EHLO).
- Controleer het resultaat met de reverse-DNS-lookup van IPNixa tot beide resolvers een overeenkomst tonen, en houd er rekening mee dat de TTL van het oude record eerst moet verlopen.
Wat reverse DNS je niet kan vertellen
Een PTR-naam is een label dat de eigenaar van het adres kiest. Hij kan verouderd, algemeen of afwezig zijn, en zegt niets over wie een dynamisch adres vandaag gebruikt. Gebruik hem om het netwerk of de rol van de server te herkennen, niet een persoon. Privéadressen zoals 192.168.1.10 hebben geen openbare omgekeerde records, dus de lookup slaat ze over.
Veelgestelde vragen
Kan ik een PTR-record instellen bij mijn domeinregistrar?
Meestal niet. Het PTR-record hoort bij de omgekeerde zone van het IP-adres, en die wordt beheerd door de eigenaar van het adresblok. Vraag het je hostingprovider of internetprovider; bij sommige cloudproviders stel je het in bij de server- of adresinstellingen.
Kan één adres meerdere PTR-namen hebben?
DNS staat het toe, maar veel systemen gebruiken er maar één van. Publiceer voor mailservers precies één PTR-naam per adres en zorg dat die naar dat adres terugverwijst.
Heeft mijn thuisverbinding reverse DNS nodig?
Niet om te surfen, te gamen of te streamen. Het is alleen van belang als je een server draait die anderen op naam controleren, zoals een mailserver, en de meeste providers voor thuisgebruik laten klanten het niet wijzigen.
Waarom toont de lookup een mismatch voor een grote website?
Contentdeliverynetwerken en loadbalancers hebben vaak PTR-namen voor hun eigen infrastructuur, en de voorwaartse records van die namen kunnen snel veranderen. Een mismatch is belangrijk voor een mailserver die je zelf beheert, veel minder voor een website die je bezoekt.