Een nieuwe website die niet opent, e-mail die ineens niet meer binnenkomt of een webshop die naar de verkeerde server verwijst: vaak ligt de oorzaak bij één kleine DNS-wijziging. DNS-records veilig beheren klinkt technisch, maar is vooral een kwestie van duidelijke afspraken, beperkt toegang geven en iedere wijziging controleerbaar maken. Precies daar gaat het bij veel mkb-bedrijven mis.
DNS is een essentieel onderdeel van uw online bereikbaarheid. Toch is het beheer vaak blijven hangen bij een oud webbureau, een voormalige medewerker of een privéaccount van iemand binnen het bedrijf. Zolang alles werkt, lijkt dat geen probleem. Tot er snel geschakeld moet worden en niemand weet wie kan inloggen. Dan ontstaat stress die eenvoudig te voorkomen was.
Waarom DNS-beheer meer is dan een technische instelling
DNS vertaalt uw domeinnaam naar de juiste dienst. Wanneer iemand uw bedrijfsnaam intypt, zorgt DNS ervoor dat die bezoeker op uw website uitkomt. Hetzelfde geldt voor e-mail, Microsoft 365, online agenda’s, externe applicaties en beveiligingscontroles voor e-mail.
Een fout record kan daarom verder reiken dan een website die tijdelijk niet laadt. Een verkeerd MX-record kan e-mailverkeer verstoren. Een onjuist SPF-, DKIM- of DMARC-record kan ervoor zorgen dat uw legitieme mail als spam wordt gezien. En een vergeten oud record kan een beveiligingsrisico vormen, bijvoorbeeld wanneer het nog verwijst naar een dienst die u niet meer gebruikt.
Voor ondernemers is de kern eenvoudig: DNS moet altijd kloppen, bereikbaar zijn voor de juiste mensen en niet zomaar aangepast kunnen worden. U hoeft niet ieder record zelf te begrijpen, maar u moet wel weten waar de verantwoordelijkheid ligt.
De records die meestal aandacht vragen
Niet elk DNS-record is even kritisch, maar deze vier komen in mkb-omgevingen het vaakst terug:
- A- en AAAA-records verwijzen uw domein of subdomein naar een serveradres.
- MX-records bepalen waar uw e-mail wordt afgeleverd.
- CNAME-records koppelen een naam, zoals www of mail, aan een andere domeinnaam.
- TXT-records worden veel gebruikt voor e-mailbeveiliging, verificaties en koppelingen met externe software.
Juist omdat deze records verschillende diensten raken, is een losse wijziging zonder overzicht riskant. Een aanpassing voor een nieuwe nieuwsbriefdienst kan bijvoorbeeld per ongeluk een bestaand SPF-record overschrijven. Dan werkt de nieuwsbrief misschien wel, maar neemt de kans toe dat gewone bedrijfsmail wordt geweigerd.
Begin met eigenaarschap en overzicht
Veilig beheer begint niet met een ingewikkelde tool, maar met één heldere vraag: wie is eigenaar van het domein en de DNS-zone? Dat moet uw organisatie zijn, niet een medewerker, leverancier of oud bureau. Controleer daarom op wiens naam het domein geregistreerd staat, welk e-mailadres als administratief contact is ingesteld en waar de inloggegevens worden beheerd.
Leg vervolgens vast welke domeinen en subdomeinen u gebruikt. Veel bedrijven kennen alleen hun hoofddomein, maar hebben daarnaast bijvoorbeeld een apart domein voor een campagne, een oud handelsmerk of een externe applicatie. Ook subdomeinen zoals portal, webshop, vacatures of remote kunnen bedrijfskritisch zijn.
Maak per domein een kort overzicht met de registrar, DNS-provider, contactpersoon, gebruikte diensten en de belangrijkste records. Dat hoeft geen technisch handboek van twintig pagina’s te zijn. Een actueel overzicht dat een collega of vaste ICT-partner begrijpt, is al een grote stap vooruit.
Let ook op oude domeinen. Een domeinnaam die niet meer actief voor een website wordt gebruikt, kan nog steeds e-mail ontvangen of doorverwijzen naar een externe dienst. Zeg zo’n domein niet op voordat u zeker weet dat er geen systemen, afzenders of klanten meer van afhankelijk zijn.
Geef toegang, maar niet aan iedereen
De meest voorkomende fout is een gedeeld hoofdwachtwoord dat bij meerdere mensen in een mailbox, spreadsheet of chatgesprek staat. Dat is snel geregeld, maar onveilig en niet controleerbaar. Als iemand vertrekt of een laptop kwijtraakt, weet u niet of die toegang nog bruikbaar is.
Werk daarom met persoonlijke accounts en multifactor-authenticatie. Geef medewerkers alleen de rechten die zij werkelijk nodig hebben. Iemand die een website beheert, hoeft niet automatisch de mogelijkheid te hebben om e-mailrecords te wijzigen. En een externe leverancier hoeft niet per se eigenaar van uw domeinaccount te zijn om zijn werk te kunnen doen.
Voor kleinere organisaties is het verstandig om minimaal twee interne contactpersonen aan te wijzen. Zo bent u niet afhankelijk van één directeur, administratief medewerker of technisch aangelegde collega. Bewaar herstelcodes voor multifactor-authenticatie op een veilige, afgesproken plek. Niet in dezelfde mailbox als waarmee u inlogt, maar bijvoorbeeld in een zakelijke wachtwoordmanager met gecontroleerde toegang.
Het kan prettig zijn om een vaste ICT-partner beheerrechten te geven. Dat bespaart tijd bij incidenten en wijzigingen. De voorwaarde is wel dat de afspraken duidelijk zijn: uw bedrijf blijft eigenaar, er is inzicht in wat er verandert en toegang kan worden ingetrokken als de samenwerking stopt.
Wijzig DNS-records nooit tussen de bedrijven door
Een DNS-aanpassing lijkt vaak klein: even een record toevoegen voor een nieuwe websitebouwer of e-mailtool. Maar kleine wijzigingen kunnen grote gevolgen hebben. Maak er daarom een vaste werkwijze van, zeker wanneer website, e-mail en cloudoplossingen door verschillende partijen worden geleverd.
Laat eerst vaststellen wat er precies moet veranderen en waarom. Vraag een leverancier niet alleen om een technisch record te sturen, maar ook om aan te geven welk bestaand record mogelijk wordt geraakt. Bij TXT-records is dat extra belangrijk: meerdere waarden moeten vaak worden samengevoegd, niet vervangen.
Maak vóór iedere wijziging een export, screenshot of kopie van de actuele DNS-zone. Noteer wie de wijziging uitvoert, op welk moment en wat de verwachte uitkomst is. Controleer daarna zowel de technische instelling als de praktijk: opent de website, komt e-mail binnen en kunnen medewerkers nog gewoon verzenden?
Houd rekening met DNS-propagatie
Een wijziging is niet altijd direct overal zichtbaar. DNS-servers en apparaten bewaren informatie tijdelijk in cache. De ingestelde TTL-waarde bepaalt grofweg hoe lang dat duurt. Bij een geplande migratie kunt u die TTL vooraf tijdelijk verlagen, zodat de overgang sneller wordt opgepakt.
Dat betekent niet dat u een wijziging vlak voor een drukke werkdag moet uitvoeren. Plan grotere aanpassingen op een rustig moment en zorg dat de juiste mensen bereikbaar zijn. Bij een verhuizing van website of e-mail is een terugvalplan verstandig: als iets niet werkt, moet duidelijk zijn hoe u snel teruggaat naar de vorige situatie.
Bescherm e-mail via DNS tegen misbruik
E-mailfraude raakt ook kleinere bedrijven. Criminelen doen zich voor als uw organisatie, sturen facturen uit uw naam of proberen klanten te misleiden. DNS lost dat niet volledig op, maar SPF, DKIM en DMARC maken het wel veel moeilijker om uw domeinnaam geloofwaardig te misbruiken.
SPF geeft aan welke systemen namens uw domein mogen mailen. DKIM voegt een digitale ondertekening toe aan uitgaande e-mail. DMARC vertelt ontvangende mailservers hoe zij moeten omgaan met berichten die deze controles niet doorstaan. Deze drie instellingen horen bij elkaar.
De praktijk vraagt wel om zorgvuldigheid. Veel bedrijven versturen mail vanuit meerdere systemen: Microsoft 365, een boekhoudpakket, een CRM, een nieuwsbriefplatform en misschien een scanner of kassa-oplossing. Als u alleen uw gewone mailomgeving in SPF opneemt, kunnen berichten van die andere systemen worden geweigerd. Breng dus eerst alle legitieme verzenders in kaart.
Begin bij DMARC desnoods met monitoring. U ziet dan eerst welke mailstromen namens uw domein plaatsvinden, zonder direct berichten te blokkeren. Pas wanneer dat overzicht klopt, kunt u de regels strenger maken. Veiligheid is belangrijk, maar een instelling die uw eigen facturen tegenhoudt, helpt niemand.
Controleer actief en bereid herstel voor
DNS-beheer is geen eenmalige opschoonactie. Controleer periodiek of de registratiegegevens nog kloppen, of multifactor-authenticatie actief is en of oude records nog nodig zijn. Doe dit minimaal jaarlijks en altijd na een wisseling van personeel, webbureau, e-mailleverancier of ICT-partner.
Zet ook meldingen aan voor wijzigingen aan uw domein of DNS-zone als uw provider die mogelijkheid biedt. Een onverwachte aanpassing is een reden om meteen te controleren. Zeker bij domeinoverdrachten of wijzigingen aan nameservers is snelheid belangrijk, omdat die impact kunnen hebben op alle gekoppelde diensten.
Een goed herstelplan bevat meer dan een back-up van records. Leg ook vast wie u belt bij problemen, wie toestemming mag geven voor grote wijzigingen en waar de actuele gegevens staan. Bij een storing wilt u geen zoektocht starten naar wachtwoorden, oude offertes en onbekende leveranciers.
Voor bedrijven zonder eigen IT-afdeling is beheerd DNS vaak een logische keuze. Dan is er één partij die het overzicht houdt, wijzigingen gecontroleerd uitvoert en bij een incident direct kan handelen. NLXS kan domein, hosting, e-mail en DNS-beheer onder één dak organiseren, zodat u niet hoeft te puzzelen welke leverancier verantwoordelijk is.
Wilt u minder afhankelijk zijn van losse accounts en goedbedoelde spoedwijzigingen? Plan dan een vast controlemoment voor uw domeinen. Een uur overzicht creëren voordat er iets misgaat, bespaart vaak een hele werkdag herstelwerk wanneer uw e-mail of website onverwacht uitvalt.
