Question 1

Domein vervalt morgen en niemand had de mail gezien

Accepted Answer

1. Log in bij de registrar en betaal direct de verlenging als die nog kan
2. Zit het al in redemption, vraag de hersteloptie aan, kost vaak 80 tot 200 euro extra
3. Zet daarna automatische verlenging aan plus een tweede betaalmethode
4. Voeg het hoofdmailadres toe aan een gedeelde inbox zodat herinneringen niet missen

Wanneer ons inschakelen: 
Is het domein al gedropt en geveild via SIDN of drop-catch, neem contact op met je IT-partner voor onderhandeling.

Question 2

Twijfel of auto-renew aan moet of niet

Accepted Answer

1. Maak een lijst van actieve domeinen versus parkeer-domeinen
2. Zet auto-renew aan voor alle live merken plus typo-varianten
3. Zet uit voor domeinen die je over 3 maanden bewust laat vallen
4. Plan een halfjaarlijkse review om de portfolio te schonen

Wanneer ons inschakelen: 
Bij meer dan 50 domeinen, exporteer een CSV en delegeer review aan finance.

Question 3

Nieuwe registrar vraagt om auth-code, weet niet waar die staat

Accepted Answer

1. Log in bij huidige registrar en zoek 'transfer code', 'auth-code' of 'EPP'
2. Bij sommige (TransIP, Hostnet) staat die direct in de domein-detailpagina
3. Kopieer en plak in het transfer-formulier van de nieuwe registrar
4. Check je mail voor de bevestigingslink, klik aan binnen 5 dagen

Wanneer ons inschakelen: 
Krijg je geen code te zien, contacteer de huidige registrar-support, het is jouw recht.

Question 4

Transfer wordt geweigerd, foutmelding 'domain locked'

Accepted Answer

1. Open domein-detail bij huidige registrar
2. Zoek 'transfer-lock' of 'registrar-lock' en zet uit
3. Wacht een paar minuten, status moet 'unlocked' worden in WHOIS
4. Probeer transfer opnieuw met de auth-code

Wanneer ons inschakelen: 
Bij .nl-domeinen heet dit 'opt-out lock', vraag SIDN-status op via je registrar.

Question 5

Transfer-mail kwam binnen, niet op tijd geklikt, nu lijkt alles vast

Accepted Answer

1. Check WHOIS-status, 'pendingTransfer' betekent nog ruimte
2. Bij gTLD's geldt vaak auto-approve na 5 dagen als oude registrar niet weigert
3. Bij .nl is het andersom, transfer wordt geweigerd zonder bevestiging
4. Start de transfer opnieuw als hij is afgewezen

Wanneer ons inschakelen: 
Vraag de nieuwe registrar om de exacte status, soms zit een ticket open.

Question 6

Domein staat als 'redemption period', kunnen we het terug?

Accepted Answer

1. Vraag de huidige registrar de redemption-restore aan
2. Reken op 80 tot 250 euro extra plus normale verlenging
3. DNS en mail komen weer live na restore, soms met paar uur vertraging
4. Zet auto-renew aan na restore zodat het niet weer gebeurt

Wanneer ons inschakelen: 
Bij .nl heet de fase 'quarantaine', SIDN regelt het via je registrar.

Question 7

Domein dat we willen valt morgen, kunnen we het pakken?

Accepted Answer

1. Reserveer het domein bij een drop-catch-service (SnapNames, DropCatch.com, voor .nl SIDN-auctions)
2. Vooraf een budget bepalen, bij meerdere kapers gaat het in veiling
3. Schrijf je in bij meerdere services tegelijk om kans te vergroten
4. Houd je registrar-account klaar om de vangst direct over te nemen

Wanneer ons inschakelen: 
Hoogwaardige domeinen hebben sterke concurrentie. Plan een ceiling-bid.

Question 8

SIDN veilt een .nl-domein dat ons interesseert

Accepted Answer

1. Maak een account bij SIDN-Auctions of via je registrar die meebiedt
2. Bepaal max-bod, veiling sluit na 7 dagen tenzij sniper-bid in laatste minuten
3. Bij winst gaat het domein automatisch op je registrar staan
4. Plan DNS-config klaar zodat je direct na overdracht kunt inschieten

Wanneer ons inschakelen: 
Bij budgetten boven 5K, laat een domein-broker bemiddelen.

Question 9

Moeten we naast .nl ook .be of .de pakken?

Accepted Answer

1. Check residency-eis: .de vraagt admin-c in Duitsland, .fr een EU-adres
2. Begroot, .nl rond de 8 euro, .be rond 15, .de rond 12
3. Plan een minimaal redirect zodat de ccTLD niet leeg is
4. Registreer typo-varianten alleen als budget het toelaat

Wanneer ons inschakelen: 
Voor markt-entry in een nieuw land, neem juridisch advies over merkbescherming.

Question 10

Domein dat ik wil kost ineens 800 euro, niet 8

Accepted Answer

1. Lees klein letterwerk, niet alleen de eerste-jaar-prijs
2. Premium-prijs geldt vaak ook voor verlenging, dus elk jaar
3. Vergelijk alternatieve TLD's of lichte variant van de naam
4. Soms is een aftermarket-aankoop via Sedo goedkoper dan registrar-premium

Wanneer ons inschakelen: 
Bij twijfel over levenslange verlenging-kosten, vraag schriftelijke bevestiging.

Question 11

Iemand registreerde mijn merknaam met een cyrillische 'a'

Accepted Answer

1. Check je merk in een homograph-scanner zoals dnstwist of urlcrazy
2. Registreer de meest voor de hand liggende look-alikes preventief
3. Voeg homograph-varianten toe aan blocklist van je mailfilter
4. Plan een alert via een brand-monitoring-service

Wanneer ons inschakelen: 
Bij actief phishing-gebruik, dien klacht in bij de registrar plus politie.

Question 12

Niet zeker wat een goede TTL is voor onze records

Accepted Answer

1. Standaard A/AAAA-records, 3600 seconden (1 uur) is comfortabel
2. MX en TXT vaak 3600 of 7200, weinig wijzigingen
3. Voor migratie, verlaag naar 300 een dag van tevoren
4. Na migratie zet weer omhoog naar 3600 of hoger

Wanneer ons inschakelen: 
Bij multi-CDN of failover-strategie, zie aparte entry over DNS-failover.

Question 13

Wijziging gedaan, niet iedereen ziet het nog

Accepted Answer

1. Check de wijziging direct bij autoritatieve nameserver met dig +short @ns1.provider.nl naam
2. Vergelijk met publieke resolvers (1.1.1.1, 8.8.8.8) na een paar minuten
3. Gebruik dnschecker.org voor wereldwijde steekproef
4. Reken 1x TTL voor brede propagatie, soms langer bij ISP-resolvers

Wanneer ons inschakelen: 
Bij langer dan 24 uur afwijking, check of er ergens een oude NS-set actief is.

Question 14

Willen DNS-beheer verhuizen naar Cloudflare, NS-records aanpassen

Accepted Answer

1. Bouw eerst de hele zone op bij de nieuwe DNS-host (alle records 1-op-1)
2. Verifieer dat de zone live is, query met dig @ns1.cloudflare.com
3. Pas dan NS-records bij registrar wijzigen
4. Houd de oude DNS-host nog 1 week actief als safety-net

Wanneer ons inschakelen: 
Vergeet je een record over te zetten, dan valt die service uit, vandaar 1-op-1 vooraf.

Question 15

Tweede DNS-server pikt wijzigingen niet op

Accepted Answer

1. Check huidige SOA met dig SOA jouwdomein.nl
2. Format vaak YYYYMMDDNN, hoogt automatisch op bij meeste DNS-hosts
3. Bij handmatige zonefile, hoog serial bij elke wijziging zelf op
4. Forceer NOTIFY of trigger een zone-transfer als secondary niet update

Wanneer ons inschakelen: 
Bij hidden-master setup, log van xfr-poging op de master kan oorzaak tonen.

Question 16

Verhuizen DNS naar nieuwe host, hoe migreer ik 80 records?

Accepted Answer

1. Vraag oude DNS-host om export, vaak knop 'export zonefile' of via API
2. Bij Cloudflare en Route53 is import van BIND direct mogelijk
3. Controleer per record-type of alles is overgenomen
4. Test secundair via dig op de nieuwe NS voordat je de NS-cutover doet

Wanneer ons inschakelen: 
Geen export-knop, vraag support om de zonefile of dump records via dig AXFR.

Question 17

Eén server in Amsterdam, willen failover naar Frankfurt

Accepted Answer

1. Verlaag TTL naar 60 tot 120 voor de A-record die je wil failoveren
2. Configureer healthcheck (HTTP, TCP) bij DNS-host die failover ondersteunt (Route53, NS1, Cloudflare-paid)
3. Zet primary plus secondary IP, met failover-policy
4. Test met expres uitschakelen primary, log de switch-over-tijd

Wanneer ons inschakelen: 
Voor sub-seconde failover, gebruik anycast plus loadbalancer, niet DNS.

Question 18

Bezoekers in VS hebben hoge latency naar onze NL-server

Accepted Answer

1. Plaats kopieën van de service in meerdere regio's
2. Configureer geo-routing of latency-routing (Route53, NS1, Cloudflare Load Balancer)
3. Healthcheck per endpoint zodat een dode regio uit rotatie valt
4. Verifieer met VPN of remote test of regio-routing werkt

Wanneer ons inschakelen: 
Voor static-content is een CDN simpeler dan zelf GeoDNS bouwen.

Question 19

Willen 80 procent verkeer naar nieuwe server, 20 procent naar oude

Accepted Answer

1. Maak twee A-records met verschillende weights (Route53, NS1, Cloudflare)
2. Stel TTL laag (60-120) zodat verschuivingen snel landen
3. Monitor errors per backend, draai ratio terug bij problemen
4. Bij groen-licht stap door naar 100 procent op nieuw

Wanneer ons inschakelen: 
Voor stickyness gebruik load balancer met session-affinity, niet DNS.

Question 20

Wat is het verschil tussen A en AAAA en moet ik beide?

Accepted Answer

1. Voeg AAAA toe naast bestaande A als je hosting IPv6 ondersteunt
2. Test bereikbaarheid via test-ipv6.com
3. Veel CDN's geven AAAA gratis mee, alleen aanzetten
4. Geen IPv6 op je server, dan is alleen A oké, maar plan upgrade

Wanneer ons inschakelen: 
Sommige cloud-providers willen extra config voor dual-stack, check provider-docs.

Question 21

Wil CNAME zetten op het hoofdomein, foutmelding

Accepted Answer

1. Op www-subdomein mag CNAME wel (www CNAME provider.host.com)
2. Op apex gebruik je A-record met IP, of ALIAS/ANAME als provider dat ondersteunt
3. Cloudflare doet 'CNAME flattening' op apex automatisch
4. Vercel publiceert een statisch IP voor apex A-records (76.76.21.21). Netlify geeft geen statisch A-record uit, maar gebruikt een ALIAS- of ANAME-achtige record via Netlify DNS.

Wanneer ons inschakelen: 
Bij dynamische backend-IP's, host de DNS bij Cloudflare voor flattening.

Question 22

DNS-host noemt 'ALIAS' of 'ANAME', wat is dat?

Accepted Answer

1. DNS-host resolved de target intern, levert het IP als A-record
2. Werkt alleen als de DNS-host het ondersteunt (DNSimple, Route53, easyDNS, Cloudflare via flattening)
3. Gebruik voor apex-koppelingen aan PaaS (Vercel, Netlify, Heroku)
4. TTL meestal lager omdat target dynamisch kan zijn

Wanneer ons inschakelen: 
Niet alle hosts ondersteunen het, vraag support of upgrade DNS-host.

Question 23

Cert-aanvraag faalt met 'CAA record disallows issuance'

Accepted Answer

1. Check huidige CAA met dig CAA jouwdomein.nl
2. Als de gewenste CA er niet in staat, voeg toe (bv. CAA 0 issue 'letsencrypt.org')
3. Voor wildcard, gebruik issuewild apart
4. Wacht TTL en probeer cert opnieuw

Wanneer ons inschakelen: 
Wist niet dat er CAA stond, mogelijk legacy van vorig IT-bureau, audit alle records.

Question 24

Domein verstuurt nooit mail, wil signaleren dat ie geen mail accepteert

Accepted Answer

1. Voeg toe: MX 0 . (letterlijk een punt)
2. Voeg ook SPF v=spf1 -all en DMARC p=reject toe
3. Daarmee wordt spoofing van het domein bemoeilijkt
4. Test met een testmail die hard moet bouncen

Wanneer ons inschakelen: 
Bij domein dat soms toch nog mail moet sturen, gebruik geen null-MX maar normale config.

Question 25

TXT-record te lang, DNS-host knipt of weigert

Accepted Answer

1. Splits TXT in twee strings binnen quotes: 'eerste deel' 'tweede deel'
2. Resolvers concatenneren ze automatisch
3. Soms vraagt de DNS-host één blok zonder quotes, test of het werkt na save
4. Verifieer met dig TXT jouwdomein.nl

Wanneer ons inschakelen: 
Bij echte limieten van DNS-host, splits het TXT-doel (bv. apart subdomein voor DKIM).

Question 26

Microsoft Teams of XMPP klaagt over ontbrekende SRV-records

Accepted Answer

1. Voor Teams hybrid, voeg SRV-records voor _sip._tls en _sipfederationtls._tcp toe
2. Voor XMPP, _xmpp-client._tcp en _xmpp-server._tcp
3. Format is 'priority weight port target', target is een hostname met punt aan eind
4. Test met dig SRV _service._proto.jouwdomein.nl

Wanneer ons inschakelen: 
M365 Setup Wizard genereert de exacte waarden, kopieer 1-op-1.

Question 27

Twijfel tussen shared hosting, VPS of cloud

Accepted Answer

1. Shared (Antagonist, Hostnet, Mijndomein), simpel CMS, weinig verkeer, weinig beheer
2. VPS (TransIP, Hetzner), eigen rootrechten, custom stack, je beheert OS
3. Cloud (AWS, Vercel, Hetzner Cloud), schaalbaar, betaal per gebruik, vraagt cloud-skills
4. Kies op basis van skill-set in huis, niet alleen prijs

Wanneer ons inschakelen: 
Bij twijfel of je VPS aankan, start met shared en migreer als je tegen muur loopt.

Question 28

Klant wil schriftelijk dat hosting in EU staat

Accepted Answer

1. Vraag provider om data-center-locatie schriftelijk per dienst
2. Check sub-processor-lijst voor backup, monitoring, CDN
3. AWS, Azure, GCP hebben EU-regio's, kies expliciet eu-central of eu-west
4. Cloudflare cached aan de edge wereldwijd, plan datapad apart

Wanneer ons inschakelen: 
Voor zorg of overheid, vraag DPA en sub-processor-overzicht in tender-fase.

Question 29

Site lijkt onder DDoS, traag of niet bereikbaar

Accepted Answer

1. Zet de site achter Cloudflare door NS te wijzigen of orange-cloud te activeren
2. Forceer 'Under Attack Mode' tijdens een actieve aanval
3. Verberg origin-IP, accepteer alleen Cloudflare IP-ranges in firewall
4. Houd logs voor analyse na de storm

Wanneer ons inschakelen: 
Bij gerichte L7-aanval, upgrade naar Cloudflare Pro of Magic Transit.

Question 30

Hebben we een WAF nodig?

Accepted Answer

1. Voor WordPress of standaard CMS, zet OWASP-ruleset aan via Cloudflare of provider
2. Maak uitzonderingen voor admin-IP's zodat je zelf niet wordt geblokkeerd
3. Monitor false positives in de eerste week
4. Plan halfjaarlijkse review van regels

Wanneer ons inschakelen: 
Bij custom-app met API, laat WAF-regels door dev-team valideren.

Question 31

Cloudflare-record, oranje wolk aan of grijs?

Accepted Answer

1. Voor websites, oranje, krijg je CDN, WAF, SSL gratis
2. Voor mailservers, grijs, anders breekt SMTP-routing
3. Voor SSH of niet-HTTP-services, grijs
4. Origin-IP achter oranje verbergen voor extra DDoS-bescherming

Wanneer ons inschakelen: 
Onverwacht IP in dig-output is een Cloudflare proxy-IP, dat is bedoeld.

Question 32

Afbeeldingen laden traag op mobiel

Accepted Answer

1. Cloudflare Polish, Vercel Image, BunnyCDN Optimizer of imgix
2. Serveer WebP en AVIF aan supported browsers
3. Stel resolutie-breakpoints in voor mobile, tablet, desktop
4. Verifieer Lighthouse-score voor en na

Wanneer ons inschakelen: 
Voor zware beeld-libraries (e-commerce), DAM-koppeling overwegen.

Question 33

Update gepusht, oude versie blijft gecached aan de edge

Accepted Answer

1. Purge selectief op URL of file-extensie waar mogelijk
2. Voor major releases, purge-all met vertraging in mind
3. Bouw cache-bust in build-pipeline (hashed file names)
4. Stel cache-headers af op type asset (statisch lang, HTML kort)

Wanneer ons inschakelen: 
Bij Vercel triggert deploy automatisch een purge, geen handmatige stap nodig.

Question 34

Mail van Strato naar Microsoft 365 verhuizen

Accepted Answer

1. Migreer eerst alle bestaande mailboxen naar de nieuwe provider
2. Verlaag MX-TTL naar 300 een dag van tevoren
3. Wijzig MX en autodiscover-records op cutover-moment
4. Houd oude account 30 dagen actief voor late mail

Wanneer ons inschakelen: 
Voor grote mailboxen (>50GB), gebruik provider-migratie-tool, geen IMAP-sync.

Question 35

Outlook of mailclient vindt instellingen niet automatisch

Accepted Answer

1. Voor M365: autodiscover.jouwdomein.nl CNAME naar autodiscover.outlook.com
2. Voor Google Workspace: SRV-records voor _autodiscover._tcp
3. TTL 3600 is prima
4. Test met Outlook 'autoconfig'-knop of mailclient-wizard

Wanneer ons inschakelen: 
Bij hybrid M365 + on-prem Exchange, autodiscover-config is complexer, vraag M365-admin.

Question 36

Op het punt te migreren, bang iets te vergeten

Accepted Answer

1. Exporteer huidige zone (BIND of CSV)
2. Lijst alle subdomeinen en services (mail, www, api, vpn, status)
3. Verlaag TTL's 24 tot 48 uur vooraf naar 300
4. Plan migratie buiten kantooruren met rollback-pad

Wanneer ons inschakelen: 
Onbekende records die niemand herkent, niet schrappen, eerst eigenaar opsporen.

Question 37

Migratie net afgerond, hoe weet ik dat alles werkt?

Accepted Answer

1. Run uptime-checks per subdomein (UptimeRobot, Pingdom)
2. Verstuur testmail naar interne plus externe accounts
3. Check mail-deliverability via mail-tester.com
4. Houd oude provider 1 week actief als noodweg terug

Wanneer ons inschakelen: 
Bij onverklaarbare bounces, logs van zowel oud als nieuw vergelijken.

Question 38

WHOIS toont mijn privé-adres en mailbox loopt vol met spam

Accepted Answer

1. Activeer 'WHOIS privacy' of 'domain privacy' bij de registrar
2. Voor .nl is privacy automatisch voor natuurlijke personen via SIDN
3. Voor gTLD's check per registrar of het aan staat
4. Update administratief adres apart, ook al is het verborgen

Wanneer ons inschakelen: 
Bij juridische geschillen kan WHOIS-privacy worden opgevraagd via legitiem verzoek.

Question 39

Let's Encrypt-cert verloopt elke 90 dagen, hoe automatiseer ik dat?

Accepted Answer

1. Gebruik certbot, acme.sh of de built-in renewer van je hostingpaneel
2. Cron-job die om de 30 dagen probeert te renewen
3. Test renewal-script met --dry-run voordat je vertrouwt
4. Stel monitoring in op cert-expiry (UptimeRobot, certifytheweb)

Wanneer ons inschakelen: 
Bij rate-limit-errors van Let's Encrypt, wacht of switch naar staging-environment voor tests.

Question 40

Wildcard-cert nodig (*.jouwdomein.nl), HTTP-challenge werkt niet

Accepted Answer

1. Genereer API-token bij Cloudflare, Route53 of DNS-host
2. Configureer certbot of acme.sh met de juiste DNS-plugin
3. Test eerst met --staging om DNS-flow te valideren
4. Plan automatische renewal omdat handmatig niet schaalt

Wanneer ons inschakelen: 
Bij DNS-host zonder API, gebruik manueel single-cert per subdomein.

Question 41

Domeinkosten lopen jaarlijks op, wil schonen

Accepted Answer

1. Exporteer lijst met expiry-datum, kosten per jaar, doel
2. Markeer per domein: actief, redirect, parking, droppen
3. Zet auto-renew uit voor drop-categorie
4. Plan jaarlijkse review met finance plus marketing

Wanneer ons inschakelen: 
Bij merkenrechtelijke domeinen, eerst legal raadplegen voor je drop.

Question 42

.com of .nl voor een nieuw NL-merk?

Accepted Answer

1. Primair .nl, redirect .com en typo's heen
2. Bij internationale ambitie .com primair, .nl secundair
3. Check beschikbaarheid in beide voor je commitment maakt
4. Reken op dubbele kosten plus mailconfig op beide

Wanneer ons inschakelen: 
Bij tegelijk geclaimde varianten door derden, juridisch advies over merk-conflict.

Question 43

Vreemde transfer-mail of NS-wijzigingsmelding

Accepted Answer

1. Bel direct registrar-support, meld onbevoegde wijziging
2. Reset registrar-wachtwoord plus enable 2FA
3. Vraag transfer-lock plus registry-lock aan
4. Audit alle DNS-records op vreemde toevoegingen

Wanneer ons inschakelen: 
Bij succesvolle hijack, dien klacht in bij ICANN of SIDN plus politie.

Question 44

Registrar-account heeft alleen wachtwoord, niemand 2FA aan

Accepted Answer

1. Activeer TOTP (authenticator-app), niet SMS waar mogelijk
2. Gebruik een gedeelde 1Password-vault voor team-toegang
3. Stel registrar-lock plus 2FA op alle hoofdaccounts in
4. Plan kwartaalreview van geautoriseerde users

Wanneer ons inschakelen: 
Bij verloren 2FA-device, registrar-recovery-flow direct starten, kan dagen duren.

Question 45

Site offline, blijkt NS-records gewijzigd zonder dat ik dat deed

Accepted Answer

1. Log in registrar, herstel originele NS-records
2. Forceer log van wie wat wanneer wijzigde
3. Reset wachtwoord plus 2FA
4. Activeer registrar-lock om herhaling te voorkomen

Wanneer ons inschakelen: 
Bij geen log of onbekende oorzaak, registry-lock aanvragen via SIDN of ICANN.

Question 46

DNS-records werken niet zoals verwacht, dig toont twee verschillende SOA's

Accepted Answer

1. Draai dig SOA jouw-domein.nl @1.1.1.1 en dig SOA jouw-domein.nl @8.8.8.8. Verschillende serial-nummers of name-servers terug: er is een mismatch.
2. Controleer in de WHOIS welke NS-records er publiek staan voor jouw domein (bij .nl: SIDN whois). Dat zijn de servers waar het hele internet naar luistert.
3. Vergelijk met waar je records hebt gezet. Zit jouw A-record alleen bij de registrar, maar de NS bij Cloudflare? Dan luistert niemand naar de registrar-records, alleen naar Cloudflare.
4. Kies één DNS-platform en zet daar alle records (A, MX, TXT, CAA, et cetera). Bij de registrar laat je dan alleen de NS-delegatie staan.
5. Wacht TTL af voor je tussen platforms migreert, of zet TTL eerst laag (300 seconden) en wacht een dag voor de overstap. Anders zie je een mengsel van oud en nieuw bij verschillende resolvers.

Wanneer ons inschakelen: 
Mismatch in productie met mail-impact (MX-records gaan naar de verkeerde server, gevolg: bouncende mail): tijdens migratie even meekijken bespaart een uur paniek per uur dat je het zelf probeert.

Question 47

DNSSEC sleutel-rollover staat gepland, hoe doe ik dat zonder verstoring?

Accepted Answer

1. Zet de TTL van DS- en DNSKEY-records eerst lager (vaak 1 uur). Wacht twee maal die TTL voor je rolt, anders zit oude DS in de cache als je al een nieuwe key actief hebt.
2. Twee veilige paden: 'Double Signature' (twee KSK's tegelijk actief, zone twee keer ondertekend) of 'Pre-publish' (nieuwe DNSKEY publiek voordat hij gebruikt wordt). De meeste managed DNS-providers (Cloudflare, Route 53) regelen dit automatisch, on-premise BIND niet.
3. Bij managed DNS: trigger de rollover in de UI of API en wacht. Bij BIND/PowerDNS: volg de officiële rollover-procedure stap voor stap, sla geen wachttijden over.
4. Update het DS-record bij de registrar als de nieuwe key DS klaar is. Voor .nl-domeinen gaat dat via je registrar naar SIDN; sommige registrars accepteren CDS-records zodat de zone het zelf publiceert.
5. Verifieer met DNSViz (dnsviz.net) of Verisign DNSSEC Debugger: groen = chain klopt, rood/geel = ergens een mismatch. Niet pas live gaan voor het 100% groen is.

Wanneer ons inschakelen: 
Bij chain-of-trust-fouten in productie (resolvers met DNSSEC-validatie zien je domein als BOGUS, niet bestaand): meld bij je DNS-provider en/of registrar parallel met een tijdelijke uitschakeling van DNSSEC. Wij draaien zo'n rollover met een collega erbij om dubbele controles te hebben.

Question 48

Let's Encrypt geeft 'too many certificates' op een actieve domein-setup

Accepted Answer

1. Stop met retry-in-loops voor je iets fixt. Een script dat elke 5 minuten een nieuwe cert probeert, brandt je rate-limit in een uur op en zet je een week stil.
2. Verifieer dat je niet dubbel certs vraagt: meerdere subdomeinen via aparte certs in plaats van één SAN-cert is een snel pad naar de limiet. Bundel waar het kan.
3. Gebruik de staging endpoint van LE (acme-staging-v02.api.letsencrypt.org) terwijl je de setup test. Geen rate-limit, en je weet wanneer de echte aanvraag gaat slagen.
4. Als de rate-limit al geraakt is en je hebt een werkend cert nodig: er bestaat een 'duplicate certificate' uitzondering en je kan tijdelijk uitwijken naar een andere CA (ZeroSSL doet ACME, Buypass ook). Geen permanente keuze, een ontsnappingsroute.
5. Voor de toekomst: gebruik een renew-tool met expontiele backoff bij faal (certbot, acme.sh, Caddy). Die proberen zelf niet eindeloos vlak na elkaar.

Wanneer ons inschakelen: 
Productie-site zonder geldig cert en rate-limit voor een week vol: niet improviseren met self-signed of een onverwachte CA. Bel ons, samen kiezen we de schoonste tijdelijke oplossing en herstellen we de automation daarna.

Question 49

Uptime Kuma zelf hosten of Better Stack nemen?

Accepted Answer

1. Tel hoeveel checks je echt nodig hebt (sites, API-endpoints, mailservers)
2. Pak Kuma op een 5 EUR-VPS als je Docker durft en geen SMS hoeft
3. Pak Better Stack of vergelijkbaar als je SMS-alerts en status-page wil zonder ops
4. Reken bij self-host backups, updates en TLS-certs mee in echte kosten

Wanneer ons inschakelen: 
Twijfel je tussen self-host en SaaS, vraag offerte voor de eerste 12 maanden bij beide.

Question 50

Moeten we een publieke status-page hebben?

Accepted Answer

1. Maak onderscheid: heb je externe klanten met SLA-verwachting?
2. Externe klanten: publieke status-page voorkomt support-tickets bij uitval
3. Interne tools: een chat-channel met automatische posts is genoeg
4. Schrijf een korte template voor incident-updates zodat je consistent communiceert

Wanneer ons inschakelen: 
Voor klanten met formele SLA, koppel status-page aan je incident-tracking-systeem.

Question 51

Apex-domein moet naar een hostnaam wijzen (bv. Vercel of Netlify), CNAME mag daar niet

Accepted Answer

1. Controleer eerst of je DNS-provider flattening of ALIAS/ANAME ondersteunt. Bij TransIP en Versio is dit beperkt, bij Cloudflare en Vercel standaard.
2. Verhuis indien nodig je DNS-zone naar een provider die het wel doet, dat scheelt later geknutsel met IP-adressen die zomaar wijzigen.
3. Zet op het apex een ALIAS- of flattened-CNAME-record naar de doelhostnaam, niet naar een vast IP, anders breekt het zodra het platform IP's wijzigt.
4. Verifieer met dig vectel.nl A en dig vectel.nl AAAA dat er gewoon adres-records terugkomen, niet een CNAME-keten.
5. Zet TTL op 300 seconden tijdens de eerste 48 uur na de wijziging zodat je snel terug kunt rollen.

Wanneer ons inschakelen: 
Twijfel je of je apex-setup veilig naar een edge-platform wijst zonder downtime, dan kunnen we de DNS-zone meekijken en de migratie plannen.

Question 52

Alleen A-records, geen AAAA, willen IPv6-bezoekers ook ondersteunen

Accepted Answer

1. Check eerst of je server of edge een werkend IPv6-adres heeft (curl -6 https://jouwsite of dig AAAA bij je hostingprovider).
2. Voeg AAAA-records toe naast bestaande A-records, dezelfde naam, ander record-type. Geen vervanging.
3. Test vanaf een IPv6-only client of via test-ipv6.com of de site bereikbaar is en TLS klopt.
4. Controleer ook MX-doelen, mail-servers krijgen vaak vergeten AAAA's terwijl reverse-DNS niet matcht, wat tot mailafleverproblemen leidt.
5. Houd de eerste week monitoring scherp, fouten manifesteren zich vaak alleen bij specifieke ISP's.

Wanneer ons inschakelen: 
Wil je AAAA breed uitrollen inclusief mail en monitoring zonder verrassingen, dan plannen we de uitrol gefaseerd in.

Question 53

Eigen mailserver, mail belandt in spam, vermoedelijk ontbrekende of foute PTR

Accepted Answer

1. Check je huidige PTR met dig -x 1.2.3.4 of host 1.2.3.4. Lege output of een generieke ISP-naam (bv. cust-1-2-3-4.kpn.net) is een rode vlag.
2. Vraag bij de hosting of ISP een PTR aan die exact matcht met de A-record van je mailserver, dus mail.vectel.nl moet terugresolven naar 1.2.3.4 én 1.2.3.4 moet terug naar mail.vectel.nl.
3. Zorg dat de hostnaam in je HELO/EHLO-banner van de mailserver hetzelfde is als de PTR, anders triggert het alsnog spam-filters.
4. Controleer met mxtoolbox.com of mail-tester.com of de PTR, SPF, DKIM en DMARC alle vier groen staan.
5. Bij IPv6-mailservers is een PTR ook vereist, vergeet die niet, anders weigert Google mail uit AAAA-bronnen.

Wanneer ons inschakelen: 
Als de hostingpartij geen PTR wil zetten of jullie zitten op een gedeeld IP, dan is uitwijken naar een verzendservice (Postmark, Mailgun) vaak beter dan blijven vechten.

Question 54

Site voelt traag bij eerste hit, wil weten of DNS-resolve een deel van de schuld is

Accepted Answer

1. Meet vanuit verschillende locaties met dig +stats vectel.nl @1.1.1.1 en @8.8.8.8 en @9.9.9.9, kijk naar de Query time.
2. Vergelijk met dig vectel.nl @ns1.jouwhuidigedns.nl direct op de authoritative server, dat scheidt resolver-latency van authoritative-latency.
3. Voor een gebruikerszicht: gebruik DNSPerf, dnscheck.tools of een synthetic-monitor van Better Stack/Pingdom met meetpunten in NL, DE, US.
4. Onder de 30 ms vanaf NL is gezond, boven de 100 ms vanaf een EU-resolver is signaal voor verhuizen of een Anycast-host bijschakelen.
5. Vergeet niet dat resolver-cache de meting beïnvloedt, gebruik dig +trace of unieke subdomeinen om dat te omzeilen.

Wanneer ons inschakelen: 
Heb je consistent hoge DNS-latency vanaf meerdere regio's en TTL's zijn laag, dan is een Anycast-DNS-host of split-zone setup vaak de fix die we mee kunnen plannen.

Question 55

Twijfel of Anycast-DNS de meerprijs waard is voor een MKB-site

Accepted Answer

1. Vraag jezelf eerst: zit 90 procent van je bezoekers in NL en BE, dan is een goede unicast-zone (Versio, Antagonist) prima.
2. Heb je internationale klanten, een SaaS-product of e-mail die wereldwijd snel moet aankomen, dan tikt Anycast (Cloudflare, NS1, Route 53, deSEC) makkelijk 50 tot 150 ms van de TTFB af in verre regio's.
3. Voor DDoS-mitigatie absorbeert Anycast aanvallen over meerdere PoPs, unicast-DNS bezwijkt bij volumetrische aanvallen sneller.
4. Check of de provider DNSSEC, ALIAS/CNAME-flattening en API-toegang biedt, want dat zijn vaak de breekpunten bij migratie.
5. Migratiekosten zelf zijn laag: zone exporteren als BIND-formaat, importeren bij nieuwe host, NS-records bij registrar wijzigen.

Wanneer ons inschakelen: 
Heb je een use case waar elke milliseconde telt of ben je doelwit van DDoS, dan kunnen we Cloudflare of NS1 inrichten en de migratie zonder downtime begeleiden.

Question 56

Nooit gemerkt dat DNS even uitviel, willen alarm bij DNS-storingen

Accepted Answer

1. Zet een DNS-monitor in (DNSPerf, Better Stack, UptimeRobot, RIPE Atlas) die per minuut van meerdere regio's je apex en MX-records ophaalt.
2. Monitor expliciet alle authoritative NS-records afzonderlijk (ns1, ns2, ns3) zodat je ziet als één node faalt terwijl de zone als geheel nog werkt.
3. Stel alarmen op antwoord-inhoud, niet alleen op antwoord-status. Een lege response of een SERVFAIL is anders dan een NXDOMAIN.
4. Voeg een DNSSEC-validatie toe in de monitor zodat je merkt als signing breekt voordat resolvers het record afkeuren.
5. Documenteer de runbook: NS-record terugzetten naar oude provider, kort TTL nodig, contactpersonen bij DNS-host.

Wanneer ons inschakelen: 
Heb je geen runbook of fallback-DNS, dan kunnen we een secundaire zone bij een tweede provider opzetten zodat een storing bij één host nooit alles platlegt.

Question 57

DNS-zone is jaren gegroeid, niemand weet meer welke records nog ergens voor dienen

Accepted Answer

1. Exporteer de zone (BIND-formaat of provider-export) en zet 'm in een spreadsheet of git-repo zodat je 'm kan diffen.
2. Per record: bestaat het doel nog (curl, ping, certificaat-check) en wie is eigenaar binnen het bedrijf? Onbekend = kandidaat voor verwijdering.
3. Filter alle CNAME's: wijzen ze nog naar levende hostnamen? CNAME naar een vervallen Heroku-app of S3-bucket is direct kapingsrisico.
4. Bekijk TXT-records: SaaS-verificaties, oude DKIM-keys, lege SPF-residu. Wat onbekend en oud is, kan weg na 30 dagen testperiode.
5. Plan de audit jaarlijks of bij elke DNS-host-migratie, en log iedere wijziging in een changelog of CMDB.

Wanneer ons inschakelen: 
Heb je honderden records of meerdere registrars en geen overzicht, dan kunnen we een audit doen, takeover-risico's markeren en de zone terugbrengen naar wat echt in gebruik is.

Question 58

Grote DNS-wijziging op de planning, geen plan B als het misgaat

Accepted Answer

1. Verlaag TTL minimaal 24 uur voor de wijziging naar 300 seconden, niet pas tijdens de wijziging zelf.
2. Maak een snapshot van de huidige zone (BIND-export of screenshots van het control panel) en zet die ergens waar je 'm zonder login bereikt.
3. Plan de wijziging buiten kantooruren als het kan, zeker voor MX en NS, en houd minimaal twee mensen stand-by met toegang tot DNS én registrar.
4. Test direct na publicatie met dig vanaf meerdere resolvers (1.1.1.1, 8.8.8.8, je eigen ISP) en niet alleen via je browser, want browsercache vertekent.
5. Definieer een kill-switch-criterium vooraf: 'Als binnen 15 minuten de monitor X% errors toont, draai we A naar Y terug.' Beslissingsmoeheid is je grootste vijand.

Wanneer ons inschakelen: 
Staat een grote DNS- of mail-migratie op de rol en wil je iemand erbij die de cutover begeleidt en rolt terug op signaal, dan plannen we 'm samen in.

Question 59

Marketing wil een subdomein op een eigen DNS-host beheren, hoofdomein blijft bij ons

Accepted Answer

1. Vraag de tweede partij om hun NS-records voor het subdomein, meestal 2 of 4 nameservers.
2. Maak in de hoofd-zone NS-records aan voor shop.vectel.nl die naar die nameservers wijzen, géén CNAME.
3. Bevestig met dig NS shop.vectel.nl @8.8.8.8 dat de delegatie klopt en met dig +trace dat het pad naar de tweede zone werkt.
4. Spreek af welke records de tweede partij wel én niet beheert, want zij krijgen volledig controle over alles onder shop.vectel.nl.
5. Documenteer de delegatie in je DNS-overzicht zodat een volgende beheerder snapt waarom een record bij dig op een andere server eindigt.

Wanneer ons inschakelen: 
Wil je delegatie veilig opzetten met duidelijk eigenaarschap en monitoring op beide zones, dan helpen we de afspraken en records inrichten.

Question 60

Interne servers willen we via een interne naam bereiken, extern moet hetzelfde domein anders resolven

Accepted Answer

1. Beslis eerst of split-horizon echt nodig is. Bij volledig cloud is een vierkante public-DNS-zone meestal eenvoudiger en veiliger.
2. Houd de zone-namen identiek (vectel.nl intern én extern) maar laat een interne resolver (Active Directory DNS, Pi-hole, Unbound) eigen records overschrijven.
3. Vermijd verschillende waarden voor publieke records (MX, SPF, TXT). Hou die identiek, anders breken mail- en API-tests vanaf binnen.
4. Documenteer welke records intern verschillen, want bij troubleshooting verdwaalt iedereen die zonder die kennis kijkt.
5. Test vanaf zowel binnen als buiten regelmatig met dig of nslookup, want één DHCP-wijziging die de interne resolver overslaat sloopt het.

Wanneer ons inschakelen: 
Heb je een hybride opstelling waar intern en extern uit elkaar lopen en mail-aflevering raar doet, dan kunnen we de DNS-architectuur opnieuw tekenen.

Question 61

Verwarring over wat 'authoritative' en 'recursive' DNS doen en welke je nodig hebt

Accepted Answer

1. Voor je domein heb je een authoritative provider nodig (TransIP, Cloudflare, Versio, Route 53). Daar bewerk je records.
2. Voor je werkplek-clients gebruik je een recursive resolver. Vaak die van je router/ISP, maar 1.1.1.1 of 9.9.9.9 zijn meestal sneller en privacy-vriendelijker.
3. Op kantoor met AD: laat clients de Domain Controllers gebruiken als recursive (zij forwarden naar publieke resolvers), niet rechtstreeks 8.8.8.8.
4. Open nooit een recursive resolver naar het publieke internet. Dat is een open relay voor DNS-amplification-aanvallen.
5. Twijfel je waar een probleem zit, dan: dig @authoritative-server tegenover dig @publieke-resolver, het verschil zegt of cache of bron de schuld is.

Wanneer ons inschakelen: 
Heb je een mix van AD, on-prem-resolvers en cloud-DNS en raken records verstrengeld, dan kunnen we de architectuur opnieuw indelen.

Question 62

Lees over DNS-cache-poisoning, wil weten of MKB-setup kwetsbaar is

Accepted Answer

1. Gebruik geen verouderde DNS-software op kantoor (oude BIND, oude Windows DNS). Patches sluiten Kaminsky-class kwetsbaarheden.
2. Schakel DNSSEC in voor je eigen domein bij de registrar, dat beschermt clients met validerende resolvers tegen vervalste antwoorden van jouw zone.
3. Laat clients een resolver gebruiken die DNSSEC valideert (1.1.1.1, 9.9.9.9, of je eigen Unbound), niet alleen forwardt.
4. Overweeg DNS over HTTPS (DoH) of DNS over TLS (DoT) voor laptops buiten kantoor, zodat man-in-the-middle op WiFi geen DNS kan onderscheppen.
5. Disable open recursive resolvers op je firewall/router, want die zijn niet alleen poisoning- maar ook DDoS-amplifier-target.

Wanneer ons inschakelen: 
Wil je een review van je DNS-keten van client tot autoritative, met DNSSEC en DoH waar het zin heeft, dan plannen we dat in.

Question 63

Hosting-provider waarschuwt dat onze DNS-server gebruikt is in een amplification-aanval

Accepted Answer

1. Beperk de recursive resolver tot je eigen netwerk: in BIND allow-recursion {trusted;}, in Windows DNS dezelfde scope-restrictie.
2. Disable EDNS-grote-responses voor onbekende bronnen, of activeer Response Rate Limiting (RRL) op je authoritative server.
3. Zet rate-limiting op de firewall voor inkomende UDP-poort 53 vanuit het publieke internet, een paar honderd queries per seconde max.
4. Controleer met openresolver.com of dnsinspect.com of je IP nog op een lijst van open resolvers staat.
5. Beweeg waar mogelijk naar een managed Anycast-DNS (Cloudflare, NS1) zodat amplification-mitigatie niet meer jouw probleem is.

Wanneer ons inschakelen: 
Ben je doelwit of bron van DNS-misbruik en blijven abuse-mails binnenkomen, dan helpen we de resolver dichtzetten en de host-relatie opschonen.

Question 64

Browsers gebruiken DoH, IT wil weten wat dat betekent voor monitoring en filtering

Accepted Answer

1. Inventariseer waar DoH al actief is: Chrome, Firefox, Edge en Windows 11 hebben het soms standaard aan, soms via flag.
2. Op kantoor met AD: push group policy 'Configure DNS over HTTPS' naar Off voor managed-devices, en stuur ze via je interne resolver.
3. Voor laptops buiten kantoor: kies één goedgekeurde DoH-resolver (NextDNS, Cloudflare for Teams) zodat je policies en logs hebt.
4. Block onbekende DoH-endpoints op de firewall via DNS-resolver-blocklists, zodat clients niet stiekem naar een willekeurige resolver gaan.
5. Communiceer naar gebruikers waarom je dit doet: niet privacy-vijandig, maar nodig voor security-monitoring en compliance.

Wanneer ons inschakelen: 
Wil je een DoH-strategie die werkt voor zowel kantoor als thuis zonder dat IT blind wordt, dan kunnen we NextDNS of vergelijkbaar inrichten.

Hosting, domeinen en DNS