PTR-record: reverse DNS voor je e-mail uitgelegd

Een PTR-record koppelt een IP-adres aan een hostname en vormt zo de basis van reverse DNS, het omgekeerde van een gewone A- of AAAA-lookup. Voor wie zelf een mailserver of VPS beheert is het PTR-record onmisbaar: zonder een kloppend PTR-record weigeren grote e-mailproviders zoals Gmail, Yahoo en Microsoft je uitgaande post, of belandt die in de spammap. In dit artikel lees je wat een PTR-record is, hoe reverse DNS werkt, wie het instelt en hoe je het zelf controleert.

Wat is een PTR-record?

Een PTR-record (pointer record) wijst een IP-adres terug naar een hostname. Het is het spiegelbeeld van het A-record, dat een hostname naar een IPv4-adres wijst, en het AAAA-record, dat naar een IPv6-adres wijst. Omdat het record van adres naar naam werkt, heet dit reverse DNS of een reverse lookup.

In de DNS-standaard heeft het PTR-record recordtype 12. Het is gedefinieerd in RFC 1035 uit 1987, dezelfde standaard die ook het A-record en de rest van het klassieke DNS beschrijft. Als waarde bevat het record een volledige hostname (een FQDN) zoals mail.jouwdomein.nl, en dus geen IP-adres en geen verwijzing naar een ander alias.

Waarom is een PTR-record belangrijk voor e-mail?

Het belangrijkste gebruik van reverse DNS is e-mailaflevering. Een ontvangende mailserver controleert bij elke verbinding het IP-adres waarvandaan je bericht komt. Heeft dat IP-adres geen record, of wijst het naar een algemene of niet-kloppende naam, dan beschouwen veel servers je mail als verdacht.

Sinds 1 februari 2024 stellen Google en Yahoo geldige reverse DNS zelfs verplicht voor afzenders van grote hoeveelheden e-mail: het verzendende IP-adres moet een geldig, betekenisvol PTR-record hebben. Ook Microsoft (Outlook.com en Hotmail) weigert post van IP-adressen zonder geldige reverse DNS. Voor een eigen mailserver is dit daarom in de praktijk verplicht, niet optioneel.

Let op: een PTR-record staat los van SPF, DKIM en DMARC. Die drie regelen de authenticatie van je domein, terwijl het record op het niveau van het IP-adres werkt. Je hebt ze allebei nodig; een perfect ingestelde SPF, DKIM en DMARC maken een ontbrekend record niet goed.

Hoe reverse DNS werkt: de reverse zone

Reverse DNS gebruikt een aparte tak van het DNS: de reverse zone. Voor IPv4 is dat het domein in-addr.arpa, voor IPv6 het domein ip6.arpa.

Bij IPv4 worden de vier delen (octetten) van het IP-adres in omgekeerde volgorde gezet en aangevuld met .in-addr.arpa. Op die naam staat vervolgens het record met de hostname. De omgekeerde volgorde leest onhandig, maar maakt het mogelijk om een netwerkblok netjes te delegeren.

Bij IPv6 wordt het volledige adres uitgeschreven in 32 losse hexadecimale tekens (nibbles), in omgekeerde volgorde geplaatst en aangevuld met .ip6.arpa. Een voorbeeld van beide maakt het concreet:

IPv4
  IP-adres:      192.0.2.10
  Reverse naam:  10.2.0.192.in-addr.arpa
  PTR-waarde:    mail.jouwdomein.nl

IPv6
  IP-adres:      2001:db8::1
  Reverse naam:  1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.8.b.d.0.1.0.0.2.ip6.arpa

Wie stelt het PTR-record in?

Hier zit het grootste misverstand. Je kunt een PTR-record niet zelf in de DNS-zone van je domein zetten, zoals je dat met een A- of MX-record wel doet. Zo'n record hoort namelijk niet bij je domein, maar bij het IP-adres, en de reverse zone van een IP-adres wordt beheerd door de eigenaar van het IP-blok: je hosting- of VPS-provider, of in sommige gevallen je internetprovider.

In de praktijk vraag je het PTR-record dus aan bij de partij van wie je het IP-adres huurt. Sommige providers bieden hiervoor een veld in het klantpaneel, andere stellen het in op verzoek. Heb je een residentieel of dynamisch IP-adres van een thuisaansluiting, dan kun je meestal helemaal geen eigen record instellen; zulke adressen zijn voor uitgaande e-mail ook vaak geblokkeerd.

Bij LJPc hosting beheer je je forward-records, zoals A, AAAA, CNAME en MX, zelf via het DNS-beheer, maar een PTR-record valt onder de reverse zone van het IP-adres. Heb je een PTR-record nodig voor een IP-adres dat bij LJPc hosting draait, neem dan contact op met support.

Een PTR-record instellen, stap voor stap

De volgorde hieronder voorkomt de meeste fouten. Werk de stappen rustig af en controleer pas daarna het resultaat.

1. Zorg voor een vast (statisch) IP-adres waarvan je de reverse DNS mag laten instellen.
2. Kies de hostname van je mailserver, bijvoorbeeld mail.jouwdomein.nl.
3. Maak een forward-record aan: een A-record voor IPv4 of een AAAA-record voor IPv6, dat die hostname naar het IP-adres laat wijzen.
4. Vraag het PTR-record aan bij je provider, met als waarde precies diezelfde hostname.
5. Stel je mailserver zo in dat hij zich met diezelfde hostname meldt (de HELO/EHLO-naam).
6. Controleer het resultaat met de tools verderop in dit artikel.

Gebruik bij voorkeur één duidelijk PTR-record per IP-adres. Meerdere records op hetzelfde IP-adres mogen technisch wel, maar zorgen voor verwarring bij spamfilters en logbestanden.

Forward-confirmed reverse DNS (FCrDNS)

Mailservers controleren niet alleen óf er een record is, maar ook of het in beide richtingen klopt. Dat heet forward-confirmed reverse DNS (FCrDNS) of een full-circle-controle:

• Het IP-adres heeft een PTR-record dat naar een hostname wijst.
• Die hostname heeft een A- of AAAA-record dat terugwijst naar precies hetzelfde IP-adres.

Komen beide richtingen overeen, dan slaagt de controle. Daarom is het belangrijk dat het record, het forward-record en de HELO/EHLO-naam van je mailserver alle drie dezelfde hostname gebruiken. Wijken ze van elkaar af, dan loopt je e-mail het risico om te worden afgewezen of als spam te worden gemarkeerd.

Je PTR-record controleren

Je kunt reverse DNS zelf opvragen met standaard DNS-tools. Vervang het voorbeeld-IP door je eigen adres.

Op Linux en macOS gebruik je dig met de optie -x:

dig -x 192.0.2.10 +short

Op Windows gebruik je nslookup:

nslookup 192.0.2.10

Het commando host werkt ook:

host 192.0.2.10

Controleer daarna of de teruggegeven hostname met een gewone forward-lookup weer naar hetzelfde IP-adres wijst, bijvoorbeeld met dig mail.jouwdomein.nl +short. Komen beide uit op hetzelfde adres, dan is je reverse DNS in orde.

Veelvoorkomende problemen

De meeste klachten over reverse DNS zijn terug te brengen tot een handvol oorzaken.

Een correct ingesteld record is een kleine stap met een groot effect op je e-mailaflevering. Kom je er niet uit? Neem contact op met support.