TXT-record: wat het is en hoe je er een aanmaakt

Een TXT-record is een type DNS-record waarmee je losse stukjes tekst aan je domein koppelt. Je gebruikt zo'n TXT-record onder andere om te bewijzen dat een domein van jou is en om je e-mail te beveiligen met SPF, DKIM en DMARC. In dit artikel lees je wat een TXT-record precies is, waarvoor je het gebruikt, hoe de inhoud is opgebouwd en hoe je er zelf een aanmaakt en controleert.

Wat is een TXT-record?

Een TXT-record (de afkorting staat voor text) is een van de standaard recordtypen in het Domain Name System (DNS), het systeem dat domeinnamen vertaalt naar onder meer IP-adressen. Het recordtype is al in 1987 vastgelegd in RFC 1035, een van de oorspronkelijke DNS-specificaties.

Oorspronkelijk was een TXT-record bedoeld voor vrije, voor mensen leesbare tekst bij een domein, bijvoorbeeld een korte notitie. Tegenwoordig staat er bijna altijd machineleesbare informatie in: korte tekstregels die andere systemen automatisch uitlezen. Het record verandert niets aan je website of je e-mail zelf, maar geeft andere partijen een betrouwbare manier om iets over jouw domein te controleren.

Waarvoor gebruik je een TXT-record?

Een TXT-record kan voor veel dingen worden gebruikt. Dit zijn de toepassingen die je in de praktijk het vaakst tegenkomt.

Domeinverificatie

Veel online diensten willen zeker weten dat jij echt de eigenaar van een domein bent voordat je ze mag gebruiken. Denk aan Google Search Console, Microsoft 365 of een advertentie- of socialmediaplatform. De dienst geeft je dan een unieke verificatiecode, ook wel een token genoemd. Die zet je als TXT-record in je DNS. De dienst leest het record uit, ziet de juiste code en weet zo dat jij toegang tot het domein hebt.

E-mailbeveiliging met SPF, DKIM en DMARC

De bekendste toepassing is e-mailbeveiliging. Drie veelgebruikte standaarden worden allemaal als TXT-record gepubliceerd:

• SPF (Sender Policy Framework) legt vast welke servers namens jouw domein e-mail mogen versturen. Je publiceert per domein één SPF-record dat begint met v=spf1.
• DKIM (DomainKeys Identified Mail) zet een digitale handtekening onder je berichten. De bijbehorende publieke sleutel staat in een TXT-record op een naam als selector._domainkey.jouwdomein.nl.
• DMARC (Domain-based Message Authentication, Reporting and Conformance) vertelt ontvangende servers wat ze moeten doen met e-mail die de controle niet doorstaat. Dit record staat op _dmarc.jouwdomein.nl.

Samen helpen deze drie standaarden te voorkomen dat iemand e-mail verstuurt die lijkt te komen van jouw domein.

Andere toepassingen

Een TXT-record komt ook bij andere technieken voor. Een paar voorbeelden:

• Een SSL-certificaat aanvragen via DNS-validatie, de zogeheten ACME DNS-01-challenge die onder andere Let's Encrypt gebruikt, op een naam als _acme-challenge.jouwdomein.nl.
• BIMI, waarmee je merklogo naast je e-mail kan verschijnen in de mailbox van de ontvanger.
• MTA-STS en TLS-RPT, die de transportbeveiliging van e-mail verbeteren.

De techniek is steeds hetzelfde: een stukje tekst in DNS dat een ander systeem uitleest.

Hoe ziet een TXT-record eruit?

Een TXT-record bestaat uit dezelfde basisvelden als andere DNS-records, plus de tekstwaarde zelf.

De waarde van een TXT-record is dus een tekenreeks tussen aanhalingstekens. Eén losse tekenreeks mag maximaal 255 tekens lang zijn. Voor korte records is dat geen probleem, maar een DKIM-sleutel is vaak langer. In dat geval splits je de waarde in meerdere stukken van maximaal 255 tekens, elk tussen eigen aanhalingstekens. De uitlezende software plakt die stukken weer aan elkaar tot één geheel.

In een zonebestand zien een paar veelvoorkomende TXT-records er bijvoorbeeld zo uit:

; Domeinverificatie op het hoofddomein
@        IN  TXT  "google-site-verification=AbC123voorbeeldtoken"

; Een SPF-record
@        IN  TXT  "v=spf1 include:_spf.example.nl ~all"

; Een DMARC-record op een subnaam
_dmarc   IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@jouwdomein.nl"

In het beheerpaneel van je provider zie je meestal geen zonebestand, maar losse invoervelden voor de naam, de TTL en de waarde.

Zelf een TXT-record aanmaken

Het aanmaken van een TXT-record gaat bij vrijwel elke provider in een paar stappen. De exacte schermnamen verschillen per hostingpartij of domeinregistrar, maar het idee is overal hetzelfde.

1. Log in op het beheerpaneel van de partij die je DNS beheert. Dat is meestal je hostingprovider of je domeinregistrar.
2. Open het DNS-beheer of de zone-editor van het juiste domein.
3. Kies ervoor om een nieuw record toe te voegen en selecteer TXT als type.
4. Vul bij de naam of host in waar het record moet komen. Gebruik @ of laat het veld leeg voor het hoofddomein, of vul een subnaam in zoals _dmarc.
5. Plak de waarde die je hebt gekregen of opgesteld in het waardeveld. Neem de tekst exact over en voeg zelf geen extra aanhalingstekens toe, want de meeste panelen doen dat automatisch.
6. Stel een TTL in of laat de standaardwaarde staan.
7. Sla het record op.

Daarna is het een kwestie van wachten tot de wijziging is doorgevoerd.

Hoe lang duurt het voordat een TXT-record werkt?

Een nieuw of gewijzigd TXT-record is meestal binnen enkele minuten tot een paar uur zichtbaar. Houd er rekening mee dat het door caching tot 24 à 48 uur kan duren voordat de wijziging overal is doorgevoerd. De ingestelde TTL bepaalt voor een groot deel hoe snel oude gegevens verdwijnen. Wil je een record binnenkort wijzigen, verlaag dan vooraf de TTL.

Een TXT-record controleren

Je kunt zelf nakijken of een TXT-record klopt en al zichtbaar is. Op Windows gebruik je de opdrachtprompt, op macOS en Linux de terminal.

• Windows: nslookup -type=TXT jouwdomein.nl
• macOS en Linux: dig TXT jouwdomein.nl +short

Je ziet dan de tekstwaarde of waarden die op die naam staan. Voor een record op een subnaam vul je de volledige naam in, bijvoorbeeld dig TXT _dmarc.jouwdomein.nl +short. Daarnaast bestaan er gratis online controletools waarmee je een TXT-record vanaf meerdere locaties tegelijk kunt opvragen.

Veelgemaakte fouten en hoe je ze oplost

Met een TXT-record regel je zo belangrijke zaken als domeinverificatie en e-mailbeveiliging met een eenvoudige regel tekst in je DNS. Kom je er niet uit? Neem contact op met support.