~/dnsniffer/dns

▸ DNS-Abfrage und Eintragsverlauf

Sehen Sie die A-, AAAA-, NS-, MX- und TXT-Einträge, die wir für eine Domain aufgelöst haben, und jede Änderung seit Beginn der Aufzeichnung. Keine Live-Abfrage: Das ist der Stand Monat für Monat.

Geben Sie eine Domain ein, um ihre Einträge und deren Änderungen zu sehen.

DNSniffer löst jede bekannte Domain einmal im Monat auf und bewahrt die Antwort auf. Diese Seite ist der Zugang zu diesem Archiv: Geben Sie eine Domain ein und Sie erhalten ihren aktuellen Eintragsbestand sowie jedes aufgezeichnete Intervall, über rund 492.927.803 Domains und 3.208.031.821 gespeicherte Intervalle.

Der Unterschied zu jedem anderen DNS-Werkzeug liegt in der zweiten Hälfte. Ein Live-Aufruf von dig sagt Ihnen, worauf eine Domain gerade zeigt. Hier sehen Sie, worauf sie im März zeigte, wann der Mailserver wechselte und ob die Nameserver seit Jahren dieselben sind oder erst letzten Monat dazukamen.

# funktionsweise

▸ Wie das Archiv entsteht

▸ Ein Durchlauf pro Monat: Jede Domain im Bestand wird in einem monatlichen Zyklus aufgelöst. Der Durchlauf läuft dauerhaft mit niedriger Rate statt in Schüben, damit kein autoritativer Betreiber eine Spitze von uns sieht.
▸ Fünf Eintragstypen: Wir fragen A, AAAA, MX und TXT ab. NS stammt aus der Zonendatei, sofern es eine gibt, und wird sonst abgefragt. SOA wird nicht erfasst: Es ist fast nie das, wonach jemand sucht.
▸ Intervalle statt Momentaufnahmen: Jeder Wert wird einmal mit einem Erst- und einem Zuletzt-Datum gespeichert, nicht einmal pro Monat. Ein Eintrag, der sich nie ändert, ist eine einzige Zeile - das macht jahrelange Historie bezahlbar.
▸ Lücken bleiben erhalten: Ein Wert, der einen Monat lang fehlt und dann zurückkehrt, eröffnet ein zweites Intervall statt das erste zu verlängern. Der Ausfall bleibt sichtbar, statt von der Speicherschicht geglättet zu werden.
▸ Auch Abwesenheit wird festgehalten: Rund ein Viertel aller registrierten Domains löst sich in nichts auf. Wir speichern das als nxdomain oder nodata, damit "keine Einträge" und "nie geprüft" verschiedene Antworten sind.
▸ Abfrage über unseren eigenen Resolver: Die Abfragen laufen über einen von uns betriebenen rekursiven Resolver, verteilt über einen großen Adressbereich und per Reverse-DNS als unser Crawler ausgewiesen. Kein fremder Resolver sitzt dazwischen.

# beispiele

▸ Abfrage ausprobieren

Domain	Was sie zeigt
example.com	Die reservierte Dokumentations-Domain. Kleiner, stabiler Eintragsbestand.
github.com	Eine große Website mit mehreren A-Einträgen und einem langen TXT-Block.
wikipedia.org	Anycast-Adressen und Mail-Einträge über eine große Infrastruktur hinweg.
cloudflare.com	Der Nameserver-Betreiber hinter etwa einem Fünftel aller NS-Einträge.

Jedes Beispiel ist eine echte Abfrage gegen das Archiv, kein vorbereitetes Ergebnis.

# anwendungsfälle

▸ Wofür es genutzt wird

Infrastruktur-Archäologie

Ermitteln Sie, wann eine Domain den Host wechselte, den Mailanbieter tauschte oder den Registrar verließ, ohne damals eine Überwachung laufen gehabt zu haben.

Bedrohungsanalyse

Wechseln Sie von einer IP zu allen Domains, die darauf zeigten, oder prüfen Sie, ob eine bei einem Vorfall genutzte Domain vorher geparkt war.

Prüfung der Angriffsfläche

Finden Sie die vergessene Subdomain, die noch auf einen abgeschalteten Host zeigt, und sehen Sie, wie lange das schon so ist.

Migration überprüfen

Bestätigen Sie, dass eine DNS-Umstellung wirklich bei den autoritativen Servern angekommen ist und die alten Einträge tatsächlich nicht mehr ausgeliefert werden.

# daten

▸ Was im Archiv steckt

Der Bestand umfasst jede von DNSniffer erfasste Domain und speist sich aus zwei Quellen: den gTLD-Zonendateien, für die wir eine Lizenz haben, und jedem in Certificate Transparency beobachteten Hostnamen. Erst diese zweite Quelle bringt ccTLD-Domains überhaupt hinein, denn für sie gibt es keine Zonendatei.

Weil das Archiv aus unseren eigenen Abfragen entsteht und nicht aus einem fremden Datenstrom, dürfen wir die Ergebnisse veröffentlichen. NS-Einträge aus Zonendateien werden anders behandelt und sind nicht Teil der Massendownloads.

▸ Rund 492.927.803 Domains aufgelöst, letzter abgeschlossener Durchlauf 2026-10-12.
▸ A, AAAA, MX und TXT direkt abgefragt; NS aus der Zonendatei, sofern vorhanden.
▸ Jeder Wert trägt das Datum seines ersten Auftretens und seiner letzten Bestätigung.

# grenzen

▸ Was das nicht ist

Es ist keine Live-Abfrage. Die neueste Antwort hier stammt aus dem letzten abgeschlossenen Durchlauf und kann bis zu einen Monat alt sein. Wer den Stand von jetzt braucht, nimmt dig.
Eine Änderung zwischen zwei Durchläufen ist unsichtbar. Ein Eintrag, der innerhalb eines Monats auftauchte und wieder verschwand, hat für dieses Archiv nie existiert.
Die Historie beginnt, als wir begannen. Es gibt keine Nachträge und keinen Weg zurück vor den ersten Durchlauf. Das Archiv wird mit der Zeit nur nützlicher.

# faq

▸ Fragen

? Wie viele Domains sind abgedeckt?

Rund 492.927.803. Jede Domain aus einer herunterladbaren gTLD-Zonendatei sowie jede in Certificate Transparency gesehene Domain, worüber auch ccTLD-Domains hineinkommen.

? Wie oft wird eine Domain erneut aufgelöst?

Einmal im Monat. Ein vollständiger Durchlauf dauert mehrere Tage und läuft dauerhaft mit niedriger Rate statt auf einmal, sodass eine Domain etwa alle 30 Tage neu geprüft wird.

? Warum fehlt SOA?

Es wurde bewusst weggelassen. SOA existiert für etwa drei Viertel der aktiven Domains und ist fast nie das Gesuchte, sodass die Abfrage ein Drittel des Verkehrs für sehr wenig Nutzen bedeuten würde.

? Was bedeutet hier "existiert nicht"?

Dass der autoritative Nameserver mit NXDOMAIN geantwortet hat: Der Name ist nicht registriert, oder er ist registriert, aber ohne Delegierung. Das wird als eigenständige Tatsache gespeichert und ist deshalb von einer nie geprüften Domain unterscheidbar.

? Gibt es das auch als Massendownload?

Ja. Monatliche Exporte je TLD entstehen aus demselben Archiv und stehen zum Herunterladen bereit. Selbst abgefragte Einträge sind enthalten, NS-Einträge aus Zonendateien nicht.

? Gibt es eine API?

Ja, unter /api/v1/dns/492.927.803. Sie liefert den aktuellen Bestand, den Bestand zu einem vergangenen Datum oder jedes aufgezeichnete Intervall, und ist auch über MCP erreichbar.