~/dnsniffer/dns

▸ DNS 查询与记录历史

查看我们为任意域名解析到的 A、AAAA、NS、MX 和 TXT 记录，以及自开始记录以来的每一次变化。这不是实时查询，而是逐月保存下来的真实记录集。

输入一个域名，查看它的记录以及记录的变化过程。

DNSniffer 每月为它已知的每一个域名做一次解析，并把结果保存下来。本页就是这份档案的入口：输入一个域名，你会看到它的当前记录集以及我们记录过的每一段区间，覆盖约 492,927,803 个域名和 3,208,031,821 段已保存的记录区间。

与其他 DNS 查询工具的区别在后半部分。实时执行 dig 只能告诉你域名此刻指向哪里。这里能告诉你它去年三月指向哪里、邮件主机是什么时候换的，以及你看到的这组域名服务器是用了多年还是上个月才出现的。

# 工作方式

▸ 这份档案是怎么建起来的

▸ 每月一轮: 语料库中的每个域名按月轮转解析。扫描以较低速率持续进行，而不是集中爆发，因此没有任何权威服务商会从我们这里看到流量尖峰。
▸ 五种记录类型: 我们查询 A、AAAA、MX 和 TXT。NS 在有区域文件时直接取自区域文件，否则才查询。SOA 不做收集：它几乎从来不是人们想找的东西。
▸ 区间而非快照: 每个值只保存一次，带有首次出现和最后确认的日期，而不是每月一份。从不变化的记录就是一行，这正是让多年历史可以负担得起的原因。
▸ 空档会被保留: 消失一个月又回来的值会开启第二段区间，而不是延长第一段。中断依然可见，不会被存储层抹平。
▸ 缺席同样会被记录: 大约四分之一的已注册域名解析不到任何结果。我们把它记为 nxdomain 或 nodata，这样"没有记录"和"从未检查"就是两个不同的答案。
▸ 使用我们自己的解析器: 查询通过我们自建的递归解析器发出，分散在一个很大的地址范围内，并通过反向 DNS 指向我们的爬虫说明页。中间没有任何第三方解析器。

# 示例

▸ 试试查询

域名	能看到什么
example.com	保留给文档使用的域名，记录集小而稳定。
github.com	一个大型站点，有多条 A 记录和很长的 TXT 区块。
wikipedia.org	横跨大型基础设施的 anycast 地址和邮件记录。
cloudflare.com	承载了约五分之一 NS 记录的域名服务器运营商。

每个示例都是对档案的真实查询，不是预先准备好的结果。

# 使用场景

▸ 人们拿它做什么

基础设施考古

弄清一个域名是什么时候更换主机、更换邮件服务商或转移注册商的，即便当时并没有在运行任何监控。

威胁调查

从一个 IP 反查所有曾经指向它的域名，或者确认某次事件中用到的域名在启用前是否处于停放状态。

攻击面梳理

找出那个仍然指向已下线主机的被遗忘子域名，并看清这种状态已经持续了多久。

迁移验证

确认一次 DNS 切换确实传播到了权威服务器，并且旧记录真的已经不再被提供。

# 数据

▸ 档案里有什么

语料库涵盖 DNSniffer 跟踪的每一个域名，来源有两处：我们获得授权下载的 gTLD 区域文件，以及在证书透明度日志中观察到的每一个主机名。正是第二个来源才让 ccTLD 域名出现在这里，因为它们没有区域文件。

由于档案由我们自己的查询构建，而不是来自第三方数据流，结果可以由我们发布。取自区域文件的 NS 记录另行处理，不包含在批量下载中。

▸ 已解析约 492,927,803 个域名，最近完成的一轮为 2026-10-12。
▸ A、AAAA、MX 和 TXT 直接查询；有区域文件时 NS 取自区域文件。
▸ 每个值都带有首次出现的日期和最后一次被确认的日期。

# 局限

▸ 它不是什么

它不是实时查询。这里最新的答案来自最近完成的一轮扫描，可能已有一个月之久。如果你需要知道此刻的解析结果，请用 dig。
两轮之间的变化是看不见的。在同一个月内出现又消失的记录，对这份档案来说从未存在过。
历史从我们开始的那天算起。没有回填，也无法还原首轮扫描之前的解析结果。这份档案只会随时间变得更有用。

# 常见问题

▸ 问题

? 覆盖了多少域名？

约 492,927,803 个。包括我们能下载到的 gTLD 区域文件中的全部域名，以及在证书透明度日志中出现过的全部域名，ccTLD 域名正是由此进入。

? 一个域名多久会被重新解析一次？

每月一次。完整一轮需要数天，并以较低速率持续运行而非一次性完成，因此每个域名大约每 30 天会被重新检查一次。

? 为什么没有 SOA？

这是刻意舍弃的。约四分之三的活跃域名有 SOA，但它几乎从来不是人们要查的东西，为它付出三分之一的查询量换来的价值太少。

? 这里的"不存在"是什么意思？

指权威域名服务器返回了 NXDOMAIN：该名称未注册，或虽已注册但没有委派。这本身就是一条被保存下来的事实，因此它与我们根本没有检查过的域名是可以区分开的。

? 可以批量获取吗？

可以。同一份档案会生成按 TLD 划分的月度导出文件供下载。我们自己查询得到的记录包含在内，取自区域文件的 NS 记录不包含。

? 有 API 吗？

有，位于 /api/v1/dns/492,927,803。它可以返回当前记录集、过去某个日期的记录集，或全部已记录的区间，并且同样可以通过 MCP 访问。