SVCB/HTTPS-Record

Nach RFC 9460 + 9461 + 9540

Service-Binding-DNS-Record (RFC 9460) mit ALPN, IPv4/IPv6-Hints, ECH und dohpath. Löst A/AAAA für HTTPS, DoH und DoT ab.

Was ist das, und wann brauche ich es?

Was ist das?

SVCB- und HTTPS-Resource-Records (RFC 9460) sind die moderne DNS-Schicht, die einen Hostnamen mit dem tatsächlichen Transport verknüpft: ALPN-Protokolle (HTTP/2, HTTP/3), alternative Ports, IPv4/IPv6-Hints, ECH-Config für Encrypted ClientHello und DoH/OHTTP-Discovery. Der HTTPS-Record ist die spezialisierte SVCB-Form für HTTPS-Origins.

Browser (Chrome, Firefox, Safari) und Resolver fragen den HTTPS-Record vor dem A/AAAA ab, wodurch Sie HTTP/3 ohne Alt-Svc-Header bewerben und ECH ohne SNI-Leak ausrollen können.

Wann brauche ich das?

Sinnvoll sobald HTTP/3 ausgeliefert oder ECH eingeschaltet werden soll. Auch praktisch für DoH/DoT-Resolver-Discovery (RFC 9461), wo der SVCB-Record das dohpath-Template trägt, mit dem der Client DoH-Anfragen baut.

Adoption-Hinweis: der Record ist additiv - Clients, die ihn nicht verstehen, fallen auf A/AAAA zurück. Drop-in-sicher.

Sollte vorher schon vorhanden sein

TLS-Zertifikat für den TargetName

Sinnvolle nächste Schritte

Record-Typ Owner-Name Bei HTTPS in der Regel die Apex-Domain (example.com). Bei SVCB der vollständige DNS-Owner inklusive Service-Präfix, z. B. _dns.resolver.example.com für DoH (RFC 9461) oder _853._tcp.dot.example.com für einen Custom-DoT-Hint.

SvcPriority 0 = Aliasmodus (TargetName zeigt auf einen anderen Owner mit Records dort). 1..65535 = Servicemodus (TargetName und SvcParams hier). TargetName . bedeutet „derselbe Owner“. Im Servicemodus oft .. Aliasmodus verlangt einen echten Hostnamen. TTL (Sekunden) Optional. Default 3600. DNS-Provider übernehmen oft eigene Defaults.

Vorlagen:

SvcParams (Servicemodus) ALPN-Tokens Komma-getrennte Liste der unterstützten Application-Layer-Protokolle. Üblich: h2,h3 oder h3,h2,http/1.1. Für DoT: dot. Für DoH: h2. no-default-alpn setzen Wenn aktiv, deaktiviert der Client den implizit angenommenen Default-ALPN (sonst zählt http/1.1 für HTTPS automatisch dazu).

Port-Override Optional. Wenn der Service nicht auf dem Schema-Default-Port läuft (z. B. HTTPS auf 8443). dohpath (RFC 9461) Pfad-Template für DoH, muss {?dns} oder {dns} enthalten. Beispiel: /dns-query{?dns}.

IPv4-Hints Komma-getrennte IPv4-Adressen, die der Client als Hint statt eines separaten A-Records nutzt. Beschleunigt den ersten Connect. IPv6-Hints Komma-getrennte IPv6-Adressen analog zu ipv4hint.

ECH-Config (Base64) Encrypted ClientHello, Base64-kodiert. Cloudflare und Mozilla rotieren das automatisch; üblicherweise nicht von Hand pflegen, sondern aus dem Provider-Dashboard übernehmen. OHTTP-Flag setzen (RFC 9540) Wenn aktiv, signalisiert der Record, dass der Service OHTTP-Gateway-Anfragen akzeptiert. mandatory-Keys Optional. Komma-getrennte Liste von SvcParam-Keys, die der Client zwingend verstehen muss, sonst verwirft er den Record (RFC 9460 § 8). Selten nötig.

DNS-Record im Zone-File-Format nach RFC 9460 + 9461 + 9540

example.com.	3600	IN	HTTPS	1 . alpn="h3,h2"

So tragen Sie diesen Record beim DNS-Provider ein

Der oben generierte Eintrag besteht aus drei Teilen: dem Record-Typ (typisch TXT, manchmal CAA), dem Host (Subdomain wie _dmarc, _smtp._tls oder leer für die Stamm-Domain) und dem Wert (der eigentliche Inhalt in Anführungszeichen). Diese drei Felder werden bei jedem DNS-Provider genauso abgefragt - nur das Menü-Wording unterscheidet sich.

INWX (Dernium-Standard für Neukunden)

Login bei www.inwx.de.
Reiter Nameserver → Domain auswählen → Nameserver-Sets verwalten → DNS-Einträge.
Knopf Neuen Eintrag anlegen.
Typ wählen (z. B. TXT), Hostname eintragen (für die Stamm-Domain das Feld leer lassen, sonst _dmarc o. Ä.), Wert einfügen, TTL bei 3600 belassen.
Speichern. Propagation üblich innerhalb von 5-15 Minuten.

Strato

Login im Strato-Kundenservicebereich.
Menü Domains → Domain auswählen → Verwalten.
Abschnitt DNS-Verwaltung → Nameserver/DNS-Einstellungen anpassen.
Bei Eigene DNS-Verwaltung den passenden Record-Typ wählen (TXT-Records sind ein eigener Block), Hostname und Wert einfügen.
Speichern. Strato propagiert typisch innerhalb 30-60 Minuten.

Hetzner DNS-Console

Login bei dns.hetzner.com.
Zone der Domain anklicken.
Knopf Record hinzufügen → Typ wählen, Name eintragen (für Stamm-Domain @), Wert in das Value-Feld.
Speichern. Propagation typisch unter 5 Minuten.

IONOS (1&1)

Login im IONOS-Kundencenter.
Menü Domains & SSL → Domain anklicken → DNS.
Knopf Eintrag hinzufügen → Typ wählen, Hostname eintragen, Wert in das Inhalt-Feld.
Speichern. Propagation typisch 15-60 Minuten.

Cloudflare

Login bei Cloudflare, Domain auswählen.
Reiter DNS → Records.
Knopf Add record → Typ wählen, Name eintragen (für Stamm-Domain @), Wert einfügen, Proxy-Status für TXT/CAA auf DNS only belassen.
Speichern. Propagation üblich unter 2 Minuten.

Hinweis: Wenn Ihr DNS-Anbieter hier nicht aufgeführt ist, finden Sie die richtige Stelle typisch unter Begriffen wie „DNS-Verwaltung", „Zone-Editor" oder „Records". Bei Fragen hilft der Support Ihres Providers; die hier gezeigten Pfade sind plattform-spezifisch und können sich bei Redesigns leicht verschieben.

Bestehenden HTTPS/SVCB-Record live prüfen

Holt den HTTPS- oder SVCB-Record per DNS-over-HTTPS (Cloudflare 1.1.1.1, mit DNSSEC-AD-Bit) und bewertet Priority, TargetName und SvcParams gegen Best-Practice. Server-Pfad: Maximal 12 Anfragen pro Minute, kein Logging.

Beispiele: · ·