Wie Sie verwaiste CNAMEs finden, bevor jemand Ihre Subdomain übernimmt

Ein verwaister CNAME ist ein Eintrag, der eine Ihrer Subdomains weiterhin auf einen Dienst zeigen lässt, den Sie nicht mehr nutzen. Fügen Sie jeden Hostnamen, den Sie kennen, in die Bulk-CNAME-Abfrage ein und filtern Sie auf die Zeilen, die als Dangling markiert sind: Diese CNAMEs zeigen auf einen Namen, der nicht mehr auflöst. Entfernen Sie sie, oder lassen Sie sie auf etwas zeigen, das Sie kontrollieren.

CNAMEs für eine Liste von Hostnamen abfragen →

In großen Mengen finden

1. Listen Sie Ihre Hostnamen auf: www, shop, blog, help, status, Tracking-Domains, alte Kampagnen-Websites. Der Zonen-Export Ihres DNS-Hosts ist die vollständigste Quelle.
2. Öffnen Sie die Bulk-CNAME-Abfrage und fügen Sie sie ein, eine pro Zeile: bis zu 100 pro Durchlauf, oder 500 nach einer kostenlosen Google-Anmeldung. URLs funktionieren auch.
3. Klicken Sie auf Look up CNAMEs (CNAMEs abfragen). Jede Kette wird Hop für Hop verfolgt, bis zu acht.
4. Lesen Sie jede Zeile: Alias (löst auf), Dangling (Ziel löst nicht auf), No CNAME, Doesn't exist oder Loop.
5. Filtern Sie auf Dangling und Doesn't exist, und laden Sie die CSV mit der vollständigen Kette herunter.

Von Hand

printf "www.github.com\nwww.mozilla.org\ndocs.github.com\nnope-1109.mozilla.org\n" > hosts.txt

while read -r h; do
  out=$(dig +noall +comments +answer "$h" a)
  st=$(echo "$out" | grep -o 'status: [A-Z]*' | cut -d' ' -f2)
  cn=$(echo "$out" | awk '$4=="CNAME"{print $5}' | tail -1)
  echo "$h,${cn:-no CNAME},$st"
done < hosts.txt
# www.github.com,github.com.,NOERROR
# www.mozilla.org,www-mozilla.fastly-edge.com.,NOERROR
# docs.github.com,no CNAME,NOERROR
# nope-1109.mozilla.org,no CNAME,NXDOMAIN

Wir haben das am 9. November 2026 ausgeführt. Keiner davon ist verwaist, was man bei öffentlichen Websites auch hoffen würde. Eine verwaiste Zeile würde einen CNAME und NXDOMAIN zeigen: Der Alias existiert, sein Ziel nicht. Was ein fehlendes Ziel antwortet, sehen Sie, wenn Sie eines direkt abfragen:

dig +noall +comments sv-nonexistent-1109.azurewebsites.net | grep -o 'status: [A-Z]*'
# status: NXDOMAIN

Wo DNS allein nicht reicht

Manche Plattformen antworten für jeden Namen unter ihrer Domain. Am selben Tag lieferten erfundene Namen unter github.io und herokuapp.com beide NOERROR mit Adressen, und https://sv-nonexistent-1109.github.io/ antwortete mit 404. Ein CNAME, der auf eine gelöschte Website auf einer solchen Plattform zeigt, löst trotzdem auf, daher kann weder eine dig-Schleife noch die Bulk-CNAME-Abfrage ihn als verwaist erkennen.

Hostnamen, die auf eine Hosting-Plattform zeigen, sollten Sie zusätzlich über HTTPS öffnen. Eine Seite der Plattform, dass hier keine Website existiert, oder eine 404-Seite unter Ihrem Hostnamen bedeutet, dass das Ziel weg ist. Die Grenzen der Bulk-CNAME-Abfrage sagen dasselbe: Dangling heißt, dass das Ziel jetzt nicht auflöst, und es wird nicht getestet, ob jemand anderes es beanspruchen kann.

Warum es wichtig ist, und wie Sie es verhindern

Die MDN-Seite zur Subdomain-Übernahme beschreibt das Risiko: Wenn Sie einen Dienst abschalten, aber "don't remove the DNS entry that points to the hosting provider, an attacker can now create their own virtual host with that provider, claim your subdomain, and host their own content under that subdomain." (den DNS-Eintrag, der auf den Hosting-Anbieter zeigt, nicht entfernen, kann ein Angreifer bei diesem Anbieter einen eigenen virtuellen Host anlegen, Ihre Subdomain beanspruchen und eigene Inhalte unter dieser Subdomain hosten).

Der Rat zur Vorbeugung dreht sich um die Reihenfolge:

• Beim Einrichten eines Dienstes zuerst beim Anbieter beanspruchen und "create DNS records last" (DNS-Einträge zuletzt anlegen).
• Beim Abschalten mit "removing DNS records first" beginnen (zuerst die DNS-Einträge entfernen).
• Ein Verzeichnis Ihrer Domains und ihrer Hosting-Anbieter führen, damit nichts verwaist zurückbleibt.

Bei E-Mail ist der häufige Fall eine eigene Tracking-Domain, die zurückbleibt, nachdem Sie ein Cold-E-Mail-Tool gekündigt haben: Jeder getrackte Link in bereits versendeten Mails funktioniert dann nicht mehr. Siehe eigene Tracking-Domains für Cold E-Mail.

Nächster Schritt: die Adressen auf Ihrer Liste prüfen

Sauberes DNS hält Ihre Links und Ihre Marke sicher. Bounces von toten Adressen sind ein separates Problem, das Ihrer Versand-Reputation schadet. Laden Sie Ihre Liste unter /verify hoch, um jedes Postfach zu prüfen, ohne etwas zu senden. Die ersten 100 Prüfungen sind mit einer Google-Anmeldung kostenlos, ohne Karte.

Pro, 39 $ pro Monat: unbegrenzte E-Mail-Verifizierung.* Nie pro Prüfung abgerechnet, nie abgeschaltet. Siehe Preise.

*Fair Use: die ersten 100.000 Prüfungen im Monat mit voller Geschwindigkeit, danach langsamer, nie abgeschaltet.

Weiterlesen: jede Domain prüfen, die Ihrer Firma gehört, wo Sie das DNS einer Domain bearbeiten.