--- title: "TLSA-records uitgelegd | DNSense" description: "TLSA-records leggen het certificaat van een server vast in DNS voor DANE. Wat de drie getallen betekenen, waarom je DNSSEC nodig hebt en hoe je er een toevoegt." canonical_url: "https://dnsense.io/nl/learn/tlsa-records-explained" locale: nl meta: "og:description": "TLSA-records leggen het certificaat van een server vast in DNS voor DANE. Wat de drie getallen betekenen, waarom je DNSSEC nodig hebt en hoe je er een toevoegt." "og:image": "https://dnsense.io/_nuxt/blog-records-tlsa.CmZIlNI1.jpg" "og:image:alt": "DNSense handleiding-cover: een TLSA-record met usage, selector, matching type en een certificaat-hash" "og:title": "TLSA-records uitgelegd | DNSense" --- > Index of every page on this site: [llms.txt](https://dnsense.io/llms.txt) # TLSA-records uitgelegd **Dennis Postma****23 september 2026** **Leestijd****4 minuten** **DNS-basis** TLSA-records leggen het certificaat van een server vast in DNS voor DANE. Wat de drie getallen betekenen, waarom je DNSSEC nodig hebt en hoe je er een toevoegt. ![DNSense handleiding-cover: een TLSA-record met usage, selector, matching type en een certificaat-hash](https://dnsense.io/_nuxt/blog-records-tlsa.CmZIlNI1.jpg) Een TLSA-record publiceert een vingerafdruk van het certificaat of de publieke sleutel van een server in DNS. Een client die DANE ondersteunt vergelijkt wat de server toont met wat DNS zegt en weigert de verbinding bij een verschil. Het wordt vooral gebruikt om e-mail tussen servers te beveiligen, waar geen browser en geen mens is die een waarschuwing wegklikt. ## DNSSEC is niet optioneel Een TLSA-record is alleen betrouwbaar als het antwoord onderweg niet vervalst kan worden. Dat is wat DNSSEC regelt. Zonder dat negeert een client die DANE ondersteunt je TLSA-records, of erger, jij denkt veiliger te zitten dan je zit. Onderteken eerst de zone. ## De naam TLSA-records staan op een naam die is opgebouwd uit de poort en het protocol van de dienst: `_25._tcp.mail.example.com` voor SMTP op poort 25 van `mail.example.com`. Eerst de poort, dan het protocol, dan de host. ## De drie getallen en de data ``` _25._tcp.mail.example.com. IN TLSA 3 1 1 2bb1...9f0c ``` ![Het TLSA-record opgesplitst in usage 3, selector 1, matching type 1 en de hash](https://dnsense.io/_nuxt/guide-records-tlsa.DkeWlvlR.webp) - **Usage.** Wat wordt vastgelegd. `3` (DANE-EE) legt het eigen certificaat of de sleutel van de server vast. `2` (DANE-TA) legt een CA vast die je voor die dienst vertrouwt. `0` en `1` koppelen aan het publieke CA-systeem en zijn zeldzaam. - **Selector.** `0` hasht het hele certificaat, `1` alleen de publieke sleutel. `1` overleeft verlengingen zolang je de sleutel houdt. - **Matching type.** `0` is de exacte data, `1` is SHA-256, `2` is SHA-512. - **Data.** De hexadecimale digest. De gebruikelijke keuze is `3 1 1`, DANE-EE met de publieke sleutel en SHA-256. DNSense vult die waarden standaard in. ## Lengtecontroles De data moet hexadecimaal zijn en bij matching type 1 uit 64 tekens bestaan, bij type 2 uit 128. DNSense controleert beide, omdat clients een hash met de verkeerde lengte stilletjes negeren. ## De hash genereren Met OpenSSL, voor een certificaat in `cert.pem`: ``` openssl x509 -in cert.pem -noout -pubkey | openssl pkey -pubin -outform DER | openssl dgst -sha256 ``` Publiceer een record voor de nieuwe sleutel voordat je ernaar overschakelt. Anders weigeren DANE-clients de server tijdens de overgang. ## Toevoegen in DNSense Klik op **Create record**, kies **TLSA**, vul de naam in en plak de hash bij **Certificate data (hex)**. **Usage**, **Selector** en **Matching type** zijn keuzelijsten waarin de betekenis staat uitgeschreven. Ze beginnen op de gebruikelijke `3 - DANE-EE`, `1 - Public key` en `1 - SHA-256`. ![Het dialoogvenster New record met een TLSA-record voor \_25.\_tcp.mail2](https://dnsense.io/_nuxt/app-records-tlsa-form.CPsXg7fZ.webp) Op de zonepagina kun je filteren op TLSA om ze allemaal te zien. ![De zone gefilterd op TLSA-records](https://dnsense.io/_nuxt/app-records-tlsa-list.PcnM55cr.webp) ## Ondersteuning per provider TLSA is niet overal beschikbaar. GoDaddy en Namecheap kunnen geen TLSA-records bewaren via hun API, dus DNSense biedt het type niet aan voor zones daar. Elke andere ondersteunde provider accepteert het. ```json {"@context":"https://schema.org","@graph":[{"@id":"https://dnsense.io/#website","@type":"WebSite","description":"Manage every domain, DNS zone and record from one platform. Connect the registrars you already use, share zones with your team or clients, and keep a full history of every change.","inLanguage":"nl-NL","name":"DNSense","url":"https://dnsense.io/","publisher":{"@id":"https://dnsense.io/#identity"},"translationOfWork":{"@id":"https://dnsense.io/#website"}},{"@id":"https://dnsense.io/nl/learn/tlsa-records-explained#webpage","@type":"WebPage","datePublished":"2026-09-23","description":"TLSA-records leggen het certificaat van een server vast in DNS voor DANE. Wat de drie getallen betekenen, waarom je DNSSEC nodig hebt en hoe je er een toevoegt.","name":"TLSA-records uitgelegd","url":"https://dnsense.io/nl/learn/tlsa-records-explained","breadcrumb":{"@id":"https://dnsense.io/nl/learn/tlsa-records-explained#breadcrumb"},"isPartOf":{"@id":"https://dnsense.io/#website"},"potentialAction":[{"@type":"ReadAction","target":["https://dnsense.io/nl/learn/tlsa-records-explained"]}],"primaryImageOfPage":{"@id":"https://dnsense.io/#logo"}},{"@id":"https://dnsense.io/#identity","@type":"Organization","email":"support@dnsense.io","name":"DNSense","url":"https://dnsense.io","logo":{"@id":"https://dnsense.io/#logo"},"sameAs":["https://www.linkedin.com/showcase/dnsense","https://twitter.com/dnsense_dns","https://discord.gg/GC9p7TY9Ex"]},{"@id":"https://dnsense.io/nl/learn/tlsa-records-explained#article","@type":"Article","datePublished":"2026-09-23","description":"TLSA-records leggen het certificaat van een server vast in DNS voor DANE. Wat de drie getallen betekenen, waarom je DNSSEC nodig hebt en hoe je er een toevoegt.","headline":"TLSA-records uitgelegd","inLanguage":"nl-NL","thumbnailUrl":"https://dnsense.io/_nuxt/blog-records-tlsa.CmZIlNI1.jpg","author":{"@id":"https://dnsense.io/#/schema/person/1"},"image":{"@id":"https://dnsense.io/#/schema/image/1"},"isPartOf":{"@id":"https://dnsense.io/nl/learn/tlsa-records-explained#webpage"},"mainEntityOfPage":{"@id":"https://dnsense.io/nl/learn/tlsa-records-explained#webpage"},"publisher":{"@id":"https://dnsense.io/#identity"}},{"@id":"https://dnsense.io/nl/learn/tlsa-records-explained#breadcrumb","@type":"BreadcrumbList","itemListElement":[{"@type":"ListItem","name":"Home","item":"https://dnsense.io/nl","position":1},{"@type":"ListItem","name":"Kennisbank","item":"https://dnsense.io/nl/learn","position":2},{"@type":"ListItem","name":"TLSA-records uitgelegd","item":"https://dnsense.io/nl/learn/tlsa-records-explained","position":3}]},{"@id":"https://dnsense.io/#/schema/person/1","@type":"Person","name":"Dennis Postma"},{"@id":"https://dnsense.io/#logo","@type":"ImageObject","caption":"DNSense","contentUrl":"https://dnsense.io/icon-512.png","inLanguage":"nl-NL","url":"https://dnsense.io/icon-512.png"},{"@id":"https://dnsense.io/#/schema/image/1","@type":"ImageObject","contentUrl":"https://dnsense.io/_nuxt/blog-records-tlsa.CmZIlNI1.jpg","inLanguage":"nl-NL","url":"https://dnsense.io/_nuxt/blog-records-tlsa.CmZIlNI1.jpg"}]} ``` ## Sitemap See the full [sitemap](https://dnsense.io/sitemap.md) for all pages.