{"id":15673,"date":"2026-11-06T13:15:00","date_gmt":"2026-11-06T12:15:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/blog\/?p=15673"},"modified":"2026-10-26T13:14:30","modified_gmt":"2026-10-26T12:14:30","slug":"https-eintrage-im-dns-wie-http-3-entdeckt-wird","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/de\/web-entwicklung\/tutorials-de-web-entwicklung\/https-eintrage-im-dns-wie-http-3-entdeckt-wird\/","title":{"rendered":"HTTPS-Eintr\u00e4ge im DNS: Wie HTTP\/3 entdeckt wird"},"content":{"rendered":"

HTTP\/3 transportiert HTTP \u00fcber QUIC und damit \u00fcber UDP. Ein Client kann QUIC direkt versuchen, auch ohne vorherige Ank\u00fcndigung. Ob dieser Versuch gelingt, h\u00e4ngt jedoch vom Endpunkt und vom Netzweg ab. Ein Fehlschlag kann schnell eintreten oder erst durch ein Zeitlimit auffallen.<\/p>\n

F\u00fcr die gezielte Auswahl helfen zwei Informationsquellen: Alt-Svc<\/code> nennt einen alternativen Dienst in einer HTTP-Antwort; ein HTTPS-Eintrag im DNS kann die passenden Verbindungsparameter bereits vor dem ersten HTTP-Abruf liefern. Beide Verfahren k\u00fcndigen M\u00f6glichkeiten an, garantieren aber keine erreichbare oder schnellere Verbindung.<\/p>\n

\"Zwei
Client, Endpunkt und Netzweg entscheiden \u00fcber die tats\u00e4chliche Nutzung.<\/figcaption><\/figure>\n

Alt-Svc hilft auch innerhalb derselben Seitenansicht<\/h2>\n

Der Header Alt-Svc: h3=\":443\"; ma=86400<\/code> k\u00fcndigt einen gleichwertigen HTTP\/3-Dienst am selben Host auf UDP-Port 443 an. ma<\/code> gibt die G\u00fcltigkeitsdauer f\u00fcr neue Verbindungsversuche in Sekunden an. Die Alternative ist optional; die Zertifikatspr\u00fcfung f\u00fcr den urspr\u00fcnglichen Host bleibt erforderlich.<\/p>\n

Ohne fr\u00fcheren Cache-Eintrag oder andere Information wird der Header h\u00e4ufig zun\u00e4chst \u00fcber HTTP\/1.1 oder HTTP\/2 empfangen. Nach dem Lesen kann ein unterst\u00fctzender Client eine zus\u00e4tzliche QUIC-Verbindung aufbauen. Daf\u00fcr ist kein sp\u00e4terer Websitebesuch erforderlich: Auch weitere Ressourcen derselben Seite k\u00f6nnen bereits profitieren. Die urspr\u00fcngliche TCP-Verbindung muss daf\u00fcr nicht erst geschlossen werden.<\/p>\n

Was ein HTTPS-Eintrag erg\u00e4nzt<\/h2>\n

Der DNS-Typ HTTPS hat die Nummer 65 und geh\u00f6rt zum SVCB-Verfahren. F\u00fcr eine gew\u00f6hnliche HTTPS-Adresse auf Port 443 erfolgt die Abfrage unter dem Hostnamen. Ein ServiceMode-Eintrag beschreibt ein m\u00f6gliches Verbindungsziel: Servername, Port und unterst\u00fctzte Anwendungsprotokolle wie HTTP\/3. F\u00fcr diese Protokolle werden ALPN-Kennungen verwendet. AliasMode verweist dagegen auf einen weiteren Namen, dessen Eintr\u00e4ge zus\u00e4tzlich aufzul\u00f6sen sind.<\/p>\n

alpn=\"h3,h2\"<\/code> k\u00fcndigt HTTP\/3 und HTTP\/2 an. Ein kompatibler Client kann damit schon den ersten HTTP-Abruf \u00fcber QUIC versuchen. Auswahl, parallele Verbindungsversuche, Cache-Zustand und Netzbedingungen entscheiden \u00fcber den tats\u00e4chlichen Ablauf. Ein DNS-Eintrag schaltet HTTP\/3 am Server nicht ein.<\/p>\n

ipv4hint<\/code> und ipv6hint<\/code> sind Adresshinweise f\u00fcr einen fr\u00fchen Verbindungsversuch. Vorhandene A-\/AAAA-Antworten haben Vorrang; andernfalls sollen entsprechende Abfragen weiterhin stattfinden. Die Hinweise ersetzen diese Aufl\u00f6sung deshalb nicht grunds\u00e4tzlich.<\/p>\n

Der Parameter ech<\/code> kann eine ECH-Konfigurationsliste mit \u00f6ffentlichem Schl\u00fcssel und weiteren Angaben transportieren. Bei unterst\u00fctzenden Clients und Servern sch\u00fctzt ECH unter anderem den inneren TLS-Servernamen. Eine DNS-Ank\u00fcndigung beweist noch keine erfolgreiche ECH-Verwendung. Unverschl\u00fcsselte DNS-Abfragen oder sichtbare Zieladressen k\u00f6nnen weiterhin Informationen verraten; die Konfiguration kann au\u00dferdem auf anderen Wegen bereitgestellt werden.<\/p>\n

Historische Ergebnisse aus 20 Domains<\/h2>\n

Die gespeicherten Werkzeugergebnisse vom 5. September 2026<\/strong> wurden bei der \u00dcberarbeitung erneut ausgewertet. Die folgende Tabelle beschreibt diesen damaligen Messlauf, keine aktuelle Anbietermessung und keinen repr\u00e4sentativen Marktanteil.<\/p>\n
Historische Beobachtung<\/th>Domains<\/th><\/tr><\/thead>
HTTPS-Eintrag vorhanden<\/td>3<\/td><\/tr>
HTTPS-Eintrag mit h3<\/td>2<\/td><\/tr>
Alt-Svc mit h3<\/td>7<\/td><\/tr>
Beide HTTP\/3-Ank\u00fcndigungen<\/td>2<\/td><\/tr>
Nur Alt-Svc mit h3<\/td>5<\/td><\/tr>
Nur HTTPS-Eintrag mit h3<\/td>0<\/td><\/tr><\/tbody><\/table>\n

Die beiden Domains mit h3<\/code> im HTTPS-Eintrag hatten auch einen entsprechenden Alt-Svc-Header. Das galt nicht f\u00fcr jeden HTTPS-Eintrag: Der dritte Eintrag f\u00fchrte nur h2<\/code> auf und hatte keinen Alt-Svc-Header. Sieben gegen\u00fcber zwei ergibt Faktor 3,5 f\u00fcr die beobachteten HTTP\/3-Ank\u00fcndigungen<\/em>; sieben gegen\u00fcber allen drei HTTPS-Eintr\u00e4gen w\u00e4re dagegen nur rund 2,3.<\/p>\n

Bei f\u00fcnf Alt-Svc-Ank\u00fcndigungen betrug ma<\/code> 86.400 Sekunden, bei zwei 2.592.000 Sekunden. In den ausgewerteten DNS-Ergebnissen war kein ech<\/code>-Parameter erkannt worden. Das ist keine Messung ausgehandelter ECH-Verbindungen; die Grenzen der damaligen DNS-Auswertung sind zus\u00e4tzlich zu beachten.<\/p>\n

Keine Ursache aus einem einzelnen Fehler ableiten<\/h2>\n

Der h2-only-Eintrag geh\u00f6rte im historischen Datensatz zu stackoverflow.com<\/code>. Der erzwungene HTTP\/3-Test endete nach 63 Millisekunden mit \u201eQUIC connection has been shut down\u201c. Daraus folgt keine allgemeine Aussage \u00fcber s\u00e4mtliche Endpunkte oder die bewusste Absicht des Betreibers. Ein g\u00fcltiger HTTPS-Eintrag ohne h3<\/code> ist f\u00fcr sich genommen aber kein Konfigurationsfehler.<\/p>\n

Bei zwei angek\u00fcndigten Angeboten trat ein Zeitlimit auf, w\u00e4hrend andere HTTP\/3-Verbindungen im selben Lauf gelangen. Das belegt die grunds\u00e4tzliche QUIC-F\u00e4higkeit des Messaufbaus, erkl\u00e4rt aber nicht jeden Fehler. Bei google.com waren sogar Verbindungs- und TLS-Zeiten aufgezeichnet, bevor der Abruf ohne empfangene Antwort auslief. Nicht jedes Zeitlimit bedeutet daher eine blockierte UDP-Verbindung.<\/p>\n

Aussagekr\u00e4ftige Fehlerberichte nennen URL, getesteten Endpunkt, IP-Familie, Client-Version, Messzeit und Standort. Ein fehlgeschlagener Versuch von einem Messpunkt beweist keinen weltweiten Ausfall.<\/p>\n

TTL und ma sind unterschiedliche Cache-Regeln<\/h2>\n

Die TTL begrenzt, wie lange eine DNS-Antwort normalerweise aus einem Zwischenspeicher wiederverwendet werden darf. Die rekursiven DNS-Antworten enthielten bei den beiden h3-Eintr\u00e4gen TTL-Werte von 20 und 21.474 Sekunden. Solche Werte k\u00f6nnen die verbleibende Cache-Zeit zeigen. Daraus l\u00e4sst sich die urspr\u00fcnglich konfigurierte TTL nicht sicher ableiten \u2013 ebenso wenig eine bewusste Entscheidung f\u00fcr maximale Beweglichkeit oder minimale Last.<\/p>\n

Eine kurze konfigurierte TTL erleichtert \u00c4nderungen, erh\u00f6ht aber m\u00f6glicherweise die Abfragelast. Lange Werte erschweren schnelle Korrekturen. Zus\u00e4tzlich erlaubt DNS \u201eserve-stale\u201c unter bestimmten Fehlerbedingungen auch abgelaufene Daten. Eine TTL ist deshalb keine weltweite Umschaltgarantie. Auch ma<\/code> ist eine definierte G\u00fcltigkeitsgrenze f\u00fcr neue alternative Verbindungen, keine blo\u00dfe Empfehlung; bestehende Verbindungen m\u00fcssen beim Ablauf nicht beendet werden.<\/p>\n

Ank\u00fcndigung und Erreichbarkeit getrennt pr\u00fcfen<\/h2>\n

Die Beispiele verwenden einen Platzhalter. Die erste Anfrage zeigt Antwort-Header eines GET-Abrufs, anschlie\u00dfend folgt eine DNS-Abfrage. Der letzte Befehl ben\u00f6tigt einen curl-Build mit HTTP\/3-Unterst\u00fctzung; curl --version<\/code> zeigt die F\u00e4higkeiten.<\/p>\n

Shell<\/span>