Het hostsbestand: de oudste manier om domeinnamen te vertalen
Elke keer dat je in je browser een adres intypt zoals "detoekomstisnu.nl", moet je computer eerst uitzoeken bij welk IP-adres — het numerieke adres van een server op internet, vergelijkbaar met een postcode — die naam hoort. Meestal gebeurt dat via het internet, met behulp van het Domain Name System (DNS), een soort telefoongids voor internet. Maar voordat je computer die telefoongids belt, kijkt hij eerst in zijn eigen persoonlijke adresboekje: het hostsbestand.
Het hostsbestand is een simpel tekstbestand dat op vrijwel elk apparaat staat — je laptop, je telefoon, een server — en waarin je zelf kunt vastleggen welke domeinnaam bij welk IP-adres hoort, zonder dat daar een internetverbinding of externe DNS-server voor nodig is. Het bestaat al sinds de begindagen van het internet en is, ondanks zijn eenvoud, nog altijd relevant: van webontwikkelaars die er lokaal een website mee testen tot privacybewuste gebruikers die er advertenties mee blokkeren.
Wat is het precies?
Het hostsbestand is niets meer dan platte tekst. Op Windows staat het meestal op C:\Windows\System32\drivers\etc\hosts, op Linux en macOS op /etc/hosts. Je kunt het openen met een gewone teksteditor, al zijn op de meeste systemen beheerdersrechten nodig om het te wijzigen.
De inhoud volgt een vast patroon: op elke regel staat eerst een IP-adres, gevolgd door één of meer domeinnamen die daaraan gekoppeld worden. Een regel begint met een "#" is commentaar en wordt genegeerd. Een bekend voorbeeld dat in vrijwel elk hostsbestand staat, is 127.0.0.1 localhost: dit koppelt de naam "localhost" aan het "loopback-adres", het adres waarmee een apparaat naar zichzelf verwijst.
Belangrijk om te begrijpen is de volgorde waarin je besturingssysteem een naam probeert te herleiden tot een adres. Vraagt een programma om het IP-adres van een domeinnaam, dan kijkt het besturingssysteem eerst in het hostsbestand. Staat de naam daarin, dan wordt dat adres direct gebruikt en wordt er geen contact gezocht met een DNS-server op internet. Staat de naam er niet in, dan pas volgt de normale weg via DNS. Het hostsbestand heeft dus voorrang op DNS — wie het bestand aanpast, kan daarmee het normale internetverkeer voor specifieke domeinnamen omleiden.
Wat wil men ermee bereiken?
De belangrijkste reden om het hostsbestand te gebruiken is lokale controle: je kunt naamresolutie regelen zonder afhankelijk te zijn van een externe DNS-server, en zonder wachttijd, want er is geen netwerkverzoek nodig.
Softwareontwikkelaars gebruiken het bestand veel om een website of applicatie lokaal te testen onder de uiteindelijke domeinnaam, nog voordat die live staat of terwijl er aan een nieuwe versie wordt gewerkt. Zo kunnen ze bijvoorbeeld "mijnproject.local" laten wijzen naar hun eigen computer (127.0.0.1) en de site testen alsof die al online staat.
Een tweede, breed toegepast doel is het blokkeren van ongewenst verkeer. Door een advertentie- of trackingdomein te koppelen aan 0.0.0.0 of 127.0.0.1 in plaats van aan het echte adres, kan een browser die domeinen simpelweg niet meer bereiken — de advertentie laadt niet, de tracker registreert niets. Dat maakt het hostsbestand tot een eenvoudig privacy- en blokkeerinstrument, zonder dat daar externe software voor nodig is.
Tot slot is het bestand nuttig in geïsoleerde of offline netwerken, zoals interne bedrijfsnetwerken of testomgevingen zonder eigen DNS-infrastructuur, waar apparaten toch namen moeten kunnen herleiden tot adressen.
Voorbeelden uit de praktijk
Het hostsbestand heeft een lange geschiedenis. Vóór 1983 hield het gehele toenmalige ARPANET — de voorloper van het internet — één centraal bestand bij, HOSTS.TXT, verspreid door het Stanford Research Institute (SRI-NIC). Iedere aangesloten computer moest dit bestand handmatig downloaden en bijwerken. Naarmate het netwerk groeide, werd dat onhoudbaar, en in 1983 introduceerde onderzoeker Paul Mockapetris het Domain Name System als schaalbare, gedecentraliseerde opvolger (vastgelegd in onder meer RFC 882 en 883). Het lokale hostsbestand bleef daarna bestaan als aanvulling, niet als vervanging.
Een bekend hedendaags voorbeeld is het project StevenBlack/hosts op GitHub, een door de gemeenschap onderhouden, samengestelde hosts-lijst die advertentie-, tracking- en malwaredomeinen bundelt zodat gebruikers die met één bestand kunnen blokkeren.
Het project Pi-hole, opgericht rond 2014-2015, bouwt voort op hetzelfde principe maar dan netwerkbreed: in plaats van één apparaat draait er op bijvoorbeeld een Raspberry Pi een eigen DNS-server die blocklists toepast, zodat alle apparaten in een huishouden tegelijk worden beschermd tegen advertenties en trackers.
Ook in webontwikkeling is het bestand dagelijkse praktijk: teams koppelen lokale testdomeinen aan 127.0.0.1 om nieuwe functies te beproeven voordat ze live gaan.
Een minder positief, maar veelvuldig gedocumenteerd voorbeeld is het misbruik van het hostsbestand door kwaadaardige software. Bepaalde malware wijzigt het bestand zonder medeweten van de gebruiker, waardoor bijvoorbeeld het adres van een bank- of antivirussite wordt omgeleid naar een nepversie, of waardoor beveiligingsupdates worden geblokkeerd. Dit is een bekend en al lang beschreven risico binnen de digitale veiligheid, en juist daarom raden beveiligingsexperts aan om het hostsbestand af en toe te controleren op onverwachte regels.
Hoe ver is de techniek?
Het hostsbestand zelf is geen technologie die zich nog ontwikkelt in de zin van nieuwe versies of functies — het formaat is sinds de jaren tachtig vrijwel ongewijzigd en dat zal naar verwachting ook zo blijven. Het is een volwassen, stabiel onderdeel van vrijwel elk besturingssysteem.
Wat wél is veranderd, is hoe het wordt ingezet. Waar gebruikers het bestand vroeger vooral handmatig aanpasten, wordt het nu vaak via community-onderhouden lijsten (zoals die van Steven Black) of via geautomatiseerde tools zoals Pi-hole ingezet, die het achterliggende principe naar een hele DNS-server op netwerkniveau tillen.
Een reëel obstakel is de opkomst van versleuteld DNS-verkeer, met name DNS-over-HTTPS (DoH) en DNS-over-TLS (DoT). Sommige browsers en apps sturen naamresolutie tegenwoordig rechtstreeks en versleuteld naar een eigen DNS-provider, buiten de systeeminstellingen om. Daardoor wordt het hostsbestand — en blokkades die daarop steunen — soms omzeild. Dit is geen verdwijnend probleem maar een blijvende spanning tussen lokale controle en modern, versleuteld netwerkverkeer. Verwacht geen grote doorbraken op dit vlak: het hostsbestand blijft een eenvoudig, nuttig, maar beperkt instrument.
Wie werken eraan?
Omdat het hostsbestand een basisonderdeel van het besturingssysteem is, wordt het onderhouden door de partijen die deze systemen bouwen: Microsoft voor Windows, Apple voor macOS, en de bredere Linux-kernel- en glibc-gemeenschap samen met distributies als Debian, Ubuntu en Fedora.
Daarnaast zijn er vrijwilligers en gemeenschappen die het gebruik van het hostsbestand actief vormgeven, zoals Steven Black en de vele bijdragers aan zijn open source hosts-project, en het ontwikkelteam achter Pi-hole.
Op het gebied van de onderliggende standaarden speelt de IETF (Internet Engineering Task Force) een rol, die de RFC-documenten publiceert waarin DNS en aanverwante mechanismen zijn vastgelegd, en IANA (Internet Assigned Numbers Authority), die onder meer gereserveerde adressen zoals 127.0.0.1 beheert.