Changer les serveurs DNS d'un domaine

Changer les serveurs DNS déplace l'autorité de votre zone. À partir de la bascule, ce sont les nouveaux serveurs qui répondent pour le domaine, y compris pour le mail. Si la nouvelle zone est incomplète, le site et les boîtes e-mail tombent en même temps. La préparation fait l'essentiel du travail.

Relever la zone existante

Ne changez rien avant d'avoir la liste complète des enregistrements. Interrogez chaque type séparément, car la requête ANY est souvent filtrée :

for t in A AAAA MX TXT NS CAA; do echo "== $t"; dig +short $t votre-domaine.fr; done

Ajoutez les sous-domaines et les enregistrements de service (_dmarc, _domainkey, _sip._tcp, etc.). Notez les TTL et, si le panneau le permet, exportez le fichier de zone : c'est la référence la plus fiable.

Préparer la nouvelle zone

Recréez les enregistrements à l'identique chez le nouveau fournisseur DNS, avec un TTL de 300 pendant la transition. Vérifiez en interrogeant directement les nouveaux serveurs, sans changer le registrar :

dig @ns1.nouveau-fournisseur.fr A votre-domaine.fr +short
dig @ns1.nouveau-fournisseur.fr MX votre-domaine.fr +short

Tant que ces réponses ne sont pas correctes, ne basculez pas. Un enregistrement MX oublié coupe la réception du courrier ; un TXT SPF oublié envoie les messages en spam ; un CAA absent ou trop strict bloque le certificat.

Basculer chez le registrar

Dans l'interface du registrar, remplacez les serveurs DNS par ceux du nouveau fournisseur (au moins deux). Enregistrez, puis vérifiez :

dig NS votre-domaine.fr +short
dig NS votre-domaine.fr @1.1.1.1 +short

La propagation de la délégation dépend du TTL des NS chez l'extension et peut prendre de quelques minutes à plusieurs heures. Pendant cette période, les deux anciens et nouveaux serveurs peuvent répondre alternativement.

Si le domaine utilise DNSSEC, retirez l'enregistrement DS chez le registrar avant la bascule, puis publiez la nouvelle chaîne après. Un DS qui pointe vers une clé absente provoque des SERVFAIL pour tous les résolveurs validants.

Vérifier site et messagerie

• Le site répond en HTTPS et le certificat correspond au domaine.
• Un message envoyé vers une boîte du domaine arrive.
• Un message envoyé depuis le domaine n'est pas rejeté (SPF, DKIM, DMARC).
• Les sous-domaines et services exposés répondent.
• Les journaux du serveur web ne montrent pas de requêtes vers l'ancien hébergement.

Testez avec deux résolveurs différents et depuis un réseau mobile, qui utilise souvent un cache distinct.

Garder un retour arrière

Conservez l'ancienne zone et l'ancien hébergement au moins une semaine. Le retour arrière consiste à remettre les anciens serveurs DNS chez le registrar : il reste efficace tant que l'ancienne zone est encore en place.

Évitez une bascule un vendredi soir ou pendant une campagne. Prévenez les personnes qui utilisent les adresses e-mail du domaine : ce sont elles qui remarquent en premier un MX manquant.