Comprendre le DNS

Le DNS traduit un nom lisible en adresse IP. Quand un navigateur affiche « site introuvable », le problème se situe souvent dans cette chaîne, pas dans le serveur web. Comprendre qui répond et pendant combien de temps évite de modifier au hasard.

Une hiérarchie déléguée

Le DNS est un arbre. La racine connaît les serveurs des extensions (.fr, .com). Chaque extension délègue un domaine à des serveurs faisant autorité, qui détiennent la zone du domaine. Ces serveurs sont désignés par des enregistrements NS.

Entre le client et l'autorité se trouve un résolveur récursif : celui du fournisseur d'accès, de l'entreprise, ou un service public comme 1.1.1.1. Il pose les questions à votre place et met les réponses en cache.

Trois rôles à ne pas confondre :

• le registrar enregistre le nom et déclare les serveurs DNS ;
• l'hébergeur DNS détient la zone et répond aux requêtes ;
• l'hébergeur web sert les fichiers.

Ils peuvent être trois prestataires différents. Si vous modifiez une zone chez le mauvais, rien ne change.

La zone et ses enregistrements

Une zone est un fichier de ressources. Elle contient un SOA (autorité et paramètres de cache négatif), des NS, puis les enregistrements utiles : A et AAAA pour les adresses, CNAME pour un alias, MX pour le mail, TXT pour SPF et vérifications, SRV pour un service et son port, CAA pour restreindre les autorités de certification.

Chaque enregistrement porte un TTL, en secondes : la durée pendant laquelle un résolveur peut réutiliser la réponse sans redemander.

Suivre une résolution

1. Le client interroge son résolveur configuré.
2. Le résolveur consulte son cache. En cas de réponse valide, il la renvoie immédiatement.
3. Sinon, il interroge la racine, puis l'extension, puis les serveurs faisant autorité.
4. Il met la réponse en cache pour la durée du TTL, puis la renvoie.

La commande dig +trace votre-domaine.fr montre cette délégation étape par étape. C'est l'outil le plus direct pour vérifier qu'un domaine est bien délégué aux serveurs que vous croyez.

TTL, cache et « propagation »

Il n'y a pas de diffusion vers le monde entier : chaque résolveur garde une réponse jusqu'à expiration de son TTL. Une modification est visible immédiatement sur le serveur faisant autorité, mais les résolveurs qui ont l'ancienne réponse continuent de la servir.

Un TTL de 3600 signifie qu'une erreur peut rester visible une heure ; un TTL de 300 la limite à cinq minutes. Avant une migration, baissez le TTL, attendez l'expiration de l'ancienne valeur, puis changez.

Le cache négatif existe aussi : une réponse « ce nom n'existe pas » est mémorisée selon le champ minimum du SOA. Créer un enregistrement après une erreur peut donc demander un peu de patience.

Vérifier

dig NS votre-domaine.fr +short
dig A votre-domaine.fr +short
dig @1.1.1.1 A votre-domaine.fr +short

Comparez la réponse de l'autorité et celle d'un résolveur public. Si elles diffèrent, vous lisez un cache. Si les NS ne sont pas ceux attendus, la délégation est à corriger chez le registrar. Un SERVFAIL indique souvent une zone cassée ou une chaîne DNSSEC incomplète, pas une panne du client.