Comprendre les enregistrements DNS

3 min de lecture07 novembre 2026

Chaque type d'enregistrement DNS répond à une question précise. Choisir le mauvais type, ou placer un enregistrement au mauvais endroit, provoque une panne silencieuse : le domaine existe, mais le service ne répond pas.

Les types essentiels

Type	Rôle	Exemple de valeur	Piège courant
`A`	nom vers IPv4	`192.0.2.10`	adresse obsolète après migration
`AAAA`	nom vers IPv6	`2001:db8::10`	AAAA créé mais port fermé
`CNAME`	alias vers un autre nom	`www` vers `votre-domaine.fr.`	interdit à l'apex
`MX`	serveur de messagerie	`10 mail.votre-domaine.fr.`	priorité oubliée
`TXT`	texte libre	SPF, DKIM, DMARC, vérification	plusieurs SPF en conflit
`SRV`	service, hôte et port	`_sip._tcp`	cible sans enregistrement A
`CAA`	autorités de certification autorisées	`0 issue "letsencrypt.org"`	blocage d'une émission
`NS`	délégation de zone	`ns1.fournisseur.fr.`	modifier la zone au mauvais endroit

Les adresses des exemples appartiennent aux plages de documentation et ne doivent pas être copiées telles quelles.

Exemple de zone

Texte

votre-domaine.fr.           3600 IN A     192.0.2.10
votre-domaine.fr.           3600 IN AAAA  2001:db8::10
www.votre-domaine.fr.       3600 IN CNAME votre-domaine.fr.
votre-domaine.fr.           3600 IN MX    10 mail.votre-domaine.fr.
votre-domaine.fr.           3600 IN TXT   "v=spf1 mx -all"
_dmarc.votre-domaine.fr.    3600 IN TXT   "v=DMARC1; p=quarantine"
_sip._tcp.votre-domaine.fr. 3600 IN SRV   10 5 5060 sip.votre-domaine.fr.
votre-domaine.fr.           3600 IN CAA   0 issue "letsencrypt.org"

Le point final indique un nom absolu. Sans lui, certains outils ajoutent le domaine courant et produisent votre-domaine.fr.votre-domaine.fr.

Règles à retenir

Un CNAME ne peut pas cohabiter avec un autre enregistrement sur le même nom. À l'apex, utilisez A et AAAA, ou un type ALIAS/ANAME si votre fournisseur le propose.
Un MX pointe vers un nom d'hôte, pas vers une adresse IP, et ce nom doit avoir un A ou un AAAA. La priorité la plus faible est essayée d'abord.
Un seul enregistrement SPF par domaine. Deux enregistrements v=spf1 provoquent un échec de validation.
Pour DKIM, la clé se place sous un nom comme selector._domainkey. Ne la modifiez pas à la main sans raison.
Pour DMARC, commencez par p=none en observation, puis durcissez.
Un CAA mal placé empêche l'émission d'un certificat : vérifiez-le avant d'accuser l'hébergeur.

TTL et changements

Un TTL de 3600 est un bon compromis en régime normal. Pendant une migration, passez à 300 la veille, effectuez le changement, puis remontez progressivement. Un TTL très bas en permanence augmente le nombre de requêtes sans bénéfice réel. Notez la valeur avant d'intervenir : un enregistrement corrigé sans réduire le TTL peut rester invisible longtemps.

Vérifier

Bash

dig A votre-domaine.fr +short
dig AAAA votre-domaine.fr +short
dig MX votre-domaine.fr +short
dig TXT votre-domaine.fr +short
dig CAA votre-domaine.fr +short

Interrogez aussi un résolveur public avec @1.1.1.1 pour distinguer une erreur de zone d'un cache local. Après un changement, contrôlez le service réel : un A correct ne garantit pas que le port soit ouvert, ni que le certificat corresponde au nom.