Vérificateur DNS : bien contrôler vos enregistrements DNS

Un vérificateur DNS est un moyen pratique d'inspecter les enregistrements qu'un résolveur peut actuellement récupérer pour un domaine. On l'utilise après avoir changé d'hébergeur de site web, configuré la messagerie, changé de fournisseur DNS ou enquêté sur un nom qui ne se résout pas. Le résultat est un instantané : il ne garantit ni que tous les résolveurs récursifs sont à jour, ni que le service sous-jacent est disponible. Pour que la vérification serve à quelque chose, choisissez le nom d'hôte exact, sélectionnez le type d'enregistrement qui correspond au symptôme et interprétez une réponse vide autrement qu'une erreur DNS. Ces trois étapes évitent bien des fausses alertes et vous aident à repérer la couche de configuration qui mérite votre attention.

Choisir l'enregistrement qui répond à votre question

Pour l'adresse IPv4 d'un site web, inspectez A ; pour l'IPv6, inspectez AAAA. Un sous-domaine peut utiliser un CNAME pour pointer vers le nom d'hôte d'un hébergeur plutôt que de porter directement une adresse. La livraison des e-mails dépend d'abord des enregistrements MX, tandis que les enregistrements TXT publient souvent les données SPF, DKIM, DMARC et de vérification de propriété. Les enregistrements NS indiquent quels serveurs de noms sont listés pour une zone, et SOA fournit les champs administratifs et de temporisation associés à cette zone. Ne vérifier que les enregistrements A est donc insuffisant lorsque le problème concerne la livraison du courrier, un sous-domaine délégué ou une étape de vérification. Partez du service concerné et associez le symptôme à ses types d'enregistrements.

Ensuite, vérifiez précisément le nom interrogé. example.com, www.example.com et api.example.com sont des noms DNS distincts et peuvent renvoyer des réponses totalement différentes. Un point final dans la notation DNS pleinement qualifiée représente la racine et est généralement facultatif dans les interfaces utilisateur. Ne collez pas une URL entière avec un chemin en supposant que le vérificateur saura quel nom d'hôte compte : extrayez d'abord le nom d'hôte. Si vous validez un nouvel enregistrement, comparez la valeur renvoyée caractère par caractère avec les instructions du fournisseur. Les politiques TXT contiennent souvent de la ponctuation, des séparateurs ou de longues chaînes, où une faute de frappe apparemment mineure peut invalider l'enregistrement.

Comprendre d'où viennent les réponses différentes

Le DNS est distribué et mis en cache. Un serveur de noms faisant autorité détient les données publiées de la zone, tandis que les résolveurs récursifs répondent aux utilisateurs et peuvent conserver en cache d'anciennes réponses jusqu'à l'expiration de leur TTL. Deux vérificateurs peuvent donc afficher temporairement des valeurs différentes s'ils interrogent des résolveurs, des emplacements ou des versions d'enregistrement différents. Un vérificateur qui interroge plusieurs emplacements peut aider à illustrer ces variations, mais il ne prouve pas que tous les réseaux ont convergé. Si un résultat diffère de la configuration voulue, identifiez quel résolveur a répondu et comparez avec les serveurs de noms faisant autorité. Tenez ensuite compte du TTL et du moment où la valeur précédente a été mise en cache avant d'effectuer une nouvelle modification.

• NOERROR sans l'enregistrement demandé peut signifier que le nom existe mais n'a aucune donnée de ce type.
• NXDOMAIN signifie que le nom interrogé a été déclaré inexistant.
• SERVFAIL indique qu'un résolveur n'a pas pu mener la requête à bien.
• Un timeout signifie qu'aucune réponse n'est arrivée pendant le délai d'attente du vérificateur.
• Plusieurs réponses A ou AAAA peuvent être voulues, par souci de redondance ou de répartition du trafic.

Faire d'une vérification DNS une étape de dépannage sûre

Conservez une trace avant/après lorsque vous modifiez le DNS. Notez le nom, le type, la valeur, le TTL, le résolveur et l'heure, puis répétez la même requête après la mise à jour. Si le serveur faisant autorité renvoie la nouvelle valeur mais qu'un résolveur récursif renvoie l'ancienne, il peut être approprié d'attendre l'expiration des caches ; modifier l'enregistrement à répétition peut compliquer le diagnostic. Si les serveurs faisant autorité ne concordent pas, examinez la réplication de la zone ou la configuration du fournisseur. Si toutes les réponses DNS semblent correctes mais que le site échoue encore, passez à la connectivité, à TLS, au routage ou à la santé de l'application au lieu de continuer à modifier le DNS à l'aveugle.

Enfin, traitez la réponse selon sa portée. Les vérifications DNS publiques conviennent aux domaines et enregistrements destinés à être visibles sur l'internet public ; elles ne permettent pas d'examiner l'espace de noms purement interne d'une organisation. Une IP renvoyée par le DNS peut être un nœud périphérique de CDN, un répartiteur de charge ou un reverse proxy plutôt que la machine qui héberge l'application. Si vous n'avez besoin que des réponses d'adresses publiques, la recherche de domaine vers IP est une étape suivante ciblée. Pour la terminologie et des exemples de A, AAAA, MX, TXT et NS, consultez les types d'enregistrements DNS expliqués.

Lire le rapport d'un vérificateur avec un esprit critique

Un vérificateur DNS peut afficher un indicateur vert dès qu'il reçoit une réponse, même si la valeur renvoyée n'est pas celle dont votre service a besoin. Lisez le propriétaire, le type et les données bruts plutôt que de vous fier uniquement à un badge récapitulatif. Une réponse issue d'un seul emplacement n'est de plus qu'un échantillon, pas une garantie d'accord mondial. Si l'outil liste de nombreux emplacements, rappelez-vous que chacun peut représenter un résolveur et un état de cache particuliers plutôt que tous les utilisateurs de cette région. Utilisez le rapport pour choisir la prochaine étape de diagnostic : comparer avec l'autorité, inspecter le TTL ou tester le service. Évitez de copier une IP dans une configuration de production sans avoir confirmé qu'il s'agit du point de terminaison pris en charge par le fournisseur. Un bon dépannage repose sur une valeur attendue et sur la raison de cette attente, pas simplement sur le fait qu'un vérificateur qualifie le résultat de « valide ».