Propagation DNS : pourquoi c'est long, et ce qui se passe

Vous avez mis à jour un enregistrement A. Le nouveau site s'affiche sur votre téléphone mais pas sur votre ordinateur portable. Un collègue à l'autre bout du pays voit encore l'ancien. Quelqu'un vous dit d'« attendre la propagation ».

Cette expression est trompeuse, et y croire rend le problème plus difficile à comprendre. Rien ne se propage. Aucune donnée n'est distribuée nulle part.

Ce qui se passe réellement

Lorsqu'un résolveur recherche votre domaine, il stocke la réponse avec un TTL, un compte à rebours en secondes. Tant que ce compte à rebours n'est pas à zéro, le résolveur répond depuis sa mémoire et ne recontacte jamais votre serveur de noms.

Ainsi, quand vous modifiez un enregistrement :

1. Votre serveur de noms faisant autorité se met à jour immédiatement. Il sert désormais la nouvelle valeur à quiconque la demande.
2. Chaque résolveur qui a mis en cache l'ancienne valeur continue de la servir jusqu'à l'expiration de son propre compte à rebours.
3. Ces comptes à rebours ont démarré à des moments différents (lorsque chaque résolveur a récupéré l'enregistrement pour la première fois), donc ils expirent à des moments différents.
4. À mesure que chacun expire, ce résolveur récupère la nouvelle valeur. Ses utilisateurs basculent à ce moment-là.

Ce résultat échelonné donne l'impression d'un changement qui « se propage ». Ce ne sont en réalité que de nombreux minuteurs indépendants qui arrivent à échéance.

Quelle est réellement la durée de l'attente

L'attente maximale correspond au TTL qui figurait sur l'enregistrement avant que vous le modifiiez. C'est ce détail qui rend la propagation prévisible.

La bonne façon de planifier un changement DNS

1. 1

   La veille : abaissez le TTL

   Passez le TTL à 300 secondes et ne changez rien d'autre. Attendez au moins aussi longtemps que l'ancien TTL pour que chaque cache récupère la valeur plus courte.

2. 2

   Confirmez que le TTL bas est actif

   Exécutez dig example.com et vérifiez le TTL dans la section de réponse. Dès qu'il décompte à partir de 300 et non de 3600, tous les résolveurs sont sur le minuteur court.

3. 3

   Effectuez le changement proprement dit

   Mettez à jour l'enregistrement. Désormais, l'attente maximale est de cinq minutes au lieu d'une heure.

4. 4

   Vérifiez depuis plusieurs points d'observation

   Interrogez directement plusieurs résolveurs publics : ce sont des caches indépendants, qui vous donnent un échantillon réel de ce que voient différents utilisateurs.

5. 5

   Remontez le TTL

   Une fois le trafic stabilisé sur la nouvelle valeur, remettez le TTL à 3600 ou plus. Des TTL bas signifient plus de requêtes et des recherches légèrement plus lentes pour tout le monde.

Vérifier ce que voient différents résolveurs

dig +short example.com @1.1.1.1
dig +short example.com @8.8.8.8
dig +short example.com @9.9.9.9

dig +short example.com @ns1.example.com

Cette dernière commande est la plus importante. Si le serveur faisant autorité renvoie la nouvelle valeur, votre changement est correct et complet. Tout le reste n'est que de l'attente, pas de la correction. S'il renvoie l'ancienne valeur, le changement n'a pas été enregistré, ou vous l'avez modifié chez un fournisseur vers lequel votre domaine n'est pas délégué.

Pourquoi cela diffère selon les appareils

Il n'y a pas un seul cache entre vous et la réponse, il y en a plusieurs, chacun avec son propre minuteur :

• Votre navigateur conserve un court cache DNS interne.
• Votre système d'exploitation conserve le sien, indépendamment.
• Votre routeur met souvent en cache pour tout le foyer.
• Le résolveur de votre FAI met en cache pour potentiellement des millions d'utilisateurs.
• Les résolveurs d'entreprise ou de VPN ajoutent une couche supplémentaire sur les réseaux gérés.

Votre téléphone en données mobiles utilise une chaîne de résolveurs totalement différente de celle de votre ordinateur portable sur le wifi domestique, ce qui explique précisément pourquoi l'un affiche le nouveau site et l'autre non. Vous pouvez vider les couches que vous contrôlez : voyez comment vider votre cache DNS.