Convertisseur de domaine en IP : ce qu'il fait vraiment

Un convertisseur de domaine en IP donne l'impression de révéler quelque chose de caché, comme s'il arrachait une adresse secrète à un site web. En réalité, il fait quelque chose de bien plus ordinaire : il effectue une recherche DNS. Quand vous saisissez un domaine dans un convertisseur, l'outil demande à DNS les enregistrements A et AAAA de ce nom et vous montre les adresses IP de la réponse. Il n'y a ni base de données spéciale, ni accès privilégié, et rien du site web n'est exposé qui ne fût déjà public, car les réponses DNS sont faites pour être publiques : chaque navigateur en a besoin rien que pour charger la page.

Ce qui se passe vraiment quand vous convertissez un domaine

La conversion suit le même chemin que toute autre résolution DNS, sans votre propre navigateur. Le convertisseur envoie le domaine à un résolveur récursif, le résolveur parcourt la chaîne de délégation de la racine jusqu'aux serveurs de noms autoritaires du domaine, et la réponse finale, une ou plusieurs adresses IPv4 issues des enregistrements A et une ou plusieurs adresses IPv6 issues des enregistrements AAAA, revient pour être affichée. Si le nom est un alias, le résolveur suit d'abord l'enregistrement CNAME jusqu'à sa cible et renvoie les adresses de cette cible. Tout l'échange utilise en général les mêmes enregistrements que recevrait votre propre appareil.

Il est tout aussi utile de savoir ce qu'un convertisseur ne fait pas. Il ne scanne pas le serveur, ne teste pas ses ports et ne vérifie pas si le site est en ligne. Il n'identifie pas la personne ou l'entreprise derrière le site web, et il ne conserve aucun historique des réponses passées, sauf si le service en ajoute un séparément. Un convertisseur rapporte une seule chose : ce que DNS répond à l'instant présent. Tout le reste, la propriété d'une adresse, l'enregistrement du domaine, la santé du serveur, relève d'autres outils conçus pour ces questions.

Une conversion détaillée, ligne par ligne

Retirez l'interface conviviale et une conversion se résume à une question et une réponse. Interrogez DNS au sujet d'un nom et la réponse brute, légèrement simplifiée, ressemble à ceci :

example.com.   300   IN   A      203.0.113.18
example.com.   300   IN   AAAA   2001:db8::18

Chaque ligne est un enregistrement : le nom auquel elle appartient, un TTL qui décompte à partir de 300 secondes, et l'adresse elle-même, une adresse IPv4 dans l'enregistrement A et une adresse IPv6 dans le AAAA. Un convertisseur n'affiche guère plus que la colonne de droite de ces lignes. Tout le reste de la réponse, le TTL, les types d'enregistrements, la piste de tout CNAME qui a mené ici, est un contexte qu'un convertisseur écarte par souci de simplicité. Notez de quoi la réponse est copiée : ni du site web, ni du serveur, mais de la propre zone DNS publique du domaine, un fichier qui existe précisément pour que n'importe qui, navigateur, convertisseur ou inconnu curieux, puisse poser cette question et obtenir la réponse.

1. 1

   Saisissez un nom de domaine nu

   Les convertisseurs acceptent un nom de domaine, pas une URL complète ni une adresse IP. Collez https://example.com/page et un outil bien conçu retire le schéma et le chemin ; collez une adresse comme 192.0.2.44 et il devrait refuser, car une adresse n'a pas besoin de conversion. Les outils de recherche de ce site suivent exactement cette règle.

2. 2

   Le résolveur interroge DNS

   L'outil confie le nom à un résolveur récursif, qui vérifie d'abord son cache. En cas d'absence, il interroge la racine, les serveurs du domaine de premier niveau, puis les serveurs de noms autoritaires du domaine.

3. 3

   Les enregistrements reviennent

   La réponse contient les enregistrements A et AAAA actuels ainsi que leurs valeurs TTL, qui indiquent combien de temps les résolveurs peuvent les garder en cache. Une réponse vide est également possible : certains noms ne publient qu'une seule famille d'adresses, et les sous-domaines utilisés uniquement pour le courrier peuvent n'en publier aucune.

4. 4

   Vous lisez le résultat

   Le convertisseur énumère les adresses qu'il a reçues. Essayer l'outil de recherche DNS montre les mêmes réponses avec les enregistrements voisins, NS, MX, TXT, qu'un convertisseur simple omet, et c'est souvent là que se trouve le contexte utile.

Pourquoi deux personnes peuvent obtenir des réponses différentes

Passez le même domaine dans un convertisseur deux fois, depuis deux endroits ou avec deux outils, et les résultats peuvent ne pas correspondre. Ce n'est pas une erreur. DNS a le droit, il est même conçu pour cela, de répondre différemment selon qui demande, d'où et quand. Un domaine n'est pas tenu de se résoudre en une adresse fixe unique ; les grands sites publient plusieurs adresses et laissent la couche DNS diriger chaque visiteur vers une adresse appropriée. Les différences ci-dessous expliquent presque tous les signalements erronés selon lesquels un convertisseur aurait renvoyé la mauvaise adresse.

• Pilotage par CDN. Un réseau de diffusion de contenu renvoie l'adresse d'un serveur périphérique proche de celui qui demande, de sorte qu'un visiteur dans un pays et un visiteur dans un autre reçoivent des adresses différentes pour le même nom.
• Répartition de charge. Le serveur autoritaire fait tourner ou mélange plusieurs enregistrements A, et différents résolveurs distribuent une première adresse différente issue du même ensemble.
• Réponses géographiques. Certains opérateurs publient des enregistrements différents selon la région, pour des raisons de langue, de droit ou de trafic, de sorte que la réponse dépend de l'endroit où se trouve le résolveur.
• Mise en cache. Un résolveur qui détient une réponse plus ancienne continue de la servir jusqu'à l'expiration du TTL, tandis qu'un résolveur qui vient de l'obtenir voit la nouvelle valeur.
• Famille d'adresses. Un réseau peut préférer la réponse AAAA tandis qu'un autre retombe sur A, de sorte que l'adresse qu'un appareil utilise réellement diffère même lorsque les ensembles d'enregistrements sont identiques.

L'anycast ajoute une subtilité de plus : la même adresse IP peut être annoncée depuis de nombreux endroits physiques à la fois. Deux personnes peuvent recevoir l'adresse identique et parler pourtant à des machines différentes sur des continents différents, car le routage livre chacune à l'annonceur le plus proche. Ainsi, même une correspondance exacte entre deux conversions ne prouve pas que les deux visiteurs ont atteint le même serveur. Avec l'anycast, des adresses concordantes sont le cas normal, non la preuve d'une machine unique.

Convertir de nombreux domaines à la fois

Une conversion répond à une question ; un portefeuille en soulève des centaines. La conversion par lots prend une liste de domaines et résout chacun à son tour, produisant un tableau que vous pouvez exporter, en général au format CSV ou JSON, au lieu d'une page de résultats isolés. C'est ainsi que l'on audite où un ensemble de sites est hébergé, que l'on repère les domaines pointant encore vers un serveur mis hors service ou que l'on prépare une migration. Répéter le travail selon un calendrier le transforme en surveillance : quand une réponse change, quelque chose a changé en amont. Le tableau complet, y compris les vérifications programmées, est couvert dans la recherche d'IP pour les domaines.

Convertisseur, recherche DNS, ping : trois outils qui se ressemblent

Trois outils familiers semblent tous transformer un nom en adresse, et il vaut la peine de les distinguer, car chacun répond à une question légèrement différente et chacun échoue à sa manière :

ping mérite l'avertissement supplémentaire, car c'est lui qui trompe le plus les gens. Il résout le nom via votre propre système, choisit une adresse dans l'ensemble et lui envoie des paquets de test. Le silence ne prouve pas grand-chose : de nombreux serveurs sont configurés pour ne jamais répondre aux pings tout en servant des sites web sans problème, donc un ping mort à côté d'un site qui fonctionne est un cas courant, pas une contradiction. Utilisez chaque outil pour sa propre question : le convertisseur pour une adresse rapide, l'outil de recherche pour l'image DNS complète, et ping uniquement comme un contrôle d'accessibilité approximatif dont les échecs demandent un second avis.

Pourquoi l'IP convertie n'est souvent pas l'origine

L'adresse qu'un convertisseur renvoie est celle que DNS donne au public, et pour beaucoup de sites ce n'est délibérément pas la machine qui héberge le contenu. Un CDN ou un proxy inverse publie ses propres adresses, va chercher le contenu sur le serveur d'origine en privé et le sert ensuite, de sorte que l'adresse réelle de l'origine n'apparaît jamais dans DNS. Ce masquage est une fonction : il absorbe le trafic et cache l'infrastructure. Cela signifie aussi qu'une conversion peut être parfaitement exacte sans vous montrer le serveur que vous imaginiez. Pourquoi un CDN cache l'IP d'origine explique ce montage en détail.

Des erreurs qui donnent l'impression que les convertisseurs se trompent

• Coller l'adresse complète d'une page. Un chemin ou une chaîne de requête ne fait pas partie du nom ; les bons outils la retirent, les mauvais échouent purement et simplement ou recherchent n'importe quoi.
• S'attendre à ce qu'un sous-domaine partage la réponse du domaine parent. www, mail et le domaine nu sont des noms distincts avec des enregistrements distincts, et ils pointent couramment vers des adresses entièrement différentes.
• Lire un résultat AAAA vide comme une erreur. Cela signifie généralement que le nom ne publie aucune adresse IPv6, ce qui est un fait concernant le site, pas une défaillance de l'outil.
• Prendre la première adresse pour l'adresse. Quand plusieurs enregistrements sont publiés, leur ordre est mélangé d'une réponse à l'autre ; c'est l'ensemble qui est la réponse, pas la ligne qui se trouve en premier.

Utilisé avec ces limites à l'esprit, un convertisseur est un diagnostic rapide et honnête : il montre ce que DNS dit actuellement au monde, depuis un point de vue particulier, à un moment particulier. Quand une réponse vous surprend, l'étape suivante productive est rarement un autre convertisseur. C'est de regarder l'ensemble complet des enregistrements et de vous demander pourquoi DNS répond ainsi.