Enregistrement CNAME : suivez un alias jusqu’à sa destination
Un CNAME fait d’un nom l’alias d’un autre, et c’est dans les chaînes de CNAME que se cachent des problèmes DNS étranges. Saisissez un nom d’hôte pour suivre ses alias jusqu’au bout, voir l’adresse vers laquelle il se résout finalement et détecter les deux défauts classiques : une boucle, et un alias qui pointe vers un nom qui n’existe plus.
Comment fonctionne un CNAME
Au lieu de répéter une adresse IP, un CNAME dit « ce nom est le même que cet autre ». Un résolveur recherche la cible et renvoie sa réponse. Les entreprises s’en servent pour faire pointer www ou shop vers une plateforme d’hébergement ou un CDN : quand le fournisseur change de serveurs, rien ne change de votre côté.
Les chaînes sont autorisées : a peut pointer vers b, et b vers c. Chaque saut supplémentaire coûte une requête : gardez-les donc courtes. Cet outil en suit jusqu’à huit.
Règles qu’un CNAME doit respecter
- Un nom qui a un CNAME ne peut avoir aucun autre type d’enregistrement. Ni MX, ni TXT, rien.
- La racine d’un domaine doit contenir des enregistrements SOA et NS : elle ne peut donc pas être un CNAME. Certains fournisseurs proposent un ALIAS ou un « aplatissement de CNAME » (CNAME flattening) à la racine, qui résout la cible de leur côté et publie de simples enregistrements A.
- La cible doit être un nom d’hôte : ni une adresse IP, ni une URL.
- Un CNAME s’applique à tous les types d’enregistrement : faire pointer un nom vers une cible déplace donc aussi son courrier et ses enregistrements texte, sauf s’ils se trouvent sous des noms distincts.
CNAME orphelins : la faille de sécurité discrète
Imaginons que blog.example.com soit un alias de example.hosting-platform.com. Vous résiliez l’offre d’hébergement mais oubliez l’enregistrement DNS. L’alias pointe désormais vers un nom qui n’existe plus, et sur certaines plateformes, n’importe qui peut enregistrer ce nom et diffuser son propre contenu sur votre sous-domaine. C’est une prise de contrôle de sous-domaine (subdomain takeover), l’un des constats de sécurité DNS les plus courants.
Passez vos sous-domaines au traçage de temps en temps. Une chaîne qui se termine par « ce nom n’existe pas » est celle à supprimer.
Ce que le traçage peut montrer d’autre
- Une boucle : la chaîne revient vers un nom déjà visité, si bien que le nom ne peut jamais se résoudre.
- Une chaîne longue : chaque saut ajoute du délai, et certains résolveurs abandonnent après un nombre limité de sauts.
- Une chaîne qui se termine par une adresse privée, inaccessible depuis Internet. Ces adresses sont masquées ici.