Requête DNS : consultez chaque enregistrement DNS d’un domaine

À quoi sert chaque type d’enregistrement DNS

Un enregistrement DNS est la réponse à une question précise. La question change selon le type d’enregistrement :

• A : vers quelle adresse IPv4 ce nom pointe-t-il ?
• AAAA : vers quelle adresse IPv6 pointe-t-il ?
• CNAME : ce nom est-il en réalité un simple alias d’un autre nom ?
• MX : quels serveurs acceptent les e-mails de ce domaine, et dans quel ordre ?
• NS : quels serveurs de noms gèrent ce domaine ?
• TXT : quel texte le propriétaire a-t-il publié ? En général SPF, DKIM, DMARC et des chaînes de preuve de propriété.
• SOA : qui gère la zone, et quels sont son numéro de série et ses délais ?
• CAA : quelles autorités de certification peuvent émettre des certificats pour ce domaine ?

Comment lire le résultat d’une requête DNS

Plusieurs enregistrements A ou AAAA sur un même nom, c’est normal. Les fournisseurs font souvent tourner l’ordre volontairement pour répartir le trafic : ne tirez donc aucune conclusion d’un ordre différent entre deux recherches.

Le TTL affiché à côté d’une adresse correspond au nombre de secondes pendant lesquelles un résolveur peut conserver cette réponse. Vous interrogez un résolveur avec cache : ce que vous voyez est donc le temps restant sur sa copie, qui peut être inférieur à la valeur définie par le propriétaire du domaine. Lancez la recherche deux fois et regardez le nombre diminuer.

Les plages privées et réservées (10.x.x.x, 192.168.x.x et similaires) sont masquées. Un nom public qui pointe vers l’une d’elles est presque toujours une erreur, et cet outil ne divulgue pas d’adresses internes.

Requête DNS, vérificateur DNS et nslookup : la même question, des outils différents

On cherche les trois, et tous signifient « que dit le DNS à propos de ce nom ? ». La différence tient à celui que vous interrogez. nslookup et dig sur votre propre machine interrogent le résolveur que votre réseau vous a attribué, souvent votre box ou votre fournisseur d’accès, et ce résolveur peut conserver une ancienne réponse. Un vérificateur DNS en ligne comme celui-ci interroge des résolveurs publics : il montre donc à peu près ce que voit le reste d’Internet.

Quand les deux divergent, soupçonnez d’abord un cache obsolète de votre côté avant de mettre en cause le domaine.

Votre requête ne renvoie rien. Que faire ?

• NXDOMAIN signifie que le nom n’existe pas. Vérifiez l’orthographe, et assurez-vous que le domaine n’a pas expiré.
• Le nom existe, mais n’a rien de ce type. Un domaine qui ne reçoit pas d’e-mails n’a tout simplement pas d’enregistrement MX.
• Vous avez interrogé le mauvais nom. example.com et www.example.com sont deux noms distincts, avec des enregistrements distincts.
• Vous avez modifié quelque chose récemment et les résolveurs servent encore l’ancienne réponse jusqu’à l’expiration de son TTL.
• SERVFAIL ou un délai d’attente dépassé pointe vers les serveurs de noms du domaine : ils sont hors service, injoignables ou servent des données DNSSEC défectueuses.