Comment fonctionne le DNS

Le système de noms de domaine (DNS) est l'annuaire d'internet. Les ordinateurs se parlent par adresse IP, mais les gens utilisent des noms comme example.com ; le DNS convertit les uns en les autres et fait bien plus : il indique aussi où va le courrier d'un domaine et porte les enregistrements qui prouvent qui peut envoyer des e-mails en son nom.

Ce qui se passe quand vous ouvrez un site web

1. Votre navigateur et votre système d'exploitation vérifient leurs caches. Si le nom a été résolu récemment, la réponse est déjà là et rien d'autre ne se passe.
2. Le résolveur stub interroge un résolveur récursif, en général géré par votre fournisseur d'accès, votre box ou un service public. Le résolveur récursif fait le travail à votre place.
3. Le résolveur récursif interroge un serveur racine, qui ne connaît pas la réponse mais sait qui gère .com.
4. Il interroge les serveurs du TLD .com, qui ne connaissent pas example.com mais connaissent ses serveurs de noms faisant autorité.
5. Il interroge le serveur faisant autorité, qui détient les vrais enregistrements et répond : « example.com est 93.184.216.34 ».
6. La réponse remonte vers votre appareil et est mise en cache au passage, ce qui rend la résolution suivante rapide.

Toute la chaîne prend en général quelques dizaines de millisecondes, et la plupart des requêtes sont servies depuis un cache.

Types d'enregistrement

Consultez n'importe lequel avec le Recherche d'Enregistrements DNS, ou retrouvez un nom à partir d'une adresse avec le Recherche DNS Inversée.

TTL et cache

Chaque enregistrement a un TTL (durée de vie) en secondes, qui indique aux caches combien de temps ils peuvent réutiliser la réponse. Un TTL de 300 vaut cinq minutes ; 86400, un jour. C'est pourquoi les changements DNS semblent « se propager » : rien n'est poussé, mais les anciennes copies restent dans les caches jusqu'à expiration de leur TTL. Avant un changement prévu, baissez le TTL un ou deux jours à l'avance, faites le changement, puis remontez-le. Observez la propagation avec le Vérificateur de Propagation DNS.

Pourquoi le DNS compte pour la sécurité

• L'authentification des e-mails vit dans le DNS : SPF, DKIM et DMARC sont des enregistrements TXT. Voyez L'authentification e-mail : SPF, DKIM et DMARC.
• La délivrance de certificats prouve souvent la propriété du domaine en vous demandant de publier un enregistrement DNS.
• Usurpation et détournement. Le DNS classique n'est pas chiffré et peut être falsifié. DNSSEC signe les réponses pour que la falsification soit détectable, et DNS sur HTTPS ou TLS chiffre la requête depuis votre appareil.
• Enregistrements orphelins. Un CNAME qui pointe encore vers un service supprimé peut être récupéré par quelqu'un d'autre (« prise de contrôle de sous-domaine »). Supprimez les enregistrements que vous n'utilisez plus.

Problèmes courants

• Un CNAME à la racine du domaine. La racine d'un domaine (example.com) ne peut pas être un CNAME car elle doit aussi porter les enregistrements NS et SOA ; utilisez des enregistrements A/AAAA ou la fonction d'alias de votre hébergeur DNS.
• Oublier le point final dans les fichiers de zone : mail.example.com est lu comme mail.example.com.example.com. ; écrivez mail.example.com..
• Deux enregistrements TXT pour SPF. Un domaine doit avoir exactement un enregistrement SPF.
• S'attendre à des changements instantanés. Les réponses en cache durent jusqu'à la fin de leur TTL.