Les six enregistrements à connaître
Adresse IPv4
Adresse IPv6
Alias de nom DNS
Serveurs de messagerie
Informations et vérifications (SPF, etc.)
Localisation de services (ex. Active Directory)
Définition simple
DNS signifie « Domain Name System » (système de noms de domaine). Le DNS permet d’utiliser des noms faciles à retenir, comme boiteaoutilsinformatique.fr, plutôt que de saisir directement l’adresse IP d’un serveur.
Définition technique
Le Domain Name System est une base distribuée et hiérarchique. Des résolveurs interrogent des serveurs DNS afin d’obtenir des enregistrements tels que A, AAAA, CNAME, MX ou TXT, puis mettent temporairement les réponses en cache.
- Navigateur Demande un nom DNS
- Résolveur DNS Reçoit la requête
- Cache DNS Réponse si disponible
- Serveurs DNS Consultés si nécessaire
- Adresse IP Réponse A ou AAAA
Si l’adresse est présente dans le cache et que son TTL n’a pas expiré, le résolveur évite de refaire toute la recherche.
À quoi cela sert ?
Trouver l’adresse d’un site, localiser un serveur de messagerie ou permettre aux ordinateurs d’un domaine Windows de repérer les contrôleurs de domaine.
Exemple concret
Le navigateur demande l’adresse IP associée à un nom de domaine avant d’établir la connexion HTTPS au serveur web.
Problèmes fréquents
- Serveur DNS inaccessible
- Enregistrement erroné ou absent
- Ancienne réponse conservée dans le cache
- Délai de propagation après une modification
Ce qui se passe réellement pendant une résolution DNS
Quand un appareil cherche une adresse IP, il interroge généralement un résolveur récursif, fourni par l’entreprise, le FAI ou un service public. Ce résolveur consulte d’abord son cache. S’il ne possède pas de réponse valide, il peut suivre la hiérarchie DNS : serveurs racine, serveurs du domaine de premier niveau, puis serveurs faisant autorité pour le domaine recherché. Le navigateur reçoit ensuite une réponse pouvant contenir une adresse IPv4 (A), une adresse IPv6 (AAAA) ou une chaîne de noms (CNAME). La connexion HTTPS est une étape distincte : connaître l’adresse IP ne prouve pas que le service répond.
Le TTL (Time To Live) précise combien de temps une réponse peut rester en cache. Il ne garantit pas une propagation instantanée lors d’une modification : différents résolveurs peuvent temporairement renvoyer des résultats différents.
À quoi servent les principaux enregistrements ?
- A : associe un nom à une adresse IPv4 ; AAAA joue le même rôle en IPv6.
- CNAME : désigne un autre nom DNS, à résoudre ensuite ; son usage est soumis à des contraintes, notamment au sommet d’une zone DNS standard.
- MX : désigne les serveurs chargés de recevoir le courrier d’un domaine, avec leurs priorités.
- TXT : transporte des données textuelles, souvent utilisées pour SPF, vérifications de propriété et autres politiques.
- NS : délègue ou désigne les serveurs de noms faisant autorité ; SRV : localise certains services avec port et priorité, notamment dans Active Directory.
DNS public, DNS interne et limites de sécurité
Une organisation peut publier ses noms Internet dans une zone DNS publique tout en utilisant un DNS interne pour ses serveurs, postes et services Active Directory. Ce sont deux contextes qui ne doivent pas être confondus : les clients d’un domaine Windows ont souvent besoin des enregistrements SRV de leurs contrôleurs de domaine. Modifier seulement les serveurs DNS du navigateur ne répare donc pas nécessairement une panne d’authentification interne.
Le DNS traditionnel n’est pas chiffré par défaut. DNS over HTTPS et DNS over TLS protègent le transport entre client et résolveur, mais ne remplacent pas DNSSEC, qui sert à vérifier l’authenticité des réponses signées. Aucun de ces mécanismes ne garantit à lui seul qu’un site web est sûr.
Termes associés
À retenir : DNS traduit et localise des noms et des services ; le cache, les zones faisant autorité et les enregistrements publiés expliquent souvent les différences de résultat entre deux postes.
Résolution récursive et autoritative
Lorsqu’une application recherche une adresse, elle demande généralement au résolveur configuré sur le poste. Celui-ci utilise éventuellement son cache ; sinon, il interroge la hiérarchie DNS en partant des serveurs racine, des serveurs du domaine de premier niveau, puis des serveurs faisant autorité pour la zone demandée. Le serveur autoritatif publie les réponses de sa zone ; le résolveur récursif effectue les recherches pour les clients. Cette distinction aide à déterminer si une panne provient du poste, du cache, du fournisseur DNS ou de la zone autoritative.
Principaux types d’enregistrements
A et AAAA associent un nom à des adresses IPv4 et IPv6. CNAME définit un alias vers un autre nom, tandis que MX désigne les serveurs de réception du courrier, avec des priorités. TXT sert notamment à publier SPF, vérifications de domaines et autres politiques ; SRV décrit la localisation d’un service avec priorité, poids et port. NS délègue une zone à des serveurs de noms. SOA contient des informations essentielles pour la zone et son fonctionnement. Un enregistrement PTR assure la résolution inverse lorsqu’une zone reverse appropriée est configurée.
TTL, cache et propagation
Le TTL précise pendant combien de temps une réponse peut être conservée en cache par les résolveurs qui la reçoivent. Changer une adresse IP dans la zone n’efface pas les réponses déjà mémorisées : certains clients continuent d’utiliser l’ancienne valeur jusqu’à expiration. Pour préparer une migration, réduire suffisamment tôt le TTL des enregistrements concernés, vérifier les valeurs effectivement servies et conserver les anciens services pendant la transition si nécessaire. Parler de « propagation DNS » est pratique, mais l’essentiel du délai correspond souvent à l’expiration des caches et non à une diffusion instantanée vers tous les serveurs.
DNS interne et Active Directory
Dans un domaine Active Directory, DNS est indispensable à la découverte des contrôleurs de domaine. Les postes recherchent notamment des enregistrements SRV tels que _ldap._tcp.dc._msdcs.domaine, puis se connectent aux services appropriés. Si les postes d’entreprise interrogent exclusivement un DNS public incapable de résoudre les zones internes, la connexion au domaine, les stratégies de groupe et d’autres services peuvent échouer. Les serveurs DNS AD peuvent transmettre les demandes externes à des redirecteurs tout en répondant de manière autoritative pour les zones internes. Vérifier également les sites et sous-réseaux AD si un client contacte un contrôleur inattendu.
Diagnostic pas à pas
Commencer par vérifier le nom exact demandé, l’adresse du résolveur client et le type d’enregistrement attendu. Sous Windows, ipconfig /all révèle la configuration DNS ; Resolve-DnsName nom.example -Type A fournit une interrogation ciblée. Avec nslookup ou dig, comparer la réponse d’un résolveur interne, d’un serveur autoritatif et d’un résolveur externe aide à repérer un cache obsolète ou une zone mal publiée. Contrôler ensuite les chaînes CNAME, les codes NXDOMAIN ou SERVFAIL, les TTL et la connectivité UDP/TCP sur le port 53. Attention : une réponse DNS correcte ne garantit ni l’ouverture du port applicatif ni le bon fonctionnement du service.
Sécurité DNS, DNSSEC et DNS chiffré
DNSSEC ajoute des signatures permettant à un résolveur validant de vérifier l’authenticité et l’intégrité des données signées dans la chaîne de confiance ; il ne chiffre pas les requêtes. DoT et DoH chiffrent le transport entre client et résolveur, mais ne garantissent pas l’exactitude des réponses sans les autres mécanismes de sécurité appropriés. Contrôler les modifications des zones, protéger les accès aux registrars et aux consoles DNS, limiter les transferts de zone et surveiller les changements d’enregistrements sensibles. Pour les domaines de messagerie, vérifier aussi SPF, DKIM, DMARC et MX, qui reposent sur des enregistrements DNS distincts.