FAQ

Lexique DNS

Vingt-quatre questions sur les mots employés dans les guides et dans le résultat d’un test. Chaque réponse décrit un objet précis, pas un synonyme vague de « le DNS ».

Qu’est-ce qu’un serveur DNS ?

Un serveur DNS est un programme qui répond à des questions sur des noms de domaine. On lui demande, par exemple, quelle adresse correspond à un nom, ou quel serveur reçoit le courrier. Il consulte une zone dont il est la source, ou il interroge d’autres serveurs pour le compte du client. Sans ce service, les noms utilisés par les sites et les boîtes mail ne seraient pas traduits en adresses joignables. Le mot désigne autant le logiciel que la machine qui l’exécute.

Qu’est-ce qu’un résolveur DNS ?

Un résolveur est le serveur auquel un ordinateur, une box ou un téléphone envoie ses questions DNS. Il fait le travail de recherche : il interroge la racine, puis le registre du domaine de premier niveau, puis les serveurs de la zone, et il met la réponse en cache. 1.1.1.1, 8.8.8.8, 9.9.9.9 et 94.140.14.14 sont des résolveurs publics. Le résolveur de la box du fournisseur d’accès joue le même rôle, avec son propre cache.

Qu’est-ce qu’un serveur DNS autoritatif ?

Un serveur autoritatif répond pour une zone parce qu’il en détient les données, pas parce qu’il les a mises en cache. Sa réponse porte le drapeau AA (authoritative answer). Modifier un enregistrement chez l’hébergeur de la zone change d’abord cette source. Les résolveurs publics ne deviennent pas autoritatifs : ils redistribuent, pendant la durée du TTL, ce que les serveurs autoritatifs leur ont dit. Un test utile compare les deux.

Qu’est-ce qu’un serveur DNS récursif ?

Un serveur récursif accepte de mener la recherche jusqu’au bout pour son client. Le client envoie une seule question ; le récursif enchaîne les interrogations et renvoie le résultat final. Un serveur autoritatif, au contraire, peut se contenter de renvoyer vers les serveurs du niveau suivant, sans chercher à leur place. La plupart des résolveurs publics sont récursifs. Interroger un autoritatif avec l’option dig +norecurse évite de lui demander ce travail.

Qu’est-ce qu’une zone DNS ?

Une zone est l’ensemble des enregistrements publiés ensemble pour une portion d’arbre, par exemple example.com et les noms qu’on ne délègue pas plus loin. Elle commence par un SOA, annonce ses serveurs avec des NS, puis liste les A, AAAA, MX, TXT et autres données. Une zone n’est pas un fichier au sens strict : le même contenu peut vivre dans un fichier de zone, une base ou l’interface d’un hébergeur. La délégation coupe l’arbre : le parent ne publie plus le détail, il indique qui le fait.

À quoi sert un enregistrement SOA ?

Le SOA (start of authority) décrit la zone : le serveur primaire indiqué, l’adresse de contact, un numéro de série, et quatre durées (rafraîchissement, nouvel essai, expiration, minimum). Le minimum sert surtout de TTL pour les réponses négatives. Le 23 octobre 2026, le SOA d’example.com vu chez 1.1.1.1 indiquait elliott.ns.cloudflare.com, le contact dns.cloudflare.com, le série 2418004112, puis 10000, 2400, 604800 et 1800. Une réponse vide s’accompagne souvent de ce SOA dans la section authority.

À quoi sert un enregistrement NS ?

Un NS nomme un serveur qui fait autorité pour la zone. Le parent publie les NS de la délégation ; la zone elle-même doit publier le même ensemble. Si le parent dit une chose et la zone une autre, les résolveurs peuvent diverger selon le cache qu’ils ont encore. Les NS d’example.com relevés le 23 octobre 2026 chez 1.1.1.1 étaient hera.ns.cloudflare.com et elliott.ns.cloudflare.com. Le nom du NS doit ensuite être résolu en adresse, sauf si un glue record est fourni dans la délégation.

À quoi sert un enregistrement A ?

Un enregistrement A associe un nom à une adresse IPv4. C’est le type le plus consulté quand un navigateur ouvre un site en IPv4. Un nom peut en avoir plusieurs : le résolveur les renvoie, et le client en choisit une. Le 23 octobre 2026, example.com répondait en A avec 104.20.23.154 et 172.66.147.243, aussi bien chez les résolveurs publics que chez les NS Cloudflare de la zone. Un A n’est pas un renvoi : pour un alias, on publie un CNAME, qui devra lui-même finir sur un A ou un AAAA.

À quoi sert un enregistrement AAAA ?

Un AAAA associe un nom à une adresse IPv6. Il ne remplace pas le A : un site joignable dans les deux familles publie les deux. L’absence de AAAA n’est pas une panne si le réseau n’a pas d’IPv6, mais un client uniquement IPv6 ne pourra pas joindre un nom qui n’a qu’un A. Le 23 octobre 2026, example.com publiait 2606:4700:10::ac42:93f3 et 2606:4700:10::6814:179a. On teste ce type à part : un test A réussi ne dit rien de l’IPv6.

À quoi sert un enregistrement CNAME ?

Un CNAME fait d’un nom l’alias d’un autre nom. Le résolveur doit ensuite résoudre la cible. Le 23 octobre 2026, www.wikipedia.org était un CNAME vers dyna.wikimedia.org, et www.iana.org un CNAME vers www.iana.org.cdn.cloudflare.net, lui-même accompagné d’adresses A. Un CNAME occupe le nom : on ne peut pas ajouter à ce même nom un MX, un TXT ou un autre A. On ne pose pas non plus un CNAME sur le sommet de la zone si ce sommet doit porter le SOA, les NS ou le courrier.

À quoi sert un enregistrement MX ?

Un MX indique où livrer le courrier d’un domaine, avec une préférence : le nombre le plus bas est essayé en premier. La cible est un nom, qui doit avoir un A ou un AAAA, pas un CNAME. Un MX nul, de la forme « 0 . », signifie que le domaine n’accepte pas le courrier (RFC 7505). C’est exactement ce que publiait example.com le 23 octobre 2026, en accord avec son TXT « v=spf1 -all ». Plusieurs MX de même préférence se partagent le trafic.

À quoi sert un enregistrement TXT ?

Un TXT publie du texte libre. On s’en sert pour SPF, DKIM, DMARC, les vérifications de propriété demandées par un service, ou une consigne destinée à un outil. Plusieurs TXT coexistent sur le même nom. Le 23 octobre 2026, example.com en avait deux : « v=spf1 -all » et une chaîne de vérification. Le contenu est sensible à la casse et aux guillemets. Un TXT oublié après une migration casse rarement le site web, mais il casse l’authentification du courrier ou une preuve de propriété.

À quoi sert un enregistrement CAA ?

Un CAA limite les autorités de certification autorisées à émettre un certificat pour le nom. La propriété issue désigne l’AC (par exemple letsencrypt.org) ; iodef donne un contact en cas de demande refusée. Le 23 octobre 2026, wikipedia.org publiait issue letsencrypt.org, issue pki.goog et un iodef mailto:dns-admin@wikimedia.org. example.com n’avait aucun CAA : la réponse était NOERROR avec une section answer vide et le SOA en authority. L’absence de CAA n’interdit pas un certificat ; la présence d’un CAA trop étroit peut bloquer un renouvellement.

À quoi sert un enregistrement SRV ?

Un SRV indique où joindre un service : priorité, poids, port et cible. Le nom suit en général la forme _service._protocole.exemple.fr. Les étiquettes qui commencent par un tiret bas sont admises ici, alors qu’un nom d’hôte classique ne les utilise pas. La cible doit être un nom avec adresse, pas un CNAME. On s’en sert pour la voix, la messagerie instantanée ou la découverte de certains services. Un test SRV sur un nom qui n’a publié que des A renvoie une réponse vide : ce n’est pas une panne du A.

Qu’est-ce que le TTL d’un enregistrement DNS ?

Le TTL (time to live) est la durée, en secondes, pendant laquelle un résolveur a le droit de réutiliser une réponse sans redemander la zone. Passé ce délai, il recommence la recherche. Le TTL affiché par un résolveur public est souvent le reste du cache, donc plus court que celui de la zone. Le 23 octobre 2026, le même A d’example.com sortait avec un TTL de 66 chez Cloudflare, 300 chez Google et 113 chez AdGuard DNS, pour les mêmes adresses. Un TTL long ralentit une migration ; un TTL court multiplie les questions.

Qu’est-ce que la propagation DNS ?

La propagation désigne le délai pendant lequel les caches ne montrent pas encore la nouvelle valeur. Il n’y a pas d’onde qui parcourt le réseau : chaque résolveur garde l’ancienne réponse jusqu’à la fin du TTL qu’il a reçu, ou jusqu’à ce qu’il interroge à nouveau. Deux résolveurs peuvent donc différer sans qu’aucun soit « en panne ». Comparer 1.1.1.1, 8.8.8.8, 9.9.9.9, 94.140.14.14 et les autoritatifs sépare un cache en retard d’une zone qui n’a pas été modifiée. Le serveur autoritatif fait foi pour le contenu publié maintenant.

Que signifie le code NXDOMAIN ?

NXDOMAIN signifie que le nom demandé n’existe pas dans la zone qui fait autorité. Ce n’est pas la même chose qu’un nom qui existe sans le type demandé. Le 23 octobre 2026, la question A sur cette-etiquette-nexiste-pas.wikipedia.org vers 1.1.1.1 renvoyait NXDOMAIN, avec le SOA de wikipedia.org dans la section authority et un TTL de 3600, égal au champ minimum de ce SOA. Un NXDOMAIN mis en cache se prolonge jusqu’à ce TTL négatif. Si le nom devrait exister, on vérifie l’orthographe, la délégation et le fait que l’enregistrement a bien été publié.

Que signifie le code SERVFAIL ?

SERVFAIL signifie que le serveur n’a pas pu construire une réponse, sans pour autant affirmer que le nom n’existe pas. Les causes fréquentes sont un serveur autoritatif injoignable, une zone cassée, ou une validation DNSSEC qui échoue. Le 23 octobre 2026, dnssec-failed.org en type A chez 1.1.1.1 renvoyait SERVFAIL, avec l’information étendue EDE 9 (DNSKEY Missing) : aucune clé de la zone ne correspondait au DS publié chez le parent. Un SERVFAIL chez tous les résolveurs et chez l’autoritatif n’a pas la même piste qu’un SERVFAIL seulement dans le cache d’un récursif.

Que signifie le code NOERROR ?

NOERROR signifie que la question a été traitée sans erreur de protocole. Il ne garantit pas qu’une donnée est présente. Une réponse NOERROR avec une section answer vide est un NODATA : le nom existe, ou la zone refuse de dire le contraire, mais ce type n’est pas publié. Le 23 octobre 2026, le CAA d’example.com était dans ce cas : NOERROR, zéro réponse, et le SOA en authority. À l’inverse, un NOERROR avec des enregistrements A contient les adresses à utiliser. Il faut donc lire le code et la liste des valeurs, pas le code seul.

Qu’est-ce que DNSSEC ?

DNSSEC ajoute des signatures aux enregistrements pour qu’un résolveur puisse vérifier qu’ils n’ont pas été modifiés en chemin. La zone signe ses données avec une clé, publie la clé publique dans un DNSKEY, et le parent publie un condensé de cette clé dans un DS. Le drapeau AD dans une réponse de résolveur indique que cette vérification a réussi. DNSSEC n’chiffre pas le trafic et ne décide pas qui a le droit d’acheter le domaine. Une chaîne cassée produit souvent un SERVFAIL chez les résolveurs qui valident, alors que la zone répond encore en direct.

À quoi sert un enregistrement DS ?

Le DS (delegation signer) est publié dans la zone parente. Il contient un numéro de clé, un algorithme, un type d’empreinte et l’empreinte de la clé DNSSEC de l’enfant. C’est le maillon qui relie la confiance du parent à la zone déléguée. Le 23 octobre 2026, example.com avait chez 1.1.1.1 un DS 2371, algorithme 13, empreinte de type 2. Si le DS ne correspond plus à la clé réellement publiée dans la zone, les résolveurs validants échouent. On met à jour le DS chez le registraire ou le parent au moment d’un changement de clé, pas seulement dans la zone enfant.

Qu’est-ce qu’un glue record ?

Un glue record est une adresse, A ou AAAA, fournie en même temps que la délégation quand le serveur de noms est lui-même sous le nom délégué. Sans cette adresse, le résolveur devrait résoudre le nom du NS en interrogeant la zone qu’il ne sait pas encore joindre : c’est une dépendance circulaire. Quand le NS est dans un autre domaine, par exemple un NS Cloudflare pour example.com, le glue n’est pas obligatoire : l’adresse du NS se trouve dans l’autre zone. Une adresse de glue fausse envoie les résolveurs vers une machine qui n’a pas la zone.

Qu’est-ce qu’un FQDN ?

Un FQDN (fully qualified domain name) est un nom complet, de l’étiquette la plus à gauche jusqu’à la racine. example.com est un FQDN ; « www » seul ne l’est pas. Dans les réponses de dig, le nom complet se termine souvent par un point, qui désigne la racine : example.com. Le point final évite qu’un logiciel recolle le nom à un suffixe de recherche local. Les noms d’une seule étiquette, les suffixes .local ou .lan et les adresses IP ne sont pas des noms publics : l’outil de ce site les refuse.

Qu’est-ce qu’une délégation DNS ?

Une délégation est le geste par lequel une zone parente confie un nom à d’autres serveurs. Le registre de .com délègue example.com en publiant des NS ; la zone example.com est ensuite libre de publier ses enregistrements. Le 23 octobre 2026, les NS vus pour example.com étaient ceux de Cloudflare, et la zone répondait avec le drapeau AA. Changer de DNS chez le registraire modifie cette délégation. Tant que les anciens NS restent en cache, ou tant que la zone enfant n’a pas les mêmes NS, les réponses peuvent diverger. La délégation ne copie pas le contenu : elle indique seulement qui fait autorité.

Pour le détail : les guides. Pour un relevé : tester un enregistrement.