Comment fonctionne le DNS

Le système de noms de domaine (DNS) traduit un nom tel que www.example.com en l'adresse IP que les ordinateurs utilisent pour se connecter. Un résolveur récursif fait le travail à votre place : il interroge les serveurs racine, puis les serveurs du domaine de premier niveau, puis les serveurs faisant autorité pour le domaine, et conserve la réponse pour un usage ultérieur. Cela prend généralement quelques millisecondes.

Le chemin de résolution

Lorsque vous ouvrez www.example.com, voici les étapes qui se déroulent si rien n'est en cache :

1. Résolveur stub. Votre système d'exploitation dispose d'un petit client intégré. Il consulte son propre cache et le fichier hosts, puis envoie la question au résolveur récursif configuré (généralement celui de votre routeur ou de votre fournisseur, ou un résolveur public).
2. Résolveur récursif. Il consulte son cache. S'il n'a pas de réponse, il repart du sommet de la hiérarchie et pose des questions jusqu'à obtenir la réponse finale.
3. Serveurs racine. Le résolveur interroge un serveur racine à propos de www.example.com. La racine ne connaît pas l'adresse, mais répond en indiquant les serveurs responsables de .com.
4. Serveurs TLD. Les serveurs de .com ne connaissent pas non plus l'adresse, mais répondent avec les serveurs de noms de example.com (les enregistrements NS).
5. Serveurs faisant autorité. Le serveur de noms du domaine détient les véritables enregistrements et renvoie l'enregistrement A ou AAAA de www.example.com.
6. Le résolveur renvoie la réponse au résolveur stub, la stocke dans son cache, et le navigateur se connecte.

Vous pouvez suivre cette chaîne pour n'importe quel domaine avec notre vérificateur DNS.

Cache et TTL

Chaque enregistrement DNS possède un TTL (time to live, durée de vie), un nombre de secondes qui indique aux résolveurs combien de temps ils peuvent conserver la réponse. Un TTL de 3600 correspond à une heure. Le cache rend le DNS rapide et réduit la charge des serveurs faisant autorité, mais il signifie aussi qu'une modification n'apparaît pas partout en même temps. Des caches existent à plusieurs endroits : le navigateur, le système d'exploitation, le routeur et le résolveur récursif.

Les résolveurs mettent aussi en cache les réponses négatives, par exemple « ce nom n'existe pas » (NXDOMAIN), pendant une durée indiquée dans l'enregistrement SOA.

Types d'enregistrements courants

Type	Rôle	Exemple de valeur
A	Associe un nom à une adresse IPv4	192.0.2.10
AAAA	Associe un nom à une adresse IPv6	2001:db8::10
CNAME	Alias d'un nom vers un autre nom. Il ne peut pas coexister avec d'autres enregistrements à l'apex de la zone.	www.example.com → example.com
MX	Serveurs de messagerie du domaine, avec une priorité (le nombre le plus bas est essayé en premier)	10 mail.example.com
NS	Serveurs de noms faisant autorité pour la zone	ns1.example.com
TXT	Texte libre ; utilisé pour SPF, DKIM, DMARC et la vérification de domaine	"v=spf1 mx -all"
SOA	Début d'autorité : serveur primaire, contact de l'administrateur, numéro de série et temporisations	ns1.example.com hostmaster.example.com 2026110401 ...
CAA	Quelles autorités de certification peuvent émettre des certificats pour le domaine	0 issue "ca.example.net"
SRV	Hôte et port d'un service précis	10 5 5060 sip.example.com
PTR	Résolution inverse : associe une adresse IP à un nom	10.2.0.192.in-addr.arpa → host.example.com

Des enregistrements MX, SPF et DKIM corrects sont importants pour la remise du courrier. Utilisez notre outil de messagerie et de listes noires pour vérifier un serveur de messagerie et voir si son adresse IP figure sur des listes de blocage anti-spam.

Ce qu'est vraiment la propagation DNS

La « propagation DNS » est le nom courant du délai nécessaire pour que tous les caches du monde abandonnent l'ancienne réponse et récupèrent la nouvelle. Rien n'est diffusé à travers internet. Le serveur faisant autorité dispose immédiatement des nouvelles données ; les résolveurs conservent simplement les anciennes données jusqu'à l'expiration de leur TTL. Le délai maximal pour un enregistrement modifié est donc d'environ l'ancien TTL, et non le nouveau.

Changer de serveurs de noms chez le bureau d'enregistrement est plus lent, car les enregistrements NS de la zone du TLD ont généralement un TTL de un à deux jours. Pendant ce temps, certains utilisateurs atteignent les anciens serveurs et d'autres les nouveaux. Vous pouvez vérifier la délégation d'un domaine avec la recherche WHOIS, et les enregistrements eux-mêmes avec le vérificateur DNS.

Comment accélérer la propagation d'une modification

1. Au moins une durée d'ancien TTL avant la modification (par exemple 24 heures si le TTL est de 86400), abaissez le TTL de l'enregistrement à une petite valeur, comme 300 secondes.
2. Attendez que l'ancien TTL soit écoulé, afin que tous les caches détiennent la version à courte durée de vie.
3. Effectuez la modification. Les résolveurs interrogeront de nouveau dans un délai d'environ 5 minutes.
4. Vérifiez le résultat depuis plusieurs emplacements avec un vérificateur DNS.
5. Une fois que tout fonctionne, relevez le TTL pour réduire la charge de requêtes.

Numéro de série SOA et serveurs secondaires

La plupart des domaines utilisent au moins deux serveurs faisant autorité. L'un est le primaire, les autres sont des secondaires qui copient la zone depuis lui par un transfert de zone (AXFR ou IXFR). L'enregistrement SOA pilote ce mécanisme :

• Serial : un numéro de version. Un secondaire transfère la zone lorsque le serial du primaire est supérieur au sien. Un format courant est la date suivie d'un compteur, comme 2026110401. Si vous modifiez une zone et oubliez d'incrémenter le serial, les secondaires continuent de servir les anciennes données.
• Refresh : la fréquence à laquelle un secondaire vérifie le serial.
• Retry : le temps d'attente d'un secondaire avant de réessayer après une vérification échouée.
• Expire : au-delà de cette durée sans contact, un secondaire cesse de répondre.
• Minimum (TTL négatif) : la durée pendant laquelle les résolveurs mettent en cache les réponses « n'existe pas ».

Si un domaine renvoie des réponses différentes selon les serveurs de noms, un secondaire obsolète est une cause probable. Comparez les numéros de série de tous les serveurs NS.

Résolveurs anycast

Les résolveurs publics, comme ceux exploités par les grands fournisseurs, utilisent l'anycast : la même adresse IP est annoncée depuis de nombreux centres de données, et le réseau achemine chaque requête vers le plus proche. Cela offre un faible délai et de la résilience. Chaque site possède son propre cache, ce qui explique que deux personnes utilisant la même adresse de résolveur puissent brièvement voir des réponses différentes après une modification. La même technique est employée par les serveurs racine et par de nombreux services DNS faisant autorité.

Pour les notions connexes, lisez ce qu'est une adresse IP et le modèle OSI, dans lequel le DNS se situe à la couche application.