Que montre la recherche DNS ?
Le DNS traduit les noms en adresses et contient bien plus : où vont les mails, quels serveurs de noms sont responsables, quelles AC peuvent émettre des certificats. La recherche interroge les types principaux en une fois, tels qu’un résolveur public les voit actuellement.
Les principaux types d’enregistrement
- A / AAAA : adresse IPv4 et IPv6 d’un nom.
- CNAME : alias vers un autre nom. Un nom avec CNAME ne peut avoir aucun autre enregistrement, c’est pourquoi un CNAME ne fonctionne pas sur le domaine lui-même.
- MX : serveurs mail du domaine ; la plus petite priorité est essayée en premier. Un MX vers « . » (MX nul) signifie que le domaine ne reçoit pas de mail.
- NS et SOA : serveurs de noms responsables et données de gestion de la zone. Le TTL négatif du SOA fixe combien de temps « n’existe pas » est mis en cache.
- TXT : texte libre, aujourd’hui surtout SPF, DMARC, DKIM et vérifications de domaine pour des services cloud.
- CAA : quelles autorités de certification peuvent émettre des certificats.
- SRV, HTTPS : services avec port (p. ex. SIP, XMPP, Autodiscover) et indications de connexion pour les navigateurs.
DNS inverse et contre-vérification
Une adresse IP a un enregistrement PTR sous in-addr.arpa ou ip6.arpa. Il est géré par le propriétaire de la plage d’adresses, en général le fournisseur ou l’hébergeur. Pour un serveur mail, il est indispensable : beaucoup de destinataires refusent les mails si l’IP n’a pas de PTR ou si le nom PTR ne pointe pas vers la même IP. L’outil fait cette contre-vérification (FCrDNS) automatiquement.
Pourquoi vois-je d’autres valeurs que mon collègue ?
Les résolveurs gardent les réponses en cache jusqu’à l’expiration du TTL. Après une modification, certains voient encore l’ancienne valeur. La requête ici va vers Google Public DNS. La colonne TTL indique combien de temps une ancienne valeur peut encore apparaître au maximum.
FAQ
Quels résolveurs sont utilisés ?
Google Public DNS (dns.google), Cloudflare (1.1.1.1) en cas de panne. Les deux valident DNSSEC. La requête passe par le serveur hollop.net, les résolveurs ne voient donc pas ton adresse IP.
Puis-je interroger des noms internes ?
Non. Les résolveurs publics ne connaissent que les zones publiques. Pour les noms internes, utilise nslookup ou Resolve-DnsName dans ton réseau. Les commandes sont affichées sous chaque résultat.
Pourquoi un enregistrement que je viens de créer manque-t-il ?
Soit la modification n’a pas encore atteint tous les serveurs de noms, soit le résolveur a encore l’ancienne réponse en cache. Un « n’existe pas » est gardé aussi longtemps que le TTL négatif du SOA.
Que signifie « DNSSEC validé » ?
La zone est signée et le résolveur a vérifié la chaîne de signatures jusqu’à la racine. La réponse n’a donc pas été falsifiée en route. Le DNS fonctionne aussi sans DNSSEC, mais sans cette protection.
Pourquoi « Tous les importants » n’affiche pas de SRV ?
Les enregistrements SRV se trouvent sous leurs propres noms, comme _sip._tcp.exemple.fr. Saisis ce nom et choisis le type SRV.