Aller au contenu
DomainVigil
S'inscrire

Guide de référence

Qu'est-ce que DNSSEC ?

DNSSEC signe les réponses du DNS pour qu'on puisse prouver qu'elles n'ont pas été truquées. C'est une protection réelle, et la seule dont une panne fait disparaître le domaine au lieu de le dégrader.

7 min de lectureMis à jour le 12 septembre 2026

En bref

DNSSEC est une extension du DNS qui signe chaque réponse avec une clé cryptographique. Un résolveur qui valide peut alors vérifier que la réponse vient bien de la zone légitime et n'a pas été modifiée en route. La confiance descend de la racine d'Internet jusqu'à votre domaine, maillon par maillon ; si un seul maillon manque, le domaine devient injoignable pour tous ceux qui valident.

À quoi sert DNSSEC

Une réponse DNS ordinaire n'est signée par personne. N'importe quel équipement sur le trajet peut en fabriquer une et la faire passer pour la bonne : le navigateur ira alors vers une autre machine que la vôtre, en affichant votre nom de domaine dans la barre d'adresse. DNSSEC ferme cette porte en attachant à chaque réponse une signature vérifiable.

La particularité de DNSSEC, et la raison pour laquelle il mérite une surveillance à part, c'est son mode d'échec. Quand un certificat expire, le visiteur voit un avertissement et peut passer outre. Quand une signature DNSSEC expire, il n'y a pas d'avertissement : le résolveur refuse simplement de répondre, et le domaine n'existe plus — ni le site, ni le courrier, ni rien.

Cette panne-là est en plus partielle et donc déroutante : seuls les résolveurs qui valident refusent. Un visiteur sur le réseau d'un opérateur qui valide ne voit plus rien, pendant que vous, sur un autre réseau, voyez le site parfaitement. C'est le scénario qui fait perdre une demi-journée avant qu'on pense à DNSSEC.

La chaîne de confiance, de la racine à votre domaine

DNSSEC ne fonctionne pas par domaine isolé mais par chaîne. Chaque niveau garantit le suivant, et le tout part d'une seule clé connue d'avance par tous les résolveurs du monde.

  1. 1

    La racine signe ce qu'elle publie

    La clé de la racine est l'ancre de confiance : elle est distribuée avec les logiciels de résolution, pas apprise par le réseau. C'est le seul point de départ qui ne se vérifie pas, parce qu'il est connu d'avance.

  2. 2

    La racine garantit l'extension

    Dans la zone racine se trouve, pour chaque extension, l'empreinte de sa clé. Un résolveur qui a validé la racine peut donc valider la clé de l'extension.

    racine → DS de .com → clé de .com

  3. 3

    L'extension garantit votre domaine

    Le même mécanisme un cran plus bas : l'extension publie l'empreinte de votre clé. C'est ce maillon-là que vous posez, en transmettant l'empreinte à votre bureau d'enregistrement.

    .com → DS de example.com → clé de example.com

  4. 4

    Votre clé signe vos enregistrements

    Chaque groupe d'enregistrements de la zone — les adresses, les serveurs de courrier, les enregistrements TXT — porte sa propre signature, avec une date de début et une date de fin de validité.

  5. 5

    Le résolveur remonte la chaîne

    Il part de l'ancre qu'il connaît et descend jusqu'à la réponse demandée. Si chaque maillon tient, la réponse est déclarée sûre. Si un seul manque ou ne correspond pas, elle est déclarée invalide et n'est pas servie.

Les cinq enregistrements de DNSSEC

Signer une zone ajoute des enregistrements qu'on ne voit nulle part ailleurs. Un seul d'entre eux vit en dehors de votre zone, et c'est celui qui cause le plus de pannes.

EnregistrementOù il vitCe qu'il porte
DNSKEYDans votre zoneLes clés publiques du domaine. Une clé de signature de zone pour le travail courant, une clé de signature de clé pour le maillon avec le parent.
RRSIGDans votre zoneLa signature d'un groupe d'enregistrements, avec sa date de début et surtout sa date de fin. C'est cette date qui expire.
DSDans la zone de l'extensionL'empreinte de votre clé, publiée par le registre à la demande de votre bureau d'enregistrement. Le seul maillon que vous ne contrôlez pas directement.
NSEC / NSEC3Dans votre zoneLa preuve signée qu'un nom n'existe pas. Sans elle, une réponse négative pourrait être fabriquée de toutes pièces.
CDS / CDNSKEYDans votre zoneCe que votre zone demande au parent de publier. Permet à un opérateur DNS de renouveler les clés sans intervention manuelle chez le registraire.

Les quatre états de validation

Un résolveur qui valide ne répond pas par oui ou non mais par l'un de ces quatre états. Savoir les distinguer évite de chercher la panne au mauvais endroit.

ÉtatCe que le résolveur a constatéCe que voit le visiteur
SécuriséLa chaîne est complète et toutes les signatures sont valides.Le site répond normalement, avec la garantie que la réponse est authentique.
Non signéLe parent ne publie aucune empreinte : le domaine n'est tout simplement pas signé.Le site répond normalement. C'est l'état de la majorité des domaines.
InvalideUne signature manque, a expiré, ou ne correspond pas à la clé annoncée.Rien. Le résolveur refuse de servir la réponse : le domaine paraît ne plus exister.
IndéterminéAucune ancre de confiance ne s'applique à cette branche du DNS.Le site répond, traité comme un domaine non signé.

Seul l'état invalide produit une panne, et il ne la produit que pour les résolveurs qui valident. D'où l'impression, très fréquente, que « le site marche chez moi ».

Vérifiez sur votre domaine, tout de suite

Entrez un nom de domaine : le bilan lit son expiration, son certificat, son authentification de courrier et ses enregistrements DNS en une fois.

Sans inscription, sans e-mail à laisser. Vous pouvez coller une adresse complète : nous en extrayons le domaine.

Comment DNSSEC casse, en pratique

  • Le domaine disparaît après un changement d'hébergeur DNS

    Ce qui le provoque : La zone a été déplacée sans retirer l'empreinte publiée chez le registraire. Le nouvel hébergeur signe avec d'autres clés, ou ne signe pas du tout : l'empreinte ne correspond plus à rien.

    Le geste qui corrige : Retirer l'empreinte chez le registraire avant la migration, attendre l'expiration des caches, déplacer la zone, puis republier une empreinte neuve une fois la nouvelle signature en place.

  • Les signatures ont expiré

    Ce qui le provoque : La resignature automatique s'est interrompue — compte suspendu, tâche planifiée en échec, opérateur DNS en incident. Les signatures existantes vieillissent et franchissent leur date de fin.

    Le geste qui corrige : Rétablir la signature. Surveiller la date de fin des signatures, et pas seulement le fait que DNSSEC soit activé : une zone signée avec des signatures périmées est pire qu'une zone non signée.

  • Un renouvellement de clé a laissé l'ancienne empreinte

    Ce qui le provoque : La clé a été remplacée dans la zone mais l'empreinte publiée chez le registre désigne encore la précédente.

    Le geste qui corrige : Publier la nouvelle empreinte et laisser les deux cohabiter le temps que les caches se vident, avant de retirer l'ancienne.

  • Une partie des visiteurs seulement est touchée

    Ce qui le provoque : Ce n'est pas un bug d'affichage : seuls les résolveurs qui valident refusent la réponse. Les autres servent la zone sans rien vérifier.

    Le geste qui corrige : Tester avec un résolveur qui valide, et non depuis le poste habituel. C'est le seul moyen de voir la panne que vos visiteurs voient.

Les questions qu'on se pose ensuite

DNSSEC chiffre-t-il mes requêtes DNS ?

Non. Il les authentifie : on sait que la réponse est la bonne, mais elle circule toujours en clair et reste lisible par les équipements du trajet. Le chiffrement des requêtes est un sujet distinct, traité par le DNS sur HTTPS ou sur TLS.

Faut-il activer DNSSEC sur un site vitrine ?

C'est un arbitrage. Le gain est réel mais invisible au quotidien ; le risque, lui, est une panne totale et silencieuse si la resignature s'arrête. Activez-le quand la zone est chez un opérateur qui gère les clés automatiquement, et quand quelqu'un surveille les dates de fin.

Mon extension prend-elle DNSSEC en charge ?

La plupart des extensions courantes l'acceptent, mais pas toutes, et le bureau d'enregistrement doit lui aussi savoir transmettre l'empreinte. Sans ce relais, la zone peut être signée sans que personne ne puisse le vérifier : elle reste non signée aux yeux du monde.

Combien de temps une signature reste-t-elle valide ?

Cela dépend de l'opérateur qui signe : chaque signature porte sa propre date de fin, et l'opérateur la renouvelle bien avant. Ce qui compte n'est pas la durée choisie mais le fait que le renouvellement tourne toujours.

La panne DNSSEC ne fait pas de bruit

Pas d'avertissement dans le navigateur, pas de message d'erreur, juste un domaine qui cesse d'exister pour une partie d'Internet. DomainVigil interroge chacun de vos domaines tous les jours et vous écrit quand une réponse cesse d'être servie.

Commencer gratuitement

Cinq domaines gratuits, pour toujours. Sans carte bancaire.

Les autres guides de référence