Aller au contenu
DomainVigil
S'inscrire

Outil gratuit

Ce qu'un domaine publie : les 8 réponses, d'un seul coup

Vous tapez un nom, les huit questions partent ensemble, et la zone vous revient empilée : le socle, la délégation, puis ce qui pend en dessous. Une case vide n'est pas une panne — on vous dit laquelle est normale, et laquelle ne l'est pas.

Sans inscription, sans e-mail à laisser. Vous pouvez coller une adresse complète : nous en extrayons le domaine.

Le mécanisme

Le DNS a quatre façons de ne rien dire

La plupart des outils les affichent toutes de la même manière : une case vide. Trois de ces quatre réponses sont pourtant parfaitement saines, et une seule veut dire que quelque chose est cassé. Cliquez pour voir ce qui revient, et ce qu'il faut en faire.

status: NXDOMAIN
ANSWER: 0
Réponse valide

Ce nom n'existe nulle part dans la zone — ni pour ce type, ni pour aucun autre. C'est une réponse valide du DNS, et elle est formelle : ce n'est pas « pas encore », c'est « pas du tout ».

Le geste : Vérifiez l'orthographe, puis que l'enregistrement a bien été créé dans la zone que servent les serveurs de noms actuels. Un enregistrement posé chez l'ancien hébergeur ne se voit pas depuis le nouveau.

Un tableau qui rend la même case vide pour ces quatre réponses fait perdre la journée : on cherche une panne là où il n'y en a pas, et on passe à côté d'une vraie. Celui du haut les distingue.

Lignes réduites à ce qui décide : le statut de la réponse et le nombre d'enregistrements rendus. Domaine d'exemple : RFC 2606.

Ce que personne n'affiche

Ce qu'une zone ne dit pas compte autant.

Une absence de CAA autorise toutes les autorités de certification. Une absence de MX laisse le courrier partir dans le vide. Une absence de SOA dit simplement que vous n'êtes pas au sommet d'une zone.

  • SOAabsent = vous n'êtes pas au sommet d'une zone
  • CAAabsent = toutes les autorités peuvent signer
  • MXun point = aucun courrier, et c'est voulu

Lire le résultat

Ce que veut dire chaque ligne

Six situations, et pour chacune la seule chose qui compte : est-ce que c'est grave.

Des valeurs sous un type
La zone publie ce type. Les serveurs de courrier sont triés par priorité, les serveurs de noms par ordre alphabétique : cet ordre est le nôtre, pas celui de la zone, et il n'a aucune importance.
Un type, et aucune valeur
Le nom existe, il ne publie pas ce type. En langage DNS, NOERROR sans aucune réponse — une réponse valide, pas une panne. Un sous-nom comme www n'a normalement ni SOA, ni NS, ni MX.
Un type, et un code à la place
Là, c'est autre chose : les serveurs n'ont pas répondu, ou ont répondu qu'ils ne savaient pas. SERVFAIL est le plus courant, et il vient le plus souvent d'une signature DNSSEC expirée.
Un point seul dans les serveurs de courrier
Un « null MX » : priorité 0, destination vide. Le domaine déclare qu'il ne reçoit pas de courrier (RFC 7505). Volontaire, et plus propre qu'un MX absent.
Un acte de zone, et aucune délégation
Un SOA sans serveurs de noms : la zone existe, mais plus personne n'est déclaré pour la servir. Elle disparaîtra d'Internet à l'expiration du cache du registre.
Un alias, et une zone entière derrière
Quand un CNAME apparaît, tout ce qui s'affiche sous lui appartient à sa cible : le résolveur a changé de nom en cours de route. Relancez sur la cible pour lire la vraie zone.

Les erreurs fréquentes

Cinq façons de mal lire une consultation

Toutes les cinq se soldent par la même phrase — « mon DNS est cassé » — alors que dans quatre cas sur cinq il ne l'est pas.

  1. Aucune adresse, et pourtant le site s'affiche

    Ce qui la provoque : Le nom interrogé n'est pas celui qui sert le site. Beaucoup de zones ne posent l'adresse que sur www et laissent le domaine nu vide.

    Le geste qui corrige : Consultez les deux, le domaine nu et le www. Celui qui est vide doit renvoyer vers l'autre, sinon la moitié de vos visiteurs tombe dans le vide.

  2. Le MX affiche un point, et on croit l'enregistrement cassé

    Ce qui la provoque : C'est un « null MX » : priorité 0, destination vide (RFC 7505). La plupart des outils rendent une ligne blanche et laissent croire à un oubli.

    Le geste qui corrige : Rien à corriger si ce domaine ne doit pas recevoir de courrier. S'il doit en recevoir, remplacez cette entrée par celle de votre hébergeur de messagerie.

  3. On interroge www et on conclut que le domaine n'a pas de serveurs de noms

    Ce qui la provoque : Le SOA, les NS et les CAA ne vivent qu'au sommet d'une zone. Sur un sous-nom, ils sont absents par construction, pas par accident.

    Le geste qui corrige : Reposez la question sur le domaine nu. C'est là, et seulement là, que se lit la délégation.

  4. Le SPF apparaît coupé en deux morceaux

    Ce qui la provoque : Une chaîne de texte DNS ne dépasse pas 255 caractères. Au-delà, la zone la publie en plusieurs morceaux, qu'il faut recoller bout à bout.

    Le geste qui corrige : Cet outil les recolle déjà : ce que vous lisez est la valeur entière. Si votre hébergeur affiche deux lignes, ne les comptez pas comme deux enregistrements.

  5. L'enregistrement créé il y a une heure n'apparaît toujours pas

    Ce qui la provoque : Un « ce type n'existe pas » se garde en cache lui aussi, pour la durée inscrite au dernier champ du SOA. Tant qu'elle n'est pas écoulée, le résolveur répète son ancienne absence sans rien redemander.

    Le geste qui corrige : Lisez cette durée dans l'acte de la zone, plus haut, et attendez-la. Pour voir ce que publient les serveurs du domaine sans passer par un cache, utilisez la propagation DNS.

À garder sous la main

Les 8 types, et ce que veut dire leur absence

La colonne de droite est celle qu'on ne trouve nulle part : un enregistrement absent dit quelque chose, et pas la même chose selon le type.

TypeLa question à laquelle il répondCe que veut dire son absence
ASur quelle adresse IPv4 joindre ce nom ?Aucun navigateur ne peut le joindre en IPv4.
AAAAEt en IPv6 ?Le nom n'est joignable qu'en IPv4. Très courant, sans conséquence à ce jour.
CNAMECe nom est-il l'autre nom de quelqu'un ?Le nom est servi pour lui-même, pas par renvoi.
MXQui reçoit le courrier de ce domaine ?Le domaine n'en reçoit pas — mais sans le dire. Un « null MX », lui, le dit.
NSQuels serveurs font autorité sur cette zone ?Normal sur un sous-nom. Sur un domaine, c'est une panne.
SOAOù commence la zone, et qui l'administre ?Ce nom n'est pas le sommet d'une zone.
TXTQue déclare ce domaine en texte libre ?Ni SPF, ni DMARC, ni preuve de propriété : le courrier part sans garantie.
CAAQuelles autorités peuvent lui délivrer un certificat ?Toutes. C'est le réglage par défaut (RFC 8659).

Les huit questions partent vers deux résolveurs publics, 1.1.1.1 et 8.8.8.8 : si le premier ne répond pas, le second prend le relais. Ce n'est pas celui de votre hébergeur, qui peut filtrer ou répondre depuis un cache local. Pour interroger les serveurs du domaine eux-mêmes, passez par la propagation DNS.

Questions fréquentes

Ce qu'on nous demande sur la consultation DNS

Quelle différence avec l'outil de propagation DNS ?

Celui-ci vous dit ce qu'un résolveur public répond aujourd'hui, pour les huit types à la fois. La propagation compare huit résolveurs entre eux et avec les serveurs du domaine, pour un seul type : c'est l'outil des jours de migration, pas celui de la question « qu'est-ce que ce domaine publie ».

Pourquoi ne puis-je pas choisir le type dans un menu ?

Parce que la vraie question n'est presque jamais « que dit le MX » mais « qu'est-ce que cette zone publie ». Choisir un type d'abord oblige à savoir ce qu'on cherche — ce qui est précisément ce qu'on ignore en arrivant ici. Les huit d'un coup vous le montrent.

Un enregistrement vide veut-il dire que mon domaine est cassé ?

Non. Le DNS distingue « ce nom n'existe pas » (NXDOMAIN) de « ce nom existe mais ne publie pas ce type » (NODATA). La seconde réponse est la plus fréquente de toutes, et c'est une réponse parfaitement valide.

Que veut dire le point unique dans les serveurs de courrier ?

C'est un « null MX » : priorité 0, destination vide. Le domaine déclare ne pas recevoir de courrier (RFC 7505). Un serveur qui le lit refuse immédiatement, au lieu de garder le message 5 jours en file d'attente.

Puis-je interroger un sous-domaine ?

Oui, et c'est souvent ce qu'il faut faire. Sachez seulement que le SOA, les NS et les CAA ne se trouvent qu'au sommet d'une zone : sur un www comme sur un nom de service, ils seront vides, et ce n'est pas un défaut.

Les valeurs affichées sont-elles celles de ma zone ou celles d'un cache ?

Celles d'un cache public, à la seconde où vous demandez. Tant que la durée de vie inscrite sur l'enregistrement n'a pas expiré, un résolveur sert sa copie sans rien redemander. Pour lire les serveurs du domaine directement, passez par la propagation DNS.

L'acte de la zone

Les sept champs du SOA, et les deux qui font perdre une matinée

Tous les outils les affichent en vrac, sur une ligne. Ce sont sept réglages distincts, et deux d'entre eux expliquent la moitié des questions qu'on nous pose.

ns1.example.com. hostmaster.example.com. 2026091601 7200 3600 1209600 300

  1. MNAMELe serveur de noms principal

    Celui qui détient l'original de la zone ; les autres n'en servent que des copies. C'est lui qu'on interroge quand on veut voir une modification avant qu'elle ne se répande.

  2. RNAMEL'adresse de l'administrateur

    Une adresse électronique écrite à la mode DNS : le premier point remplace l'arobase. « hostmaster.example.com » se lit donc « hostmaster@example.com ».

  3. SERIALLe numéro de série

    Il augmente à chaque modification. Si un serveur secondaire affiche un numéro plus petit que le principal, il n'a pas encore reçu votre changement — et c'est là qu'il faut chercher, pas dans les caches.

  4. REFRESHL'intervalle de rafraîchissement

    Le délai au bout duquel un serveur secondaire va demander au principal s'il y a du nouveau. En l'absence de notification, c'est le pire délai avant qu'une copie se mette à jour.

  5. RETRYLe nouvel essai après échec

    Si le principal n'a pas répondu, le secondaire attend ce délai avant de réessayer. Toujours plus court que le précédent.

  6. EXPIREL'abandon de la zone

    Au bout de ce temps sans avoir pu joindre le principal, un secondaire cesse de répondre pour la zone plutôt que de servir une copie périmée. C'est la dernière ligne de défense contre un domaine qui ment.

  7. MINIMUMLa durée de vie négative

    Le seul champ qui vous concerne directement : il dit combien de temps un « ce nom ne publie pas ce type » reste vrai dans les caches du monde entier. C'est celui qu'on maudit quand un enregistrement créé il y a dix minutes reste introuvable.

Les sept champs et leur ordre viennent de la RFC 1035 § 3.3.13. La durée de vie négative est le plus petit du champ MINIMUM et de la durée de vie du SOA lui-même, telle que l'a redéfinie la RFC 2308 § 5.

Pourquoi les huit d'un coup

Les cinq étages d'une zone ne tombent pas ensemble

C'est toute la raison de demander les huit types en même temps. Deux de ces étages sont l'ossature : sans eux, rien de ce qui pend en dessous n'est servi. Les trois autres se vident chacun de leur côté, sans que le reste bouge d'un millimètre.

  1. Le socle

    SOA

    Ossature

    Sans luiLe nom n'est pas le sommet d'une zone. Ce n'est pas forcément une panne — c'est peut-être simplement un sous-nom — mais aucune des conclusions qui suivent ne tient si on l'oublie.

    Ce qui tientTout, si le nom est bien un sous-nom : son adresse, ses déclarations et son courrier se lisent normalement dans la zone du dessus.

  2. La délégation

    NS

    Ossature

    Sans luiPlus personne n'est déclaré pour servir la zone. Tant que le cache du registre tient, tout continue de marcher ; à son expiration, le domaine disparaît d'Internet en entier.

    Ce qui tientRien, à terme. C'est le seul étage dont l'absence emporte tous les autres.

  3. L'adresse

    A · AAAA · CNAME

    Sans luiAucun navigateur ne trouve où aller. Le site est injoignable, et son certificat ne peut même plus être renouvelé automatiquement.

    Ce qui tientLe courrier. Un domaine sans site reçoit parfaitement ses messages — c'est même le montage de beaucoup de domaines de marque.

  4. Le courrier

    MX

    Sans luiLes messages se rabattent sur l'adresse du site : sans MX, un serveur d'envoi traite l'enregistrement A comme un MX implicite (RFC 5321 § 5.1). Ils arrivent donc sur le serveur web, qui n'en fait rien.

    Ce qui tientLe site, entièrement. Une panne de courrier ne se voit jamais depuis un navigateur, et c'est pour ça qu'elle dure des semaines.

  5. Les déclarations

    TXT · CAA

    Sans luiRien ne casse tout de suite, et c'est le piège. Sans SPF ni DMARC, le courrier part sans garantie et finit en indésirable ; sans CAA, n'importe quelle autorité peut délivrer un certificat pour ce domaine.

    Ce qui tientLe site et le courrier, dans l'immédiat. C'est l'étage dont l'absence ne se remarque qu'au moment où elle coûte cher.

Le repli du courrier sur l'enregistrement A est décrit par la RFC 5321 § 5.1 ; l'autorisation générale en l'absence de CAA, par la RFC 8659.

Le vocabulaire

Huit mots qu'on lit partout sans jamais les voir définis

Ce sont les termes qui apparaissent dans le résultat ci-dessus, dans les réponses de votre hébergeur et dans les fils de discussion où vous finirez par chercher.

Zone
L'ensemble des noms qu'un même jeu de serveurs administre. Un domaine est une zone ; un sous-domaine peut en être une autre, confiée à quelqu'un d'autre.
Apex
Le sommet d'une zone — le domaine nu, sans www. C'est le seul endroit où vivent le SOA et les NS.
RRset
Tous les enregistrements d'un même type sur un même nom. Les quatre adresses d'un site forment un seul RRset, et se remplacent ensemble.
NODATA
Le nom existe, il ne publie pas ce type. Une réponse valide, la plus fréquente de toutes, et celle qu'on prend à tort pour une panne.
NXDOMAIN
Le nom n'existe pas du tout. Différent du précédent, et bien plus définitif.
SERVFAIL
Les serveurs n'ont pas su répondre. La seule vraie panne des quatre silences, et souvent une signature DNSSEC expirée.
Null MX
Un MX de priorité 0 vers un point : le domaine déclare ne pas recevoir de courrier (RFC 7505).
Glue
L'adresse d'un serveur de noms publiée par le registre du dessus, quand ce serveur porte un nom de la zone qu'il sert. Sans elle, la recherche tournerait en rond.
Une zone ne se lit pas ligne par ligne. Elle se lit du socle vers le bas.
C'est la raison de l'ordre d'affichage du résultat, et celle de l'absence de menu déroulant : la question n'est pas « que dit le MX », c'est « qu'est-ce que cette zone publie ».