Outil gratuit
Vers quoi pointe cet alias ?
L'alias d'un nom, la chaîne entière qu'il traverse, et l'adresse où elle aboutit — ou la constatation qu'elle n'aboutit nulle part. Vous pouvez entrer un sous-domaine : « www.example.com » est justement le nom qui porte un alias.
Un alias survit toujours au service qu'il désignait
On branche un sous-domaine sur un outil en ligne, on l'utilise un an, on ferme le compte. Le CNAME, lui, reste. Il pointe vers un nom qui n'existe plus, et le jour où quelqu'un d'autre réserve ce nom chez le même hébergeur, il sert ce qu'il veut sous votre domaine — avec votre nom dans la barre d'adresse et votre certificat au-dessus.
Une interface DNS ne montre qu'un maillon
Le panneau de votre hébergeur affiche l'alias que vous avez créé, et rien de plus. Il ne dit pas que sa cible est elle-même un alias, ni que la troisième ne résout vers aucune adresse. L'outil déroule la chaîne entière et va jusqu'à l'adresse finale : c'est là que se voient les alias suspendus et les boucles.
La règle d'exclusivité
Un alias exige d'être seul chez lui
Un CNAME ne dit pas « en plus », il dit « à la place de » : tout ce qui concerne ce nom part ailleurs. Il ne peut donc pas cohabiter avec le moindre autre enregistrement. Essayez d'en poser un dans chacune de ces deux boîtes.
example.com
La racine du domaine
Les enregistrements posés à ce nom
- SOAActe de naissance de la zone
- NSns1.example.net
- MXmail.example.com
- A203.0.113.10
www.example.com
Un sous-domaine, vide pour l'instant
Les enregistrements posés à ce nom
- Aucun enregistrement
La règle vient de la spécification d'origine du DNS : si un CNAME est présent à un nom, aucune autre donnée ne doit s'y trouver (RFC 1034).
La question qui revient
Peut-on mettre un alias sur le domaine racine ?
Non.
Et aucun hébergeur ne peut y changer quoi que ce soit : la racine porte obligatoirement ses serveurs de noms et son enregistrement d'origine, or dès qu'un nom porte un alias, tout le reste de ce nom est ignoré. L'interdiction vient de la définition même du DNS (RFC 1034), pas d'une limite de votre fournisseur.
Ce qu'on fait à la place
Un enregistrement d'adresse
On déclare directement l'adresse sur la racine. Ça marche partout — mais il faut la changer soi-même le jour où la cible déménage.
L'aplatissement du fournisseur
Sous les noms ALIAS, ANAME ou « CNAME flattening », le serveur de noms résout la cible et répond une adresse. Aucun standard ne les définit : le comportement dépend du fournisseur.
Une redirection web
Le visiteur arrive sur la racine, puis le serveur l'envoie vers « www ». Elle intervient après la connexion : elle ne remplace pas l'alias, elle déplace le problème.
Lire le résultat
Le tableau donne la chaîne dans l'ordre, un maillon par ligne. Les constats en dessous portent sur son extrémité : ce que le nom atteint vraiment, quand il atteint quelque chose.
- Rien à signaler — l'alias aboutit
- Un seul saut, et la cible résout vers une adresse. C'est le montage attendu d'un « www » ou d'un sous-domaine branché sur un service.
- Rien à signaler — aucun alias sur ce nom
- Le nom n'en porte pas, et il n'y a là rien d'anormal. Sur un domaine racine, c'est même la règle : un alias ne peut pas cohabiter avec les enregistrements obligatoires de la racine. L'outil regarde alors « www » devant le nom, où l'on en trouve un la plupart du temps.
- À surveiller — une chaîne de plusieurs alias
- L'alias pointe vers un alias, qui pointe vers un autre. Chaque maillon est une résolution supplémentaire avant la première connexion, et il suffit qu'un seul disparaisse pour que le nom cesse de répondre.
- Problème — alias suspendu
- La chaîne aboutit à un nom qui ne résout vers aucune adresse. Le sous-domaine ne mène nulle part, et si la cible appartient à un hébergeur qui redistribue ses noms, elle peut être reprise par quelqu'un d'autre.
- Problème — la chaîne tourne en rond
- Un maillon renvoie vers un nom déjà traversé. Aucun résolveur n'en sort : le nom ne répond pas du tout.
- Problème — le nom n'existe pas
- Aucun serveur de noms ne connaît ce nom. Ce n'est pas qu'il n'a pas d'alias : il n'est pas déclaré du tout.
- Indéterminé — pas de réponse à temps
- Le résolveur n'a rien rendu dans le délai imparti. Cela arrive sur une zone lente, et ne dit rien du nom interrogé.
Les erreurs qu'on voit le plus souvent
Un CNAME a été créé sur le domaine racine
Ce qui la provoque : on veut brancher « example.com » sur un hébergeur qui ne fournit qu'un nom, alors on tente un alias à la racine. Selon le fournisseur, il est refusé, ou accepté puis ignoré — et dans ce dernier cas il emporte le courrier avec lui, puisqu'un alias exclut tout autre enregistrement sur le même nom.
Le geste qui corrige : utiliser le mécanisme que propose l'hébergeur pour la racine — il porte des noms différents selon les fournisseurs — ou, à défaut, un enregistrement d'adresse et une redirection depuis la racine vers « www ».
Le CNAME coexiste avec un MX ou un TXT sur le même nom
Ce qui la provoque : la règle est ancienne et sans exception : dès qu'un nom porte un alias, il ne peut rien porter d'autre. Le MX et le TXT saisis à côté sont ignorés — souvent sans que l'interface avertisse.
Le geste qui corrige : déplacer les autres enregistrements sur un nom distinct, ou remplacer l'alias par un enregistrement d'adresse.
Le service a été fermé, l'alias est resté
Ce qui la provoque : l'outil en ligne n'existe plus, ou le compte a été résilié. Le sous-domaine continue de pointer vers une cible vide. C'est l'alias suspendu, et c'est la porte d'entrée d'une reprise de sous-domaine.
Le geste qui corrige : supprimer l'alias en même temps que le compte. Un inventaire régulier des sous-domaines évite d'en découvrir douze d'un coup.
Une adresse web complète a été saisie en valeur
Ce qui la provoque : on colle « https://app.example.net/ » dans le champ. Un alias attend un NOM de domaine, sans protocole, sans barre oblique et sans chemin. Le fournisseur refuse la valeur, ou publie un nom qui ne correspond à rien.
Le geste qui corrige : ne saisir que le nom. Pour envoyer un visiteur vers une adresse précise, il faut une redirection, qui se règle au niveau du serveur web et non du DNS.
L'alias fonctionne, le certificat non
Ce qui la provoque : l'alias envoie bien le visiteur vers le bon serveur, mais ce serveur ne présente pas de certificat couvrant VOTRE nom — il ne sait pas encore qu'on l'appelle ainsi. Le navigateur affiche un avertissement plein écran.
Le geste qui corrige : déclarer le nom personnalisé côté service, et attendre qu'il émette le certificat correspondant. C'est une étape distincte de la création de l'alias.
Ce qu'un alias peut et ne peut pas faire
Presque toutes les difficultés viennent de trois lignes de ce tableau. La règle qui les explique toutes est la même : un nom qui porte un alias ne porte que lui.
| Cas | Possible ? | La raison |
|---|---|---|
| Aliaser un sous-domaine | Oui | C'est l'usage prévu : « www », « blog », « boutique » pointent vers le nom d'un service. |
| Aliaser le domaine racine | Non | La racine porte obligatoirement ses serveurs de noms et son enregistrement d'origine. Un alias ne peut pas cohabiter avec eux. |
| Garder un MX ou un TXT à côté | Non | Même règle : dès qu'un nom porte un alias, tout le reste de ce nom est ignoré. |
| Pointer vers un autre alias | Oui | Rien ne l'interdit, mais chaque maillon coûte une résolution de plus, et un maillon cassé suffit à rompre la chaîne. |
| Pointer vers une adresse IP | Non | La valeur d'un alias est un nom. Une adresse se déclare avec un enregistrement d'adresse. |
| Pointer vers un nom d'un autre domaine | Oui | C'est même le cas le plus fréquent : un sous-domaine chez vous, une cible chez un hébergeur. |
| Contenir une adresse web complète | Non | Le DNS ne connaît ni les protocoles, ni les chemins. Une redirection se fait au niveau du serveur web. |
| Être la cible d'un MX ou d'un serveur de noms | Non | Ces deux champs exigent un nom qui porte directement son adresse. |
| Avoir sa propre durée de vie | Oui | L'alias et sa cible ont chacun la leur, et ce sont deux mémoires différentes qui expirent séparément. |
L'interdiction de faire cohabiter un alias avec d'autres enregistrements vient de la définition du DNS (RFC 1034) ; l'interdiction de le prendre pour cible d'un MX ou d'un serveur de noms, de la RFC 2181.
Alias, enregistrement d'adresse, redirection : qui fait quoi
Ces quatre mécanismes produisent des effets voisins et ne se remplacent pas. Trois vivent dans le DNS, le dernier dans le serveur web — et c'est la confusion entre les deux mondes qui bloque la plupart des mises en ligne.
| Mécanisme | Où il vit | Ce qu'il fait vraiment |
|---|---|---|
| CNAME | Dans le DNS, standard et universel | Renvoie le résolveur vers un autre nom, qu'il devra résoudre à son tour. Interdit à la racine. |
| Enregistrement d'adresse | Dans le DNS, standard | Donne directement l'adresse. Fonctionne partout, y compris à la racine, mais l'adresse est figée : si le service change la sienne, le nom pointe dans le vide. |
| ALIAS, ANAME, aplatissement | Dans le DNS, propre à chaque hébergeur | Le serveur de noms résout la cible lui-même et répond une adresse. Vu de l'extérieur c'est un enregistrement d'adresse, ce qui le rend utilisable à la racine. Cloudflare et plusieurs autres fournisseurs le proposent, sous des noms différents. |
| Redirection HTTP | Dans le serveur web, après la connexion | Envoie le visiteur vers une autre adresse. Elle intervient trop tard pour remplacer un alias : la connexion chiffrée s'établit avant, et exige donc déjà un certificat valide sur le nom de départ. |
Les noms « ALIAS », « ANAME » et « aplatissement de CNAME » désignent des implémentations propriétaires : aucun standard ne les définit, et leur comportement exact dépend du fournisseur. Seuls le CNAME et l'enregistrement d'adresse sont garantis identiques partout.
Questions fréquentes
Qu'est-ce qu'un enregistrement CNAME ?
C'est un alias : il déclare qu'un nom est un autre nom. Le résolveur qui le rencontre abandonne le nom demandé et recommence sa recherche sur la cible. C'est ce qui permet de brancher « boutique.example.com » sur une plateforme sans jamais connaître son adresse, ni avoir à la suivre quand elle change.
Peut-on mettre un CNAME sur le domaine racine ?
Non. La racine d'un domaine porte obligatoirement ses serveurs de noms et son enregistrement d'origine, et un alias ne peut cohabiter avec aucun autre enregistrement sur le même nom. Plusieurs hébergeurs contournent la règle avec un mécanisme maison qui résout la cible de leur côté et répond une adresse — il porte un nom différent chez chacun.
CNAME ou enregistrement d'adresse : lequel choisir ?
L'alias quand la cible est un service dont l'adresse peut changer sans prévenir, ce qui est le cas de presque tous les hébergements modernes. L'enregistrement d'adresse quand vous maîtrisez le serveur et son adresse, ou quand il s'agit de la racine du domaine, où l'alias est interdit.
Mon CNAME est bien enregistré, pourquoi ne fonctionne-t-il pas ?
Trois causes couvrent presque tous les cas. Le nom porte d'autres enregistrements, qui rendent l'alias invalide. La précédente réponse est encore en mémoire chez les résolveurs, et il faut attendre sa durée de vie. Ou le service visé n'a pas encore été prévenu qu'on l'appelle sous ce nom, et il présente un certificat qui ne le couvre pas.
Qu'est-ce qu'un alias suspendu ?
Un alias dont la cible n'existe plus. Le sous-domaine ne mène nulle part, ce qui est déjà gênant. Le risque réel vient d'après : chez un hébergeur qui attribue ses noms à qui les demande, quelqu'un peut réserver la cible abandonnée et servir sous votre domaine ce qu'il veut, avec votre nom dans la barre d'adresse.
Combien de temps avant qu'un CNAME modifié soit visible ?
La durée de vie déclarée sur l'enregistrement précédent, que les résolveurs respectent avant de reposer la question. Tant qu'elle court, une partie des visiteurs atteint l'ancienne cible. Sur une chaîne d'alias, chaque maillon a la sienne, et c'est le plus long qui fixe le délai réel.
Pourquoi mon sous-domaine affiche-t-il une erreur de certificat alors que le CNAME est bon ?
Parce que le certificat est demandé pour le nom que le visiteur a tapé, pas pour la cible de l'alias. Le navigateur annonce ce nom au début de la connexion chiffrée, et le serveur répond avec le certificat qu'il possède pour lui. Si le service visé n'en a pas émis un à votre nom, la page est bloquée avant d'exister : c'est une case à activer chez l'hébergeur, pas une ligne de DNS à corriger.
Peut-on enchaîner plusieurs CNAME ?
Oui, rien ne l'interdit, et c'est même courant : votre nom pointe vers celui que l'hébergeur vous a donné, qui pointe vers l'un de ses noms internes. Chaque maillon coûte une résolution de plus, et un seul maillon cassé rompt toute la chaîne. Ce qui est interdit, c'est de prendre un alias pour cible d'un MX ou d'un serveur de noms.
L'alias ne fonctionne pas : quatre questions, dans cet ordre
Descendez-les une par une et arrêtez-vous à la première dont la réponse est « non ». Cette réponse est le diagnostic — il n'y a pas de cinquième cas fréquent.
Le nom que vous aliasez est-il un sous-domaine, et non le domaine tout court ?
OuiContinuez.Un sous-domaine peut porter un alias, c'est son usage prévu.
NonC'est là.Le domaine racine porte obligatoirement ses serveurs de noms et son enregistrement d'origine ; un alias ne peut pas cohabiter avec eux. Il faut un enregistrement d'adresse, ou l'aplatissement que certains hébergeurs proposent sous le nom ALIAS ou ANAME.
Ce nom porte-t-il uniquement l'alias, et rien d'autre ?
OuiContinuez.Un nom qui porte un alias ne doit rien porter d'autre, et c'est le cas.
NonC'est là.Dès qu'un alias est présent sur un nom, tout le reste de ce nom est ignoré : un MX, un TXT de vérification ou une adresse posés à côté ne seront jamais lus. Retirez-les, ou déplacez l'alias sur un autre nom.
La cible est-elle un nom, écrit sans protocole ni barre oblique ?
OuiContinuez.La valeur d'un alias est un nom de machine, et c'est bien ce qui est publié.
NonC'est là.Le DNS ne connaît ni les protocoles, ni les chemins, ni les ports. Une adresse web complète ou une adresse IP saisies en valeur produisent un enregistrement accepté et inutilisable. Une redirection se fait dans le serveur web, après la connexion.
La cible mène-t-elle elle-même à une adresse ?
OuiLe DNS n'y est pour rien.La chaîne aboutit : ce qui bloque est dans une couche au-dessus, le chiffrement ou le serveur web. Les trois étages sont détaillés plus bas.
NonC'est là.Le dernier maillon ne mène nulle part. Le service visé a été fermé, renommé, ou n'a jamais été activé côté hébergeur — un alias survit toujours au service qu'il désignait.
Ces quatre questions couvrent l'écrasante majorité des cas parce qu'elles suivent la seule règle qui compte : un alias remplace le contenu d'un nom, il ne s'y ajoute pas.
Cinq choses qu'on lit partout sur les CNAME, et ce qui se passe vraiment
Aucune de ces phrases n'est absurde. Chacune était vraie dans un contexte précis, et se transmet sans lui.
- On lit souvent
Un CNAME, c'est une redirection.
- En réalitéRien n'est redirigé : le résolveur reçoit un autre nom et recommence sa recherche. Le visiteur ne change pas d'adresse, sa barre d'adresse ne bouge pas, et rien ne l'informe. Une redirection, elle, est une réponse du serveur web après la connexion, et elle change l'adresse affichée.
- On lit souvent
On ne peut pas chaîner deux CNAME.
- En réalitéRien ne l'interdit, et c'est courant chez les hébergeurs mutualisés. Chaque maillon coûte une résolution de plus, et un maillon cassé suffit à rompre toute la chaîne. Ce qui est interdit, c'est de prendre un alias pour cible d'un MX ou d'un serveur de noms.
- On lit souvent
Mon hébergeur propose un CNAME à la racine, donc c'est permis.
- En réalitéCe qu'il propose n'est pas un CNAME : son serveur de noms résout la cible lui-même et répond une adresse. Vu de l'extérieur, c'est un enregistrement d'adresse ordinaire, ce qui le rend utilisable à la racine. Aucun standard ne décrit ce comportement, et il n'existe pas chez tous les fournisseurs.
- On lit souvent
Le CNAME est bon, donc le sous-domaine marche.
- En réalitéIl marchera pour le DNS. Le navigateur, lui, demandera ensuite un certificat au nom de départ, pas à celui de la cible. Un alias correct vers un service qui n'a pas émis de certificat pour votre nom produit un avertissement de sécurité en travers de la page.
- On lit souvent
Il faut mettre un point à la fin de la valeur.
- En réalitéCela dépend de l'interface, et c'est l'une des rares choses qu'on ne peut pas deviner. Dans un fichier de zone, un nom sans point final se voit ajouter le domaine courant. Dans la plupart des interfaces web, la saisie est absolue et le point est ajouté pour vous. Le seul contrôle qui vaille est de relire la valeur publiée, pas celle qu'on a tapée.
Lire une chaîne d'alias, maillon par maillon
L'outil affiche les maillons ; il ne dit pas à qui chacun appartient. C'est pourtant ce qui décide de ce qu'on a le droit de modifier — et la réponse est presque toujours : seulement le premier.
boutique.example.comVotre alias. Le seul maillon que vous contrôlez, celui que vous avez créé dans votre zone. C'est aussi le seul nom que le visiteur tape, donc le seul qui devra figurer sur le certificat.
boutique.example.netLe nom que l'hébergeur vous a donné. Il vous identifie chez lui. Le modifier ou le court-circuiter fait perdre à l'hébergeur la correspondance entre votre nom et votre compte : le serveur répondra, mais il ne saura plus quel site servir.
lb-03.eu.example.netUn maillon interne au fournisseur. Répartition de charge, région, version d'infrastructure. Il change sans préavis, et c'est précisément pour cela qu'il ne faut pas pointer directement dessus : un alias vers ce nom-là casse le jour où le fournisseur le renomme.
203.0.113.24L'adresse, enfin. Le bout de la chaîne. La recopier dans un enregistrement d'adresse pour « raccourcir » est l'erreur classique : elle fige aujourd'hui une valeur que le fournisseur considère comme jetable.
Adresse tirée de la plage réservée à la documentation (RFC 5737), noms tirés des domaines d'exemple de la RFC 2606. La longueur d'une chaîne n'est pas limitée par la norme, mais chaque résolveur pose sa propre borne pour éviter les boucles.
L'alias répond mais le site ne s'affiche pas : les trois étages, dans l'ordre
Le DNS a fait son travail dès qu'une adresse sort. Ce qui bloque ensuite appartient à deux couches qui n'apparaissent dans aucune interface DNS, et qu'aucune modification d'alias ne réparera.
1/3Le nomle DNS
Cet étage est bon sila consultation en haut de cette page aboutit à une adresse.
Ce qui casse icialias vers une cible fermée, chaîne rompue, alias posé à la racine, valeur contenant une adresse web complète.
2/3Le chiffrementle certificat
Cet étage est bon sile cadenas s'affiche sans avertissement sur le nom que vous avez créé, pas sur celui de la cible.
Ce qui casse icile service visé n'a pas émis de certificat à votre nom. Le navigateur annonce le nom demandé au tout début de la connexion, et le serveur répond avec le certificat qu'il possède pour ce nom-là. S'il n'en a pas, la page est bloquée avant d'exister. C'est presque toujours une case à activer chez l'hébergeur, jamais une ligne de DNS à corriger.
3/3Le sitele serveur web
Cet étage est bon sila page attendue s'affiche, et non une page d'accueil d'hébergeur ou une erreur.
Ce qui casse icile serveur a reçu la connexion mais ne sait pas quel site servir : votre nom n'a pas été déclaré dans le compte, ou il l'a été sur un autre. Le DNS et le certificat étant corrects, c'est l'étage le plus déroutant — tout a l'air juste, et ce n'est pas votre site qui s'affiche.
Le nom demandé au début d'une connexion chiffrée est transmis par l'extension SNI, définie par la RFC 6066, § 3. C'est elle qui permet à un même serveur d'héberger des milliers de sites, et elle qui explique pourquoi le certificat doit exister pour votre nom, et non pour celui de la cible.
Le vocabulaire
Six mots pour parler d'alias sans se tromper
Les trois premiers sont des termes du DNS ; les trois suivants n'appartiennent à aucun standard, et c'est précisément ce qu'il faut savoir d'eux.
CNAME- L'alias : il renvoie le résolveur vers un autre nom, qu'il devra résoudre à son tour.
cible- Le nom vers lequel pointe l'alias. C'est un nom, jamais une adresse IP ni une adresse web.
racine- Le domaine nu, sans rien devant. Elle porte ses serveurs de noms et son enregistrement d'origine, donc jamais d'alias.
chaîne- Un alias qui pointe vers un alias. Rien ne l'interdit, mais chaque maillon coûte une résolution de plus.
ALIAS · ANAME- Des implémentations propriétaires qui imitent un alias à la racine. Aucun standard ne les définit.
aplatissement- Le même mécanisme, nommé autrement : le serveur résout la cible et publie l'adresse à sa place.