Module 8 · 8.3
Outils DNS en ligne
Module 8: Sécurité et résolution de problèmes · Temps de lecture : 7 minutes
Objectif pédagogique : après cette leçon, vous saurez choisir le bon outil en ligne pour chaque question concernant votre DNS et interpréter correctement le résultat.
Notions clés : dig en ligne, vérificateur DNS par pays, internet.nl, DNSViz, Zonemaster, MXToolbox, mail-tester, vérification e-mail, santé du domaine
Pourquoi des outils en ligne ?
Un outil en ligne pose votre question depuis un autre endroit que votre ordinateur. Cela présente deux avantages. Vous n'êtes pas gêné par le cache de votre propre ordinateur ou routeur, et vous voyez ce que voit le reste d'Internet. De plus, beaucoup d'outils combinent des dizaines de vérifications en un clic, là où avec dig vous devez poser chaque question séparément.
Il n'existe pas un outil unique qui fasse tout le mieux. Choisissez en fonction de votre question.
Quel outil pour quelle question ?
| Votre question | Outil adapté | Ce que vous voyez |
|---|---|---|
| « Que renvoie exactement le DNS en ce moment ? » | Google Admin Toolbox Dig (toolbox.googleapps.com/apps/dig), ou un autre dig en ligne | La même chose qu'avec dig, sans rien installer |
| « Le monde entier voit-il déjà ma modification ? » | dnschecker.org (ou un « DNS propagation checker » similaire) | La réponse de dizaines de résolveurs dans différents pays, côte à côte |
| « Mon domaine est-il configuré de façon moderne et sûre ? » | internet.nl (de l'Internetstandaarden Platform néerlandaise) | Score pour le site web (IPv6, DNSSEC, https) et l'e-mail (DNSSEC, SPF, DKIM, DMARC, STARTTLS/DANE) |
| « Ma chaîne DNSSEC est-elle correcte ? » | DNSViz (dnsviz.net) | Un schéma de la chaîne de la racine jusqu'à votre domaine, avec les erreurs en rouge |
| « Ma zone est-elle techniquement correcte ? » | Zonemaster (zonemaster.net) | Vérification approfondie des serveurs de noms, de la délégation, du SOA et du DNSSEC |
| « Comment se présentent mes enregistrements de messagerie ? » | MXToolbox, une vérification e-mail (par exemple la Vérification e-mail de WebOké), ou les contrôles de votre fournisseur de messagerie | MX, SPF (avec le nombre de recherches), DMARC, listes noires |
| « Mon e-mail envoyé arrive-t-il correctement ? » | mail-tester.com, ou un e-mail de test vers Gmail avec « Afficher l'original » | Si SPF, DKIM et DMARC réussissent pour un e-mail réel |
| « Le site web et l'e-mail fonctionnent-ils ensemble, tout en un coup d'œil ? » | Une vérification de la santé du domaine (par exemple Santé du domaine de WebOké) | Serveurs de noms, enregistrement A, www, certificat, MX, SPF, DMARC, DNSSEC et CAA dans une seule liste |
Les outils de WebOké sont présentés ici comme exemple de vérification « tout en un » ; d'autres hébergeurs et bureaux d'enregistrement proposent des outils comparables. En cas de doute, utilisez-en deux en parallèle : si deux outils indépendants disent la même chose, c'est presque certainement exact.
Utiliser un dig en ligne
Un dig en ligne fait exactement ce que vous avez appris à la leçon 8.2. Vous saisissez le nom (par exemple _dmarc.example.com), choisissez le type (TXT) et obtenez la sortie brute. La boîte à outils de Google affiche aussi le statut (NOERROR, NXDOMAIN, SERVFAIL) et le TTL. Utilisez cet outil quand vous voulez savoir ce qui est écrit littéralement, par exemple pour vérifier que votre enregistrement SPF n'apparaît qu'une seule fois.
Lire un vérificateur DNS par pays
Après une modification, un vérificateur comme dnschecker.org affiche souvent un résultat mêlé : dans certains pays la nouvelle adresse avec une coche verte, dans d'autres encore l'ancienne. Ce n'est pas une erreur. Chaque résolveur a récupéré l'enregistrement à un moment différent et décompte son propre TTL (leçon 6.2).
Deux choses à surveiller :
- Voyez-vous partout l'ancienne réponse, même longtemps après l'expiration du TTL ? Il est probable que la modification ne se trouve pas sur le serveur de noms que le monde utilise. Vérifiez quels serveurs de noms votre domaine utilise (leçon 2.1).
- Certains résolveurs n'affichent rien (une croix) ? Cela peut indiquer un SERVFAIL, souvent dû au DNSSEC. Vérifiez alors avec DNSViz.
internet.nl
internet.nl est un test indépendant de l'Internetstandaarden Platform néerlandaise (notamment SIDN, NLnet Labs et les pouvoirs publics). Il y a trois tests : site web, e-mail et votre propre connexion. Le résultat est un pourcentage avec, pour chaque élément, une explication et un « Comment améliorer ».
Lisez le résultat avec discernement : tout élément en rouge n'est pas forcément un dysfonctionnement. Si par exemple DANE ou IPv6 manque, votre e-mail ou votre site fonctionne quand même, mais vous ne respectez pas la norme la plus récente. En revanche, un rouge sur « DNSSEC valide » ou « SPF » est important.
DNSViz
DNSViz dessine la chaîne de confiance de la leçon 8.1 : des blocs pour la racine, le TLD et votre domaine, avec des flèches pour DS et DNSKEY. Le bleu signifie sécurisé, le noir signifie non signé (pas une erreur) et le rouge signifie cassé ; la façon de lire le schéma est expliquée à la leçon 8.1. Des lignes ou des blocs rouges indiquent précisément où la chaîne se rompt, par exemple « DS n'a pas de DNSKEY correspondant ». C'est l'outil à utiliser lorsque vous obtenez un SERVFAIL alors que dig +cd donne bien une réponse.
Zonemaster
Zonemaster (créé notamment par les registres de .se et .fr) vérifie votre zone comme le ferait un registre : y a-t-il au moins deux serveurs de noms, donnent-ils tous la même réponse, le numéro de série SOA est-il cohérent partout, les serveurs de noms sont-ils joignables en IPv4 et en IPv6. Pratique avant de modifier vos serveurs de noms auprès d'un registre qui effectue des contrôles stricts. Vous pouvez aussi tester des serveurs de noms qui ne sont pas encore associés au domaine (« undelegated test »).
Outils de messagerie
Une vérification de messagerie regarde le côté DNS : y a-t-il un MX, y a-t-il exactement un enregistrement SPF, reste-t-il dans la limite des dix recherches, y a-t-il un enregistrement DMARC. Elle ne peut pas voir si DKIM fonctionne, car il faut connaître le sélecteur pour cela. Cela se teste avec un e-mail réel : envoyez-en un à mail-tester.com ou à une adresse Gmail, et vérifiez dans « Afficher l'original » si SPF, DKIM et DMARC affichent PASS.
En pratique : à quoi cela ressemble dans un panneau
De nombreux panneaux disposent de leur propre vérification. Dans Mon WebOké, la page du domaine affiche la carte Santé du domaine / E-mail, avec des points verts, orange et rouges et parfois un bouton de réparation. Chez Cloudflare, des alertes apparaissent en haut de votre vue d'ensemble DNS, chez Google Workspace et Microsoft 365 une page de contrôle dans le centre d'administration. Ces vérifications connaissent le mieux votre situation ; un outil indépendant montre ce que voit le monde extérieur. Utilisez-les ensemble.
Résumé
- Les outils en ligne posent leur question depuis un autre endroit et ne subissent pas votre cache.
- Dig en ligne : ce qui est écrit littéralement. Vérificateur DNS par pays : le monde voit-il déjà la modification. DNSViz : la chaîne DNSSEC est-elle correcte. Zonemaster : la zone est-elle techniquement correcte. internet.nl : configuration moderne et sécurisée.
- Une vérification de messagerie teste les enregistrements ; un e-mail de test réel teste si SPF, DKIM et DMARC réussissent.
- Utilisez deux outils en parallèle en cas de doute.
Quiz
Exercice
Exercice Z8.3 : Outils en ligne. Testez internet.nl avec le test de site web et le test d'e-mail d'internet.nl lui-même. Notez, dans le test d'e-mail, si le DNSSEC est valide pour les serveurs de messagerie (MX), et recherchez dans DNSViz quel numéro d'algorithme utilisent les enregistrements DS de internet.nl. Vérifiez ensuite avec un dig en ligne quelle politique (p=) utilise l'enregistrement DMARC de internet.nl. Saisissez les réponses.
Pour aller plus loin
Ces articles décrivent les contrôles de WebOké ; les outils indépendants fonctionnent pour n'importe quel domaine.
- Guide WebOké 5.17: Santé du domaine et de l'e-mail : vérifier et corriger
- Le site web ou l'e-mail ne fonctionne pas après un déménagement ou une modification DNS : vérifiez votre domaine
- Outil gratuit Santé du domaine : https://www.weboke.fr/sante-du-domaine
- Vérification e-mail gratuite : https://www.weboke.fr/verification-e-mail