DNS menteur, propagation et debug

Prérequis : cours 5.1 et 5.2 ; interroger le DNS.

Pourquoi

« La propagation prend 48 h » est le mythe n°1 : avec des TTL propres, c'est minutes. Quand ça coince, il faut des outils, pas de la patience.

Concepts

• Propagation = caches qui expirent : pas de « diffusion », juste des TTL qui s'écoulent à des rythmes différents selon les résolveurs. D'où des visions différentes selon les endroits — normal et temporaire.
• DNS menteur : portail captif (hôtel, gare), filtrage parental, ou malware : un résolveur qui répond faux. Signature : dig @1.1.1.1 dit X, le résolveur local dit Y.
• DNSSEC : signatures qui prouvent l'authenticité des réponses (anti-empoisonnement). Si cassé côté autoritaire (clés désynchronisées), le domaine disparaît pour les résolveurs qui valident : panne totale et incompréhensible sans connaître le concept.

Exemple : la batterie de test

dig +short mon-domaine.fr            # vision locale
dig +short @1.1.1.1 mon-domaine.fr   # vision neutre
dig +short @8.8.8.8 mon-domaine.fr   # deuxième avis
dig mon-domaine.fr | grep -i "ttl"   # quel TTL reste en cache ?
# Propagation mondiale : whatsmydns.net (vu de dizaines de résolveurs)

Cas réel

Site « down partout » après changement NS chez le registrar : anciennes NS encore servies + TTL longs + DNSSEC activé avec clés de l'ancien hébergeur = validation qui échoue. Ordre sûr : baisser TTL → couper DNSSEC (attendre) → changer NS → réactiver DNSSEC.

Pièges

• Attendre « 48 h » sans rien faire : diagnostiquer d'abord (+trace, résolveurs neutres).
• Oublier le cache du navigateur/OS entre deux tests : purger (chrome://net-internals, resolvectl flush-caches) ou tester en navigation privée.
• DNSSEC activé « parce que c'était coché » : sans gestion des clés, c'est une bombe à retardement.

À retenir

Pas de propagation magique : des TTL ; 3 résolveurs pour trancher ; DNSSEC = puissant mais à gérer.