Que sont les enregistrements DNS ?

Le DNS (Domain Name System) est le système qui traduit les noms de domaine lisibles par l'humain comme example.com en adresses IP numériques utilisées par les ordinateurs pour se trouver sur Internet. Les enregistrements DNS sont les entrées individuelles de ce système, chacune ayant un rôle spécifique : faire pointer votre domaine vers un serveur web, acheminer les e-mails vers le bon serveur de messagerie, et bien d'autres. Sans DNS, il faudrait retenir les adresses IP de chaque site visité.

Comment se déroule la résolution DNS, étape par étape

Lorsque vous saisissez un nom de domaine dans votre navigateur, une série de recherches a lieu avant le chargement de la page. Comprendre ce processus aide à diagnostiquer les problèmes et à choisir des valeurs de TTL raisonnables :

1. Cache du navigateur : votre navigateur consulte d'abord son propre cache pour voir s'il connaît déjà l'adresse IP du domaine. Si vous avez visité le site récemment, la réponse peut déjà être stockée localement.
2. Cache du système d'exploitation : si le navigateur ne l'a pas en cache, il interroge le système d'exploitation, qui maintient son propre cache DNS.
3. Résolveur récursif : si aucun cache n'a la réponse, votre ordinateur envoie une requête à un résolveur DNS récursif, généralement exploité par votre fournisseur d'accès Internet (FAI) ou par un service public comme Cloudflare (1.1.1.1) ou Google (8.8.8.8).
4. Serveur racine : le résolveur interroge l'un des 13 clusters de serveurs racine. Le serveur racine ne connaît pas l'adresse IP finale, mais il sait quels serveurs sont responsables du domaine de premier niveau (.com, .org, .de, etc.).
5. Serveur TLD : le résolveur interroge le serveur TLD pour .com (ou l'extension correspondante). Ce serveur répond en indiquant les serveurs faisant autorité pour le domaine concerné.
6. Serveur faisant autorité : enfin, le résolveur interroge le serveur faisant autorité pour example.com, qui renvoie l'adresse IP réelle issue de l'enregistrement A (ou AAAA).
7. Réponse : le résolveur renvoie l'adresse IP à votre navigateur, qui peut alors se connecter au serveur web et charger la page.

L'ensemble de ce processus prend généralement entre 20 et 100 millisecondes. Une fois résolu, le résultat est mis en cache à plusieurs niveaux, ce qui rend les visites suivantes plus rapides.

Tous les types d'enregistrements DNS courants expliqués

Le DNS prend en charge de nombreux types d'enregistrements, chacun avec un rôle distinct. Voici ceux que vous rencontrerez en gérant un site WordPress :

• Enregistrement A : le type d'enregistrement le plus fondamental. Il associe un nom de domaine à une adresse IPv4 (par exemple example.com à 93.184.216.34). Vous pouvez avoir plusieurs enregistrements A pour le même domaine afin de répartir le trafic entre plusieurs serveurs (équilibrage de charge round-robin).
• Enregistrement AAAA : l'équivalent IPv6 de l'enregistrement A. Il associe un domaine à une adresse IPv6 (par exemple 2606:2800:220:1:248:1893:25c8:1946). À mesure que l'adoption d'IPv6 progresse, ajouter des enregistrements AAAA en plus des enregistrements A garantit que votre site est accessible sur les deux protocoles.
• Enregistrement CNAME : crée un alias d'un domaine vers un autre. Par exemple, vous pouvez faire pointer www.example.com vers example.com, ou shop.example.com vers myshop.shopify.com. Limite importante : un CNAME ne peut pas coexister avec d'autres types d'enregistrements pour le même nom (vous ne pouvez pas avoir à la fois un CNAME et un MX pour le même sous-domaine).
• Enregistrement MX : indique quels serveurs de messagerie gèrent les e-mails de votre domaine. Chaque enregistrement MX a une valeur de priorité (un chiffre plus bas signifie une priorité plus haute). Si votre serveur de messagerie principal est hors service, l'e-mail sera livré au serveur dont la priorité est la suivante la plus basse.
• Enregistrement TXT : un enregistrement polyvalent qui stocke des données textuelles arbitraires. Ses utilisations les plus courantes sont les enregistrements SPF pour l'authentification des e-mails, les clés DKIM, les politiques DMARC et la vérification de domaine pour des services comme Google Search Console ou Microsoft 365.
• Enregistrement NS : indique les serveurs faisant autorité pour votre domaine. Lorsque vous enregistrez un domaine, vous définissez des enregistrements NS pour pointer vers votre fournisseur DNS (par exemple Cloudflare, Route 53 ou les serveurs de votre hébergeur). Modifier les enregistrements NS revient à déléguer le contrôle du DNS de votre domaine à un autre fournisseur.
• Enregistrement SOA : l'enregistrement « Start of Authority » contient des informations administratives sur la zone DNS, notamment le serveur principal, l'adresse e-mail de l'administrateur DNS, le numéro de série de la zone et les valeurs de temps déterminant la fréquence à laquelle les serveurs secondaires doivent vérifier les mises à jour.
• Enregistrement SRV : indique l'hôte et le port pour des services spécifiques. Moins utilisé pour les sites web, mais pertinent pour des services comme SIP (VoIP), XMPP (messagerie) ou Microsoft Active Directory.
• Enregistrement CAA : les enregistrements Certificate Authority Authorization indiquent quelles autorités de certification sont autorisées à émettre des certificats SSL/TLS pour votre domaine. C'est une mesure de sécurité qui empêche les CA non autorisées d'émettre des certificats pour votre site. Par exemple, vous pouvez configurer un enregistrement CAA n'autorisant que Let's Encrypt à émettre des certificats pour votre domaine.

SPF, DKIM et DMARC pour l'authentification des e-mails

Si votre site WordPress envoie des e-mails (notifications de formulaires de contact, confirmations de commande WooCommerce, réinitialisations de mot de passe), l'authentification des e-mails est essentielle. Sans elle, vos messages ont plus de risques d'arriver en spam ou d'être totalement rejetés. Ces trois standards fonctionnent ensemble et se configurent tous via des enregistrements DNS TXT :

• SPF (Sender Policy Framework) : un enregistrement TXT qui liste les serveurs autorisés à envoyer des e-mails au nom de votre domaine. Par exemple, v=spf1 include:_spf.google.com include:sendgrid.net -all indique que Google et SendGrid sont des expéditeurs autorisés et que tous les autres serveurs doivent être rejetés. Sans SPF, n'importe qui peut envoyer des e-mails frauduleux semblant venir de votre domaine.
• DKIM (DomainKeys Identified Mail) : ajoute une signature numérique à chaque e-mail sortant. La clé publique est publiée dans un enregistrement DNS TXT, et le serveur de messagerie destinataire l'utilise pour vérifier la signature. Cela prouve que l'e-mail n'a pas été altéré en transit et qu'il provient bien de votre serveur.
• DMARC (Domain-based Message Authentication, Reporting, and Conformance) : s'appuie sur SPF et DKIM en indiquant aux serveurs de messagerie destinataires ce qu'ils doivent faire en cas d'échec d'authentification. Vous pouvez leur demander de rejeter l'e-mail, de le mettre en quarantaine (le placer en spam) ou simplement de surveiller et signaler. Un enregistrement DMARC de base ressemble à : v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com

Configurer les trois est particulièrement important si vous utilisez un service d'e-mails transactionnels (comme Mailgun, SendGrid ou Amazon SES) pour envoyer les e-mails de WordPress. Sans authentification correcte, vos confirmations de commande et e-mails de réinitialisation de mot de passe risquent de ne jamais parvenir à vos clients.

Le TTL et son rôle dans la propagation DNS

Chaque enregistrement DNS possède une valeur TTL (Time to Live), exprimée en secondes. Elle indique aux résolveurs DNS combien de temps ils peuvent mettre l'enregistrement en cache avant de vérifier une éventuelle mise à jour. Les valeurs de TTL courantes sont :

• 300 (5 minutes) : adapté aux enregistrements qui changent fréquemment ou en préparation d'une migration.
• 3600 (1 heure) : valeur par défaut raisonnable pour la plupart des enregistrements.
• 86400 (24 heures) : approprié pour les enregistrements qui changent rarement, comme les enregistrements NS.

Lorsque l'on dit que « la propagation DNS peut prendre jusqu'à 48 heures », on parle du temps nécessaire pour que les enregistrements en cache à travers le monde expirent et soient rafraîchis avec les nouvelles données. Si votre TTL actuel est de 86400 secondes (24 heures), les résolveurs ayant mis en cache l'ancien enregistrement pourraient continuer à l'utiliser jusqu'à 24 heures après votre modification.

Astuce pratique : si vous prévoyez une migration de serveur ou un changement DNS, abaissez le TTL à 300 secondes un jour ou deux avant la bascule. Ainsi, lorsque vous mettrez à jour les enregistrements, les anciennes valeurs en cache expireront en 5 minutes et la transition sera bien plus fluide.

DNS et configuration CDN

Lorsque vous mettez en place un CDN (Content Delivery Network) comme Cloudflare, vous modifiez généralement votre DNS pour faire passer le trafic par le CDN. Deux approches sont courantes :

• Configuration CNAME : vous créez un enregistrement CNAME qui fait pointer votre domaine vers le serveur edge du CDN (par exemple example.com.cdn.cloudflare.net). C'est courant avec des CDN comme KeyCDN, BunnyCDN ou AWS CloudFront. La limite est que les enregistrements CNAME au sommet de zone (le domaine nu, example.com sans www) violent techniquement la spécification DNS, même si certains fournisseurs contournent cela avec des solutions propriétaires.
• Configuration NS / proxy complet : avec la configuration complète de Cloudflare, vous modifiez les enregistrements NS de votre domaine pour pointer vers les serveurs de Cloudflare. Cloudflare gère alors tous vos enregistrements DNS et fait transiter le trafic par son réseau. C'est l'approche la plus courante car elle permet à Cloudflare de fonctionner au sommet de zone sans les limites du CNAME.

Considérations DNS spécifiques à WordPress

Lors de la configuration DNS pour un site WordPress, gardez quelques points à l'esprit :

• Pointage du domaine : votre enregistrement A doit pointer vers l'adresse IP du serveur de votre hébergement. Si vous êtes sur un hébergement mutualisé, votre hébergeur vous fournira l'IP. Sur un VPS ou un serveur dédié, utilisez l'adresse IP publique du serveur. Assurez-vous que example.com et www.example.com sont tous deux résolus correctement (via un enregistrement A et un CNAME, ou via deux enregistrements A).
• Configuration des e-mails : de nombreux hébergeurs WordPress n'incluent pas l'hébergement e-mail. Si vous utilisez Google Workspace ou Microsoft 365 pour les e-mails, vous devez définir les bons enregistrements MX et ajouter les enregistrements TXT SPF/DKIM tels que spécifiés par votre fournisseur. Une mauvaise configuration peut empêcher la réception des notifications de votre formulaire de contact.
• Configuration des sous-domaines : pour un WordPress multisite avec configuration en sous-domaines, ou si vous exécutez un site de préproduction sur staging.example.com, vous avez besoin d'enregistrements A ou CNAME supplémentaires pour chaque sous-domaine. Les enregistrements DNS wildcard (*.example.com) peuvent simplifier cela pour les installations multisite.
• Vérification de domaine : Google Search Console, Facebook Business, Pinterest et d'autres services vous demandent de prouver la propriété du domaine en ajoutant un enregistrement TXT. Ces enregistrements n'affectent pas le fonctionnement de votre site ; ils prouvent simplement que vous contrôlez le domaine.

Ce que vérifie InspectWP

InspectWP récupère et affiche les enregistrements DNS du domaine de votre site WordPress, notamment les enregistrements A, AAAA, MX, TXT, NS et CNAME. Cela vous donne un aperçu rapide de votre configuration DNS sans avoir à vous connecter au tableau de bord de votre fournisseur DNS. Vous pouvez ainsi vérifier que votre domaine pointe vers le bon serveur, que les enregistrements MX sont configurés pour la livraison des e-mails et que les enregistrements TXT essentiels (comme SPF) sont bien en place. Repérer ici un enregistrement mal configuré ou manquant peut vous épargner des heures de débogage de problèmes de livraison d'e-mails ou de connectivité.