Recherche DNS et comparaison des résolveurs

Indiquez un type d’enregistrement et la requête est envoyée simultanément à quatre résolveurs publics. Les réponses sont présentées côte à côte, suivies d’un tableau valeur par valeur qui indique quel résolveur a renvoyé quel enregistrement, si bien qu’un désaccord est visible d’un coup d’œil au lieu d’être masqué derrière l’avis d’un seul résolveur. Chaque réponse conserve son TTL, et chaque résolveur indique s’il a pu valider le nom avec DNSSEC. Lorsque les résolveurs ne concordent pas, la page ne devine pas : elle liste exactement ce qui diffère, présente les deux explications qui couvrent presque tous les cas réels, puis indique comment les distinguer.
Nom à résoudre
Comparaison
Prêt. Aucune requête n’a encore été envoyée.
Saisissez un nom, choisissez un type d’enregistrement, puis résolvez.
Types d’enregistrements, codes de réponse et réponses qui semblent fausses sans l’être
Types d’enregistrements. A associe un nom à une adresse IPv4, AAAA à une adresse IPv6. CNAME indique que le nom est un autre nom, et les résolveurs suivent la chaîne jusqu’au bout. MX liste les serveurs de messagerie, chacun avec un numéro de priorité : le numéro le plus bas est essayé en premier. TXT contient du texte libre et c’est là que vivent les politiques de messagerie : une politique SPF commence par v=spf1, une clé DKIM se trouve sous un nom de sélecteur se terminant par ._domainkey, et une politique DMARC se trouve sur _dmarc devant le domaine. NS liste les serveurs de noms responsables d’une zone, SOA est l’enregistrement d’en-tête de la zone elle-même et contient la durée de mise en cache des réponses négatives. SRV localise un service sur un hôte et un port, CAA indique quelles autorités de certification peuvent émettre des certificats pour le nom, PTR fait le chemin inverse, d’une adresse vers un nom, et TLSA épingle un certificat pour un service donné. DS et DNSKEY transportent les clés qui rendent possible la validation DNSSEC, et HTTPS et SVCB décrivent comment atteindre un service, y compris les paramètres des protocoles récents.

Codes de réponse. NOERROR sans enregistrement signifie que le nom existe mais n’a rien du type demandé. NXDOMAIN signifie que le nom n’existe pas du tout, et cette réponse est mise en cache pendant un certain temps — un nom créé il y a une minute peut donc encore apparaître comme absent. SERVFAIL signifie que le résolveur n’a pas pu aller au bout, et une signature DNSSEC défaillante figure parmi les causes les plus fréquentes. REFUSED signifie que le résolveur a refusé de répondre à cette requête.

TTL. Le TTL est le nombre de secondes pendant lesquelles un résolveur peut conserver l’enregistrement. C’est la raison pour laquelle deux résolveurs peuvent légitimement afficher des réponses différentes pendant un moment : l’un conserve encore l’ancienne copie jusqu’à l’expiration de son minuteur. C’est aussi pourquoi la première chose à vérifier après un changement est si tous les résolveurs ont rattrapé leur retard, et non si l’un d’eux se trompe.

DNSSEC, en un paragraphe. Un résolveur qui signale l’indicateur de données authentifiées affirme avoir pu vérifier la réponse grâce aux signatures cryptographiques remontant à la clé propre au domaine. L’absence de cet indicateur ne prouve pas une falsification : la zone peut simplement ne pas être signée, ou le résolveur ne pas valider du tout. Le cas intéressant est un résolveur qui signale un échec alors que les autres renvoient des enregistrements, car une signature défaillante est précisément ce à quoi ressemble une réponse falsifiée.

Des réponses qui semblent fausses sans l’être. Les grands sites, les réseaux de diffusion de contenu et tout service utilisant un DNS sensible à la localisation distribuent délibérément des adresses différentes selon les résolveurs ; le désaccord y est donc normal et ne signale rien de grave. Une adresse comme 0.0.0.0, :: ou une adresse privée dans une réponse A ou AAAA est généralement un blocage volontaire de la part de l’exploitant du résolveur, et non un détournement sur le réseau — mais cela signifie tout de même que le résolveur a modifié la réponse. Cette page vous montre la différence et le raisonnement, et ne vous dit jamais laquelle des deux est la vraie réponse.