DNS Glossary

Des définitions courtes et claires des termes DNS que vous croiserez. Les termes disposant d'un guide complet sont liés.

Resolver: Un serveur qui interroge les enregistrements DNS pour vous — généralement celui de votre fournisseur d'accès ou un service public comme 8.8.8.8 ou 1.1.1.1. Également appelé résolveur récursif.
Serveur de noms faisant autorité: Le serveur qui détient les véritables enregistrements DNS d'un domaine — la source de vérité que les résolveurs finissent par interroger.
Zone: Une portion de l'espace de noms DNS gérée comme un tout — généralement un domaine et ses sous-domaines, définie par un fichier de zone sur le serveur de noms faisant autorité.
TTL (Time To Live): La durée, en secondes, pendant laquelle un résolveur peut conserver un enregistrement en cache avant de réinterroger le serveur de noms faisant autorité.
Propagation: Le temps nécessaire pour qu'une modification DNS atteigne tous les résolveurs du monde, déterminé par l'ancien TTL.
NXDOMAIN: Une réponse faisant autorité signifiant que le nom demandé n'existe pas dans la zone.
SERVFAIL: Le résolveur n'a pas pu terminer la requête — serveurs injoignables, délégation cassée ou échec de validation DNSSEC.
Apex de zone / domaine racine: Le domaine nu, sans sous-domaine (example.com, et non www.example.com). Les enregistrements CNAME y sont interdits.
DNSSEC: Un ensemble d'extensions qui signent cryptographiquement les enregistrements DNS afin que les résolveurs puissent vérifier que les réponses n'ont pas été falsifiées.
DoH (DNS over HTTPS): Des requêtes DNS chiffrées et transmises via HTTPS, ce qui empêche l'écoute ou l'altération sur le trajet réseau.
DoT (DNS over TLS): Des requêtes DNS chiffrées sur une connexion TLS dédiée — même objectif que DoH, transport différent.
SPF: Un enregistrement TXT du DNS indiquant quels serveurs de messagerie sont autorisés à envoyer des e-mails pour un domaine.
DKIM: Une signature cryptographique ajoutée aux e-mails sortants pour que les destinataires puissent vérifier qu'ils n'ont pas été modifiés en chemin.
DMARC: Un enregistrement de politique qui indique aux serveurs de messagerie destinataires quoi faire lorsque SPF et DKIM échouent tous les deux, et qui fournit des rapports.
Glue Record: Un enregistrement A pour un serveur de noms situé à l'intérieur du domaine qu'il dessert (par exemple ns1.example.com pour example.com), nécessaire pour éviter une recherche circulaire.
Enregistrement générique: Un enregistrement utilisant * comme nom d'hôte (*.example.com), qui correspond à tout sous-domaine non défini par ailleurs.
SOA (Start of Authority): Un enregistrement contenant les métadonnées de la zone : serveur de noms principal, contact administratif, numéro de série et valeurs de temporisation du cache.
Delegation: Faire pointer un sous-domaine ou une zone vers un autre ensemble de serveurs de noms via des enregistrements NS, en déléguant l'autorité sur cette partie de l'espace de noms.
Empoisonnement de cache: Injecter une fausse réponse DNS dans le cache d'un résolveur afin de détourner le trafic — précisément l'attaque que DNSSEC vise à empêcher.
Détournement de sous-domaine: S'approprier un sous-domaine dont l'enregistrement DNS pointe encore vers un service tiers abandonné par le propriétaire d'origine, permettant à un attaquant d'y servir du contenu sous le couvert du domaine de confiance.
Attaque par amplification: Une technique DDoS qui envoie une petite requête falsifiée à un résolveur ouvert pour qu'il inonde l'adresse source usurpée d'une réponse bien plus volumineuse, multipliant ainsi la bande passante de l'attaquant.
Résolveur ouvert: Un résolveur DNS qui répond aux requêtes récursives depuis n'importe quelle adresse IP d'internet plutôt que depuis son seul réseau, ce qui le rend exploitable comme réflecteur dans les attaques par amplification.
Anycast: Une technique de routage où la même adresse IP est annoncée depuis de nombreux emplacements physiques, si bien qu'une requête est automatiquement traitée par le plus proche.
Codes de statut EPP: Des codes normalisés (par ex. clientTransferProhibited, serverHold) qu'un enregistrement WHOIS utilise pour indiquer ce que le bureau d'enregistrement ou le registre d'un domaine verrouille ou restreint actuellement.
CGNAT (NAT opérateur): Une configuration où un FAI partage une seule adresse IP publique entre de nombreux clients, ce qui peut rendre peu fiable la localisation ou l'identification basée sur l'IP.
Happy Eyeballs: Un algorithme utilisé par les logiciels clients pour tenter des connexions IPv6 et IPv4 en parallèle et conserver celle qui aboutit en premier, ce qui rend l'ajout d'enregistrements AAAA peu risqué.
RRL (limitation du débit de réponses): Une défense sur les serveurs faisant autorité qui limite les réponses identiques répétées envoyées vers la même source apparente, atténuant les attaques par amplification DNS.
BCP38: Une bonne pratique de filtrage réseau qui bloque les paquets quittant un réseau avec une adresse source usurpée, stoppant les attaques par amplification à leur origine plutôt qu'à leur cible.