Comment migrer de fournisseur DNS sans interruption
Une migration DNS échoue pour l'une de ces deux raisons : un enregistrement n'a jamais été recopié, ou la bascule a eu lieu avant que les caches partout n'aient eu le temps de se mettre à jour. Les deux s'évitent avec le même soin, à chaque fois.
Avant de commencer : tout exporter
Obtenez une copie complète et littérale de chaque enregistrement chez le fournisseur actuel — un fichier d'export s'il en existe un, des captures d'écran sinon. Faites particulièrement attention aux types d'enregistrements propres à un fournisseur, comme ALIAS ou ANAME au niveau du domaine racine, car tous les nouveaux fournisseurs ne les implémentent pas de la même façon, voire pas du tout.
Baisser la TTL à l'avance
24 à 48 heures avant la migration, baissez la TTL de chaque enregistrement que vous allez modifier à une valeur courte, comme 300 secondes. Les résolveurs abandonnent ainsi rapidement leurs réponses en cache après la bascule, au lieu de continuer à servir les anciens enregistrements pendant toute la durée restante de la TTL précédente, probablement bien plus longue.
Recréer chaque enregistrement chez le nouveau fournisseur d'abord
Construisez la zone complète chez le nouveau fournisseur pendant que les serveurs de noms du domaine pointent encore vers l'ancien. De nombreux fournisseurs permettent d'interroger directement leurs serveurs de noms, afin de confirmer que chaque enregistrement résout correctement avant que quoi que ce soit ne soit en production.
La bascule proprement dite
Changez chez le registrar du domaine les serveurs de noms pour ceux du nouveau fournisseur. C'est la seule étape qui ne peut pas être testée à l'avance — à partir de là, les enregistrements vus par le monde dépendent entièrement des résolveurs ayant déjà récupéré les nouveaux serveurs de noms.
Confirmer avant de considérer que c'est terminé
Vérifiez la propagation sur de nombreux résolveurs à travers le monde, pas seulement sur votre propre connexion, car que le résolveur de votre propre FAI ait les nouveaux enregistrements ne dit rien des autres.
Une fois stable
Une fois la propagation apparemment complète et rien de cassé après un jour ou deux, remontez les TTL à une valeur normale — une TTL durablement courte signifie durablement plus de requêtes DNS sans bénéfice continu.
Ce qu'on oublie
- Les enregistrements MX ou TXT — le courrier continue de fonctionner sur des réponses en cache un moment après une migration, donc un enregistrement MX manquant peut mettre des jours à se révéler comme un vrai problème
- Les enregistrements CAA restreignant quelles autorités de certification peuvent émettre pour le domaine — en omettre un peut faire échouer un renouvellement de certificat de routine sans lien évident avec la migration DNS qui en est la cause
- DNSSEC — s'il est activé, l'enregistrement DS chez le registrar doit être coordonné avec les clés du nouveau fournisseur, sous peine de rendre le domaine totalement injoignable pour les résolveurs validants, plutôt que de simplement servir des données obsolètes
Vérifier la propagation avant et après la bascule
Voyez la théorie en pratique — lancez Vérificateur de propagation DNS pour votre propre domaine.