Enregistrements glue et délégation DNS

Avancé⏱ 4 min de lectureMis à jour le 13 octobre 2026

Votre domaine ne commence pas dans votre zone DNS. Il commence un niveau plus haut, dans la zone de .com ou .fr, où le registre conserve quelques enregistrements indiquant quels serveurs de noms répondent pour vous. Cette passation s'appelle la délégation. Quand ces serveurs portent un nom à l'intérieur du domaine qu'ils servent — ns1.example.com pour example.com —, le registre doit aussi conserver leurs adresses. Ces adresses sont la glue, et si elles sont fausses, tout le domaine disparaît.

Comment fonctionne la délégation

Quand vous indiquez des serveurs de noms chez le registraire, le registre publie des enregistrements NS pour votre domaine dans la zone parente. Si leurs noms sont dans votre domaine, il ajoute aussi leurs adresses :

; in the .com zone (run by the registry), not in yours
example.com.        172800 IN NS  ns1.example.com.
example.com.        172800 IN NS  ns2.example.com.
; glue: addresses of nameservers named inside the delegated zone
ns1.example.com.    172800 IN A   192.0.2.53
ns2.example.com.    172800 IN A   198.51.100.53

Sans ces enregistrements A, un résolveur serait bloqué : pour trouver example.com, il doit interroger ns1.example.com, et pour trouver ns1.example.com, il doit interroger les serveurs de noms d'example.com. La glue arrive dans la même réponse de délégation et casse la boucle.

Pour atteindre example.com, il faut ns1.example.com, qui se trouve dans example.com. Le serveur .com fournit son adresse (glue) avec la délégation, et le résolveur peut l’interroger directement.

Quand la glue est nécessaire

Domaine	Serveur de noms	Glue	Pourquoi
`example.com`	`ns1.example.com`	Obligatoire	Le serveur de noms est dans la zone qu'il sert : la boucle décrite plus haut.
`example.com`	`ns1.dnshost.example`	Inutilisée	Le résolveur trouve `dnshost.example` séparément, par sa propre délégation.
`example.com`	`ns1.example.org`	Facultative	Glue « sœur » : certains registres la publient, mais les résolveurs doivent pouvoir s'en passer (RFC 9471).

Gérer vos propres serveurs de noms (serveurs enfants)

Un DNS hébergé (Cloudflare, votre registraire, votre hébergeur) vous donne des serveurs de noms sous son propre domaine : vous n'avez aucune glue à gérer. Elle ne concerne que les serveurs de noms nommés dans votre domaine — serveurs de noms à votre marque ou DNS auto-hébergé. Les registraires parlent de « serveurs de noms enfants », d'« hôtes », d'« enregistrer des serveurs de noms » ou simplement d'« enregistrements glue ».

Créez les noms d'hôtes (ns1.example.com, ns2.example.com) avec leurs adresses IPv4 et, s'ils en ont, IPv6 dans l'interface du registraire.
Ajoutez les mêmes enregistrements A/AAAA et NS dans votre zone, pour que la zone parente et vos serveurs disent la même chose.
Seulement ensuite, basculez les serveurs de noms du domaine vers ces noms.
Vérifiez le résultat côté registre avec dig +norec (ci-dessous) et depuis l'extérieur avec une trace DNS.

Attention : Changer l'adresse IP d'un serveur de noms, c'est la changer à deux endroits : dans votre zone et dans la glue chez le registraire. Les résolveurs utilisent d'abord la glue, donc une zone correcte avec une glue périmée tombe quand même — et avec un TTL de zone parente pouvant atteindre deux jours, la panne dure.

Problèmes de délégation courants

Délégation boiteuse (lame delegation) : un serveur de noms listé dans la zone parente ne répond pas pour la zone (mauvais serveur, zone supprimée, pare-feu). Les résolveurs essaient ailleurs, ce qui se traduit par de la lenteur et des SERVFAIL occasionnels.
Parent et enfant en désaccord : le registre indique ns1/ns2, votre zone ns3/ns4. L'ensemble utilisé dépend du cache de chaque résolveur, si bien que le comportement varie d'un réseau à l'autre.
Glue périmée : le serveur a déménagé, pas la glue. Classique après une migration de VPS.
Glue manquante : des serveurs de noms dans la zone sans adresses au registre — le domaine ne se résout nulle part.
Tous les œufs dans le même panier : deux serveurs de noms sur une IP ou dans un même réseau. La RFC 2182 demande des serveurs qui ne tombent pas ensemble.

Comment vérifier la délégation et la glue

Interrogez directement un serveur de la zone parente, sans récursion, pour voir exactement ce que publie le registre — la glue figure dans la section ADDITIONAL. Comparez ensuite avec ce que disent vos propres serveurs :

# ask a .com server directly, without recursion: glue is in the ADDITIONAL section
dig @a.gtld-servers.net example.com NS +norec
# follow the whole chain from the root
dig example.com A +trace
# compare with what your own nameservers say
dig @ns1.example.com example.com NS +short

Astuce : La trace DNS de PixDNS suit la chaîne depuis la racine et montre chaque délégation : une glue manquante ou périmée apparaît à l'étape exacte où elle se produit. La recherche NS compare les serveurs de noms qui répondent.

Tracer la délégation d'un domaine →Suite : les serveurs de noms →

Questions fréquentes

Ai-je besoin de glue avec Cloudflare ou le DNS de mon registraire ?

Non. Leurs serveurs de noms sont sous leurs propres domaines et ils en gèrent les adresses. La glue ne concerne que les serveurs de noms nommés dans votre domaine.

Où modifie-t-on les enregistrements glue ?

Chez le registraire, dans une rubrique « serveurs de noms enfants », « hôtes » ou similaire. Votre zone DNS ne peut pas les changer, car ils se trouvent dans la zone parente.

Combien de temps prend un changement de glue ?

Le registre le publie en général en quelques minutes, mais les résolveurs peuvent garder l'ancienne adresse jusqu'à expiration du TTL de la zone parente — jusqu'à 48 heures pour .com.

Qu'est-ce qu'une délégation boiteuse ?

Un serveur de noms indiqué pour un domaine qui ne répond pas réellement pour lui. Il ralentit les requêtes et peut provoquer des échecs intermittents.

Essayez-le sur votre domaine

Voyez la théorie en pratique — lancez Trace DNS pour votre propre domaine.

Mis à jour le 13 octobre 2026

Sources