Qu'est-ce que le DNS et comment fonctionne-t-il ?

IPAddress-Lookup.com · June 28, 2025

Chaque fois que vous saisissez le nom d’un site web dans votre navigateur, un système invisible se met en marche pour déterminer où se trouve réellement ce site. Ce système, appelé « Domain Name System » (DNS), constitue l’un des éléments d’infrastructure les plus importants d’Internet. Sans lui, vous devriez mémoriser de longues chaînes de chiffres pour chaque site web que vous visitez, au lieu de noms conviviaux comme example.com. Dans ce guide, nous allons vous expliquer précisément ce qu’est le DNS, suivre le déroulement d’une requête réelle du début à la fin, détailler chaque type d’enregistrement principal et vous montrer comment inspecter et dépanner le DNS vous-même.

Qu’est-ce que le DNS ?

Le DNS est l’annuaire téléphonique d’Internet. Les ordinateurs ne communiquent pas à l’aide de noms lisibles par l’homme ; ils communiquent à l’aide d’adresses numériques. Lorsque vous souhaitez joindre un ami par téléphone, vous ne composez pas son nom, mais son numéro ; cependant, vous vous souvenez probablement de son nom et laissez votre répertoire le traduire en chiffres. Le DNS fait la même chose pour Internet : il traduit un nom de domaine que les gens peuvent retenir, tel que www.example.com, en une adresse IP numérique que les machines utilisent réellement pour acheminer le trafic, comme 93.184.216.34 pour l’IPv4 ou une chaîne hexadécimale plus longue pour l’IPv6.

Cette conversion est essentielle car les adresses IP changent. Un site web peut être transféré vers un nouveau serveur, changer de fournisseur d’hébergement ou répartir son contenu entre des dizaines de centres de données à travers le monde. Les noms nous fournissent une étiquette stable et facile à retenir qui reste la même même lorsque l’adresse sous-jacente change. Le DNS est la couche qui tient cette promesse, en résolvant les noms en adresses des milliards de fois par seconde à travers le monde. Il s’agit également d’un système distribué, ce qui signifie qu’aucun ordinateur ne détient à lui seul l’intégralité de l’annuaire. Au contraire, la responsabilité est répartie entre une vaste hiérarchie de serveurs, ce qui est précisément ce qui rend le DNS rapide, résilient et capable de s’étendre à l’échelle de la planète entière.

Les acteurs impliqués dans une requête DNS

Avant de retracer le parcours d’une requête, il est utile de faire connaissance avec les différents acteurs. Chacun a un rôle spécifique, et une seule requête peut les impliquer tous :

• Le résolveur stub — ce petit logiciel intégré à votre système d’exploitation. Lorsqu’une application a besoin d’une adresse, le résolveur stub transmet la requête. Il n’effectue pratiquement aucune réflexion de son propre chef.
• Résolveur récursif — le moteur de l’opération, généralement géré par votre fournisseur d’accès Internet ou par un fournisseur public tel que les célèbres services 8.8.8.8 ou 1.1.1.1. Il prend en charge votre requête et effectue toutes les démarches nécessaires pour trouver la réponse finale, puis vous la renvoie.
• Serveurs de noms racines — le sommet de la hiérarchie. Ils ne connaissent l’adresse d’aucun site web, mais ils savent où trouver les serveurs responsables de chaque domaine de premier niveau.
• Serveurs de noms de domaine de premier niveau (TLD) — responsables d’un domaine de premier niveau tel que .com, .org ou .net. Ils savent quels serveurs faisant autorité gèrent chaque domaine enregistré sous leur égide.
• Serveurs de noms faisant autorité — la source ultime de vérité. Ces serveurs contiennent les enregistrements réels d’un domaine spécifique et fournissent la réponse définitive.

Suivi d’une requête réelle : résolution de www.example.com

Suivons pas à pas une requête. Imaginez que vous saisissiez www.example.com dans votre navigateur et que vous appuyiez sur Entrée. Voici ce qui se passe en coulisses, en supposant que rien n’ait encore été mis en cache :

1. Le navigateur interroge le résolveur stub. Le résolveur stub de votre système d’exploitation reçoit la requête concernant www.example.com. Il vérifie d’abord son propre cache local. S’il a récemment recherché ce nom, il renvoie immédiatement la réponse et le processus s’arrête là.
2. Le résolveur stub contacte le résolveur récursif. En l’absence de réponse mise en cache, le résolveur stub transmet la requête à votre résolveur récursif configuré.
3. Le résolveur récursif interroge un serveur racine. Le résolveur récursif ne sait pas encore où se trouve le domaine .com ; il interroge donc l’un des serveurs racines. Le serveur racine ne connaît pas www.example.com, mais il répond par un renvoi : « Je n’ai pas cette réponse, mais voici les serveurs responsables du domaine .com. »
4. Le résolveur récursif interroge le serveur du TLD .com. Suite à ce renvoi, le résolveur interroge un serveur du TLD .com au sujet de www.example.com. Le serveur du TLD répond par un autre renvoi : « Je ne connais pas l’adresse, mais voici les serveurs de noms faisant autorité pour example.com. »
5. Le résolveur récursif interroge le serveur faisant autorité. Enfin, le résolveur interroge le serveur de noms faisant autorité pour example.com. Ce serveur détient les enregistrements réels et répond de manière définitive : « www.example.com se trouve à l’adresse 93.184.216.34. »
6. La réponse vous est transmise. Le résolveur récursif met cette réponse en cache, la transmet à votre résolveur stub, puis votre navigateur établit une connexion vers cette adresse IP. L’ensemble du processus s’achève généralement en quelques dizaines de millisecondes.

Requêtes récursives et itératives

La procédure décrite ci-dessus illustre deux styles de requêtes différents, et comprendre la distinction permet de dissiper une grande partie de la confusion. Lorsque votre appareil pose une question au résolveur récursif, il s’attend à une réponse finale complète. Il s’agit d’une requête récursive : le résolveur se charge de faire tout ce qui est nécessaire pour renvoyer un résultat complet. Votre appareil reste en attente.

Les échanges que le résolveur récursif entretient avec les serveurs racine, TLD et de référence constituent des requêtes itératives. Chacun de ces serveurs ne se charge pas de rechercher la réponse à votre place. Au lieu de cela, ils répondent avec la meilleure information dont ils disposent, ce qui correspond généralement à une redirection vous rapprochant d’un cran de votre destination. Le résolveur récursif répète alors le processus, en descendant la hiérarchie par itérations jusqu’à obtenir une réponse faisant autorité. En résumé : votre appareil interroge de manière récursive, et le résolveur fonctionne de manière itérative.

Mise en cache et TTL à chaque couche

Si chaque requête devait parcourir tout le chemin jusqu’à un serveur faisant autorité, Internet serait d’une lenteur exaspérante et les serveurs racines s’effondreraient sous la charge. La mise en cache permet d’éviter cela. À presque chaque couche, les réponses sont stockées temporairement afin de pouvoir être réutilisées. Votre navigateur met en cache, votre système d’exploitation met en cache, et le résolveur récursif utilise massivement la mise en cache.

La durée pendant laquelle un enregistrement peut être mis en cache est contrôlée par son TTL (Time to Live), mesuré en secondes et défini par le propriétaire du domaine. Un enregistrement avec un TTL de 3 600 peut être mis en cache pendant une heure avant qu’un résolveur ne doive récupérer une nouvelle copie. Des TTL courts permettent de modifier rapidement les enregistrements, ce qui est pratique lors d’une migration de serveur, mais ils augmentent le volume de requêtes. Des TTL longs améliorent les performances et réduisent la charge, mais impliquent que les modifications mettent plus de temps à se propager à travers le monde. C’est pourquoi les administrateurs réduisent souvent le TTL d’un enregistrement la veille d’un changement prévu, puis le rétablissent par la suite.

La hiérarchie DNS et les serveurs racines

Le DNS est organisé sous la forme d’un arbre inversé. Tout en haut se trouve la racine, représentée par un simple point qui est généralement invisible. Sous la racine se trouvent les domaines de premier niveau (TLD) tels que .com, .org et les codes de pays comme .uk ou .de. Sous chaque TLD se trouvent les domaines de deuxième niveau que les particuliers et les organisations enregistrent, comme example.com. En dessous de ceux-ci se trouvent les sous-domaines tels que www ou mail. En lisant un nom de domaine de droite à gauche, on descend dans la hiérarchie, du plus général au plus spécifique.

La racine est gérée par un système connu sous le nom des « 13 serveurs racines ». En réalité, il s’agit de 13 clusters nommés, étiquetés de A à M, chacun étant exploité par une organisation différente. Derrière chacune de ces 13 adresses se cachent des centaines de serveurs physiques répartis dans le monde entier grâce à une technique appelée « anycast », qui achemine votre requête vers l’instance disponible la plus proche. C’est ainsi qu’une poignée de points d’entrée nommés peut répondre de manière fiable aux requêtes de la planète entière, avec une faible latence et une grande résilience face aux pannes et aux attaques.

Explication des types d’enregistrements DNS

La zone DNS d’un domaine est un ensemble d’enregistrements, et chaque type d’enregistrement remplit une fonction distincte. Il est essentiel de les comprendre pour toute personne qui gère un site web ou des e-mails. Le tableau ci-dessous résume les types les plus importants, accompagnés d’un exemple pour chacun.

Enregistrements A et AAAA

Ce sont les éléments essentiels qui relient les noms aux adresses. Un enregistrement A pointe vers une adresse IPv4, tandis qu’un enregistrement AAAA pointe vers une adresse IPv6. Un domaine peut disposer des deux afin que les clients utilisant l’un ou l’autre protocole puissent y accéder. Lorsque votre navigateur demande « où se trouve example.com », c’est généralement l’un de ces deux enregistrements qui fournit la réponse finale.

Enregistrements CNAME

Un enregistrement CNAME crée un alias, redirigeant un nom vers un autre nom canonique. Il est couramment utilisé pour rediriger « www » vers le domaine nu, ou pour rediriger un sous-domaine personnalisé vers l’adresse d’un hébergeur. Une règle essentielle veut qu’un enregistrement CNAME ne puisse pas coexister avec d’autres enregistrements portant le même nom ; c’est pourquoi la racine d’un domaine utilise généralement des enregistrements A ou AAAA plutôt qu’un enregistrement CNAME.

Enregistrements MX et de messagerie

Les enregistrements MX indiquent quels serveurs acceptent le courrier pour votre domaine, avec un numéro de priorité déterminant l’ordre dans lequel ils sont essayés. Les numéros les plus bas sont préférés ; ainsi, un serveur avec une priorité de 10 sera essayé avant un autre ayant une priorité de 20. Mais les enregistrements MX ne constituent qu’une partie de l’histoire du DNS pour la messagerie.

Enregistrements TXT : SPF, DKIM et DMARC

Les enregistrements TXT stockent du texte libre, et le monde de la messagerie s’appuie fortement sur eux pour trois mécanismes d’authentification étroitement liés. Le SPF répertorie les serveurs autorisés à envoyer des e-mails au nom de votre domaine, aidant ainsi les destinataires à rejeter les faux messages. DKIM publie une clé publique cryptographique afin que les destinataires puissent vérifier qu’un message a bien été signé par votre domaine et qu’il n’a pas été altéré en cours de transmission. DMARC relie ces deux mécanismes, en indiquant aux destinataires comment traiter les messages qui échouent aux vérifications SPF ou DKIM et où envoyer les rapports. Ensemble, ils constituent la colonne vertébrale de la délivrabilité moderne des e-mails.

Enregistrements NS et SOA

Les enregistrements NS délèguent l’autorité en désignant les serveurs responsables d’une zone. L’enregistrement SOA se trouve au sommet de chaque zone et contient des informations administratives telles que le serveur de noms principal, le contact responsable, un numéro de série qui change lorsque la zone est modifiée, ainsi que des temporisateurs qui régissent la fréquence à laquelle les serveurs secondaires actualisent leurs copies de la zone.

Enregistrements CAA et PTR

Un enregistrement CAA limite les autorités de certification autorisées à émettre des certificats pour votre domaine, ajoutant ainsi une couche de protection contre les certificats non autorisés. Si vous souhaitez comprendre comment ces certificats sécurisent votre trafic, consultez notre guide explicatif sur les certificats SSL. Un enregistrement PTR gère le DNS inversé, en associant une adresse IP à un nom d’hôte, ce qui est fréquemment vérifié par les serveurs de messagerie pour évaluer la légitimité d’un expéditeur.

DNS et délivrabilité des e-mails

Le DNS est sans doute aussi important pour la messagerie électronique que pour le Web. Lorsqu’un serveur de messagerie souhaite acheminer un message vers votre domaine, il consulte vos enregistrements MX pour trouver la bonne destination. Lorsqu’un serveur destinataire doit déterminer si un message entrant est fiable, il vérifie vos enregistrements SPF, DKIM et DMARC, et contrôle souvent également l’enregistrement PTR du serveur expéditeur. Si l’un de ces éléments est manquant ou mal configuré, des e-mails légitimes risquent d’atterrir dans les dossiers de spam ou d’être purement et simplement rejetés. Veiller à la bonne configuration de vos enregistrements DNS liés à la messagerie est l’une des mesures les plus efficaces que vous puissiez prendre pour que vos messages parviennent dans la boîte de réception plutôt que de disparaître dans un dossier de courrier indésirable.

Sécurité DNS

Le DNS étant un élément si fondamental, il est devenu une cible, et plusieurs technologies existent pour le renforcer :

• Le protocole DNSSEC ajoute des signatures cryptographiques aux enregistrements DNS afin que les résolveurs puissent vérifier qu’une réponse provient bien de la source faisant autorité et qu’elle n’a pas été altérée. Il protège l’intégrité des données mais ne les chiffre pas.
• Les protocoles DNS over HTTPS (DoH) et DNS over TLS (DoT) chiffrent la communication entre votre appareil et le résolveur récursif. Traditionnellement, les requêtes DNS transitaient en texte clair, ce qui permettait à toute personne se trouvant sur le chemin du réseau de les voir, voire de les modifier. Les protocoles DoH et DoT comblent cette faille en chiffrant les requêtes.
• L’empoisonnement de cache est une attaque classique dans laquelle un acteur malveillant incite un résolveur à mettre en cache une fausse réponse, redirigeant ainsi les victimes vers un serveur frauduleux. Le protocole DNSSEC et les protections modernes des résolveurs, telles que les ports source aléatoires, rendent cette attaque bien plus difficile à mener à bien.

Problèmes DNS courants et dépannage

Lorsqu’un site web ne se charge pas, le DNS est souvent en cause. Parmi les problèmes les plus fréquents, on peut citer :

• Les délais de propagation. Après avoir modifié un enregistrement, les anciennes valeurs mises en cache peuvent persister jusqu’à l’expiration de leur TTL. C’est pourquoi une modification peut apparaître en ligne pour vous, mais pas encore pour les autres.
• Fautes de frappe et enregistrements manquants. Un nom d’hôte mal orthographié ou un enregistrement A oublié entraîne des défaillances faciles à négliger.
• Serveurs de noms incompatibles. Si votre registraire pointe le domaine vers de mauvais serveurs de noms, aucun de vos enregistrements soigneusement élaborés ne sera jamais consulté.
• Conflits de CNAME. Placer un CNAME aux côtés d’autres enregistrements portant le même nom empêche la résolution.
• Mise en cache du résolveur. Parfois, le problème provient d’une entrée obsolète dans votre propre appareil ou routeur ; vider le cache permet alors de résoudre le problème.

Comment vérifier vous-même les enregistrements DNS

Il n’est pas nécessaire d’être ingénieur réseau pour consulter les enregistrements DNS. Des outils en ligne de commande tels que dig et nslookup, disponibles sur la plupart des systèmes, vous permettent d’interroger directement n’importe quel type d’enregistrement. Par exemple, la requête de l’enregistrement A d’un domaine renvoie son adresse IPv4, tandis que la requête des enregistrements MX révèle ses serveurs de messagerie. Si vous n’êtes pas amateur de ligne de commande, un outil de recherche DNS en ligne vous permet d’interroger les enregistrements de n’importe quel domaine depuis votre navigateur, sans avoir à installer de logiciel. Vous pouvez ainsi facilement vérifier qu’une modification récente s’est bien propagée ou diagnostiquer une erreur de configuration.

Prendre l’habitude de vérifier les enregistrements DNS démystifie l’ensemble du système. Une fois que vous pouvez consulter les enregistrements A, MX et TXT de votre propre domaine, cet annuaire abstrait se transforme en un ensemble concret et compréhensible d’entrées que vous contrôlez. À partir de là, diagnostiquer un site lent, un e-mail rejeté ou un avertissement de certificat devient une simple question de lecture des enregistrements plutôt que de conjectures.

Foire aux questions

Que signifie l’acronyme DNS ?

DNS signifie « Domain Name System » (système de noms de domaine). Il s’agit du système distribué qui traduit les noms de domaine lisibles par l’homme en adresses IP numériques que les ordinateurs utilisent pour communiquer entre eux.

Pourquoi le DNS est-il appelé « l'annuaire téléphonique d'Internet » ?

Tout comme un annuaire téléphonique vous permet de trouver le numéro de téléphone d’une personne à partir de son nom, le DNS permet à votre ordinateur de trouver l’adresse IP d’un site web à partir de son nom de domaine. Vous retenez le nom facile à mémoriser, et le DNS se charge de la conversion en adresse numérique dont les machines ont réellement besoin.

Combien de temps faut-il pour que les modifications du DNS prennent effet ?

Cela dépend du TTL de l’enregistrement et de l’intensité avec laquelle les résolveurs situés le long du chemin l’ont mis en cache. Les modifications peuvent apparaître en quelques minutes si le TTL est court, mais leur propagation complète à l’échelle mondiale peut prendre jusqu’à 24 à 48 heures lorsque d’anciennes valeurs mises en cache sont encore utilisées.

Quelle est la différence entre un résolveur récursif et un serveur de référence ?

Un résolveur récursif se charge de trouver une réponse en interrogeant d’autres serveurs en votre nom et en mettant le résultat en cache. Un serveur de référence est la source définitive qui héberge réellement les enregistrements d’un domaine et fournit la réponse finale.

Le DNS est-il chiffré ?

Le DNS traditionnel n’est pas chiffré, ce qui signifie que les requêtes transitent en texte clair. Des normes plus récentes telles que le DNS sur HTTPS et le DNS sur TLS chiffrent le trafic entre votre appareil et le résolveur, tandis que le protocole DNSSEC ajoute des signatures qui vérifient l’authenticité des réponses.

Comment puis-je vérifier les enregistrements DNS d’un domaine ?

Vous pouvez utiliser des outils en ligne de commande tels que dig ou nslookup, ou un service de recherche DNS accessible via un navigateur. Ceux-ci vous permettent de demander des types d’enregistrements spécifiques, tels que A, AAAA, MX et TXT, afin de vérifier la configuration ou de résoudre des problèmes.