CNAME · MX

Niveau débutant

A, CNAME, MX, TXT : à quoi sert vraiment chaque enregistrement DNS

Ce que fait chaque type d'enregistrement DNS, lequel choisir, et les trois erreurs qui cassent un site ou une messagerie sans prévenir.

Ouvrir la zone DNS de son domaine pour la première fois, c'est tomber sur un tableau de sigles sans explication. En réalité il n'y a que quatre lignes à comprendre, et elles suffisent pour 95 % des situations.

A : le domaine pointe vers une machine

C'est l'enregistrement de base. Il associe un nom à une adresse IP.

creebs.fr.        3600    IN    A       109.234.165.64

À lire ainsi : le nom creebs.fr mène à la machine 109.234.165.64, et cette information est valable 3600 secondes.

Son équivalent pour les adresses modernes est AAAA, qui fait la même chose avec une adresse IPv6. Si votre hébergeur en fournit une, mettez les deux.

CNAME : ce nom est un autre nom

Un CNAME ne pointe pas vers une machine mais vers un autre nom, qui sera résolu à son tour.

www.creebs.fr.    3600    IN    CNAME   creebs.fr.

L'intérêt est l'entretien : le jour où vous changez de serveur, vous modifiez une seule ligne, l'enregistrement A, et tous les CNAME qui pointent dessus suivent automatiquement.

La règle qu'on apprend en la cassant. Un CNAME ne peut pas coexister avec un autre enregistrement portant le même nom. Concrètement, la racine de votre domaine, celle sans www, ne peut presque jamais être un CNAME, parce qu'elle porte déjà des MX et des enregistrements de service. Pour la racine, utilisez un A.

MX : où vont vos e-mails

Les MX désignent les serveurs qui reçoivent le courrier du domaine. Ils sont indépendants du site : votre site peut être chez un hébergeur et vos e-mails chez un autre.

creebs.fr.        3600    IN    MX      10 mail.creebs.fr.
creebs.fr.        3600    IN    MX      20 secours.creebs.fr.

Le nombre devant est la priorité, et le plus petit gagne. Le serveur 20 n'est utilisé que si le 10 ne répond pas.

C'est l'oubli le plus coûteux d'une migration : on déplace le site, l'enregistrement A change, les MX restent pointés vers l'ancien hébergeur, et le courrier part vers un serveur qui n'existe plus. Personne ne s'en aperçoit tout de suite, parce qu'un e-mail perdu ne déclenche aucune alerte.

TXT : du texte libre, qui sert surtout à prouver

Un TXT contient du texte. En pratique il sert à deux choses : prouver que vous possédez le domaine, et authentifier vos e-mails.

creebs.fr.        3600    IN    TXT     "v=spf1 include:_spf.o2switch.net -all"

Trois TXT décident aujourd'hui si vos messages arrivent en boîte de réception ou en indésirables :

• SPF liste les serveurs autorisés à envoyer du courrier pour votre domaine.
• DKIM porte une signature cryptographique qui prouve que le message n'a pas été altéré.
• DMARC dit aux destinataires quoi faire quand SPF ou DKIM échoue.

Sans eux, un domaine récent voit une grande partie de ses e-mails classés en indésirables, sans message d'erreur et sans explication.

Le tableau de décision

Les trois erreurs qui reviennent

Un CNAME posé sur la racine du domaine. Ça semble marcher, puis les e-mails s'arrêtent, parce que le CNAME a rendu les MX invisibles.

Un point final oublié. Dans une zone DNS, creebs.fr sans point final peut être interprété comme creebs.fr.creebs.fr. Beaucoup d'interfaces l'ajoutent seules, pas toutes.

Un TTL laissé très haut pendant une migration. Vous corrigez une erreur, et vous attendez une journée qu'elle disparaisse des caches. Abaissez le TTL avant l'intervention, jamais pendant.

Si votre zone DNS ressemble à un champ de mines et que vous préférez ne pas y toucher seul, c'est exactement le genre d'intervention que je fais en une heure.