Vérifier la propagation des changements de DNS et d'IP d'un domaine

Lorsque vous modifiez un enregistrement, la nouvelle valeur doit d'abord apparaître sur tous les serveurs DNS faisant autorité pour la zone. Les résolveurs qui avaient déjà interrogé l'ancienne valeur peuvent la conserver en cache jusqu'à l'expiration du TTL qu'elle avait avant le changement.

Lors d'un changement de serveurs DNS interviennent en outre la délégation publiée par la zone parente et les caches des enregistrements NS. Si le domaine utilise DNSSEC, il faut aussi vérifier que l'enregistrement DS publié par la zone parente correspond à la nouvelle configuration.

C'est pourquoi il n'existe pas de délai fixe pour tous les changements. Le résultat dépend du type de modification, des TTL précédents, du moment où chaque résolveur a fait sa requête et de l'éventuelle mise en cache négative de réponses comme NXDOMAIN.

Vérifiez le changement dans cet ordre :

1. Si vous avez changé les serveurs DNS, vérifiez la délégation NS et, le cas échéant, DS.
2. Interrogez l'enregistrement exact sur chaque serveur faisant autorité et confirmez qu'ils renvoient tous la valeur attendue.
3. Vérifiez séparément les enregistrements A et AAAA ; un ancien enregistrement IPv6 peut diriger une partie des connexions vers l'ancienne destination.
4. Seulement ensuite, comparez les résolveurs publics et le résolveur de la connexion concernée.

Pour la première étape, vous pouvez utiliser le diagnostic DNS d'IPeek, un outil externe gratuit. Il compare les serveurs NS publiés par la zone parente avec ceux qu'annoncent les serveurs du domaine, indique s'il existe un enregistrement DS et vérifie que chaque serveur faisant autorité répond avec le même numéro de série SOA. Il n'affiche pas la valeur des autres enregistrements sur chaque serveur et conserve le résultat pendant 10 minutes.

Si la nouvelle valeur n'apparaît pas sur les serveurs faisant autorité, attendre l'expiration d'un cache ne corrigera pas la configuration. Consultez le diagnostic avancé des enregistrements avant de continuer.

Notre outil de propagation DNS lit la valeur sur les serveurs faisant autorité et la compare avec les réponses de vingt résolveurs publics d'opérateurs différents, avec le temps restant de la copie de chacun. Il ne vérifie pas toutes les connexions d'Internet et ne représente pas nécessairement le résultat qu'obtiendra chaque utilisateur.

Saisissez le domaine ou le sous-domaine exact et sélectionnez le type d'enregistrement. Examinez la valeur renvoyée par chaque serveur, pas seulement l'icône :

• Un résultat avec la valeur attendue confirme uniquement la réponse de ce résolveur à ce moment-là.
• Une ancienne valeur peut provenir de son cache.
• Une réponse vide ou différente peut correspondre à NXDOMAIN, à l'absence de ce type d'enregistrement, à un délai dépassé, à SERVFAIL ou à un échec DNSSEC.
• Une coche verte sur tous les serveurs testés ne garantit pas une propagation à 100 % pour tous les utilisateurs.

Notez le nom interrogé, le type d'enregistrement, la valeur attendue, la réponse obtenue ainsi que la date et l'heure. Si le changement fait partie d'une migration, conservez l'ancien fournisseur jusqu'à avoir vérifié le DNS, le web, le HTTPS, la messagerie et les données en attente depuis la destination.

Si un seul navigateur ou une seule connexion échoue

Le navigateur peut utiliser le DNS sécurisé avec un résolveur différent de celui configuré dans le système. Notez les deux avant de comparer les résultats. Vider les cookies ne met à jour ni les DNS faisant autorité ni le cache d'un résolveur public.

Réduire le TTL après avoir changé l'IP ne raccourcit pas le temps restant d'une ancienne réponse déjà en cache. Pour une migration planifiée, réduisez le TTL à l'avance et laissez expirer l'ancienne valeur avant le changement. Gardez les deux destinations disponibles pendant la transition pour ne pas perdre d'opérations.