Enregistrements TXT et vérification de domaine

Module 4: Enregistrements pour l'e-mail · Temps de lecture : 7 minutes

Objectif pédagogique : après cette leçon, vous saurez créer un enregistrement TXT pour vérifier votre domaine auprès d'un service, et vous saurez quand plusieurs enregistrements TXT peuvent coexister et quand ce n'est pas possible.

Notions clés : enregistrement TXT, code de vérification, nom avec underscore, guillemets, segments de texte de 255 caractères, SPF/DMARC en tant qu'enregistrements TXT particuliers

Un petit mot dans votre DNS

Un enregistrement TXT est l'enregistrement le plus simple qui soit : un morceau de texte associé à un nom. Le DNS n'en fait lui-même rien. Il est destiné à d'autres programmes qui viennent lire ce texte.

C'est pourquoi TXT est l'enregistrement préféré des services qui veulent savoir si un domaine vous appartient réellement. Google Search Console, Microsoft 365, Google Workspace, Facebook, Apple, GitHub, les services de newsletters et les plateformes de boutique en ligne fonctionnent tous de la même façon :

1. Le service vous donne un code, par exemple google-site-verification=Ab12Cd34... ou MS=ms12345678.
2. Vous placez ce code comme enregistrement TXT dans le DNS de votre domaine.
3. Le service interroge l'enregistrement TXT de votre domaine. Si le code s'y trouve, il sait que celui qui a pu placer ce code gère ce domaine.

Seule une personne pouvant modifier le DNS d'un domaine peut placer un tel enregistrement. C'est pourquoi il s'agit d'un contrôle fiable.

À quoi ressemble un enregistrement TXT ?

example.com.   3600  IN  TXT  "google-site-verification=Ab12Cd34Ef56"
example.com.   3600  IN  TXT  "MS=ms12345678"
example.com.   3600  IN  TXT  "v=spf1 mx include:spf.service.example ~all"

Quelques points à connaître :

• Guillemets. Dans un fichier de zone, le texte est placé entre guillemets. Dans la plupart des panneaux, vous n'avez pas besoin de les taper : le panneau les ajoute lui-même. Si vous les tapez quand même, vérifiez après l'enregistrement qu'il n'y a pas de guillemets en double.
• Segments de 255 caractères. Un segment de texte dans un enregistrement TXT ne peut pas dépasser 255 caractères (RFC 1035). Les textes plus longs, comme une clé DKIM, sont découpés en plusieurs segments au sein du même enregistrement : "première partie" "deuxième partie". Les programmes qui lisent le TXT recollent ces segments. Les bons panneaux découpent automatiquement ; avec certains, il faut le faire soi-même.
• Les majuscules et les espaces comptent. Copiez le code exactement, de préférence par copier-coller. Une espace en trop à la fin ou un caractère manquant suffit à faire échouer la vérification.

Sur quel nom ?

Le service indique toujours sur quel nom l'enregistrement doit être placé :

• Sur le domaine lui-même. Le service indique alors « @ », « root », « hôte vide » ou mentionne simplement example.com. Dans la plupart des panneaux, vous tapez alors @ ou laissez le champ vide.
• Sur un nom particulier. Certains services demandent un nom distinct commençant par un underscore, comme _github-challenge-entreprise-exemple ou _acme-challenge. L'underscore indique qu'il ne s'agit pas d'un nom d'hôte ordinaire (vous ne pouvez pas y ouvrir de site web). Dans votre panneau, tapez uniquement cette première partie ; votre nom de domaine est déjà ajouté automatiquement derrière.

Une erreur fréquente : saisir le nom complet dans un panneau qui ajoute lui-même le nom de domaine derrière. Cela donne alors _github-challenge-entreprise-exemple.example.com.example.com, et le service ne trouve rien. Vérifiez après l'enregistrement le nom complet que le panneau affiche.

Plusieurs enregistrements TXT : est-ce possible ?

Oui. Sur un même nom, vous pouvez placer autant d'enregistrements TXT que vous le souhaitez. Une vérification pour Google et une pour Microsoft ne se gênent pas mutuellement. Chaque service recherche son propre code parmi tous les enregistrements TXT.

Il existe deux exceptions, et elles sont importantes :

• SPF (commence par v=spf1) : un seul au maximum par nom. Deux enregistrements SPF rendent votre SPF invalide (leçon 4.3).
• DMARC (sur _dmarc, commence par v=DMARC1) : un seul au maximum. En cas de deux enregistrements, un destinataire agit comme si vous n'aviez pas de DMARC du tout (leçon 4.5).

Si un service vous demande « ajoutez cet enregistrement SPF », ne créez donc pas un second enregistrement SPF, mais complétez celui qui existe déjà.

Peut-on retirer la vérification après coup ?

Cela dépend du service. De nombreux services (comme Google Search Console et Microsoft 365) effectuent des vérifications ultérieures. Si vous supprimez l'enregistrement, votre domaine peut après un certain temps être à nouveau considéré comme « non vérifié ». Laissez-le donc en place, sauf si le service indique qu'il peut être retiré. Vous pouvez en revanche supprimer un ancien enregistrement de vérification d'un service que vous n'utilisez plus.

Ça ne fonctionne pas immédiatement

Vous venez de créer l'enregistrement et le service indique « introuvable » ? Cela vient généralement du cache (module 6). Si le service a déjà interrogé votre domaine avant que l'enregistrement n'existe, il se souvient un moment qu'il n'y avait rien. Attendez un quart d'heure et réessayez. Entre-temps, vérifiez vous-même avec un outil d'interrogation DNS en ligne que l'enregistrement est bien présent (leçons 8.2 et 8.3).

En pratique : à quoi ça ressemble dans un panneau

Dans cet exemple, nous utilisons Mon WebOké. Rendez-vous sur le domaine, onglet DNS, et cliquez sur Ajouter un Enregistrement. Choisissez le type TXT, saisissez @ dans Nom (ou le nom indiqué par le service) et collez le code dans la valeur. Vous n'avez pas besoin de taper les guillemets. Dans DirectAdmin, cela fonctionne de la même façon dans Administration DNS ; laissez-y Type d'enregistrement TXT sur Plein.

Dans d'autres panneaux, les champs s'appellent parfois Host, Hostname ou Name et Value, Content ou Data, mais le principe reste le même.

Résumé

• Un enregistrement TXT est un texte associé à un nom. Les services l'utilisent pour vérifier qu'un domaine vous appartient.
• Copiez le code exactement et placez-le sur le nom indiqué par le service (souvent @, parfois un nom avec underscore).
• Plusieurs enregistrements TXT sur un même nom sont autorisés, sauf pour SPF et DMARC : un seul au maximum pour chacun.
• Si la vérification ne fonctionne pas tout de suite, patientez : la réponse peut encore se trouver dans un cache.

Quiz

Exercice

Exercice Z4.2 : Rechercher un code de vérification. Recherchez les enregistrements TXT de wikipedia.org. On y trouve notamment un code de vérification de Google. Collez le texte complet de vérification commençant par google-site-verification=.

Exercice O4.2 : Configurer soi-même dans votre zone d'entraînement. Dans la zone d'entraînement, vous utilisez un faux service ; pour votre véritable domaine, vous utiliserez bien sûr le vrai code fourni par le service. Vous recevez pour cet exercice un code personnel <votre code> (qui ressemble à oefen-<code>-<letters>). Créez dans votre zone d'entraînement <code>.dnspractice.eu deux enregistrements TXT :

1. sur le nom de la zone elle-même (@) : dnscursus-verificatie=<votre code>
2. sur le nom _cursus-challenge : uniquement <votre code>

Pour aller plus loin

Les étapes décrites dans ces articles valent pour les panneaux de WebOké ; dans d'autres panneaux, le fonctionnement est comparable.

• Guide DirectAdmin 5.6: Enregistrements TXT pour la vérification (Google, Microsoft et autres)
• Gérer les enregistrements DNS dans Mon WebOké (avec des exemples pour CNAME, TXT et services externes)
• Guide WebOké 5.4: Gérer le DNS : ajouter, modifier et supprimer des enregistrements
• RFC 1035 paragraphe 3.3.14 (TXT), RFC 7208 paragraphe 3.3 (longs textes SPF découpés en plusieurs segments)