Le DNS lors d'un transfert

Module 6: Temps, cache et transfert de domaine · Temps de lecture : 10 minutes

Objectif d'apprentissage : après cette leçon, vous saurez planifier le transfert de votre site web, de votre e-mail ou de votre gestion DNS de façon à ce que les visiteurs ne remarquent rien et que vous ne manquiez aucun e-mail.

Notions clés : types de transfert, ordre des opérations, abaisser le TTL au préalable, préparer les enregistrements, sauvegarde de la zone, tester avant le basculement (fichier hosts, adresse de prévisualisation), e-mail pendant le basculement, vérification préalable auprès du registre, DNSSEC et l'enregistrement DS

Quatre types de transfert

"Je transfère mon domaine" peut désigner quatre choses différentes. Il est très utile de déterminer d'abord de laquelle il s'agit, car chaque type concerne des enregistrements différents.

Souvent, plusieurs de ces transferts ont lieu simultanément, par exemple lorsque vous transférez tout d'un prestataire vers un autre. Dans ce cas, les pièges des quatre types s'appliquent en même temps.

L'ordre en or

Le principe le plus important : préparez d'abord tout sur le nouvel emplacement, puis basculez. Le basculement lui-même est une opération rapide : quelques enregistrements ou les serveurs de noms. Tout ce qui peut être fait avant le basculement doit être fait avant le basculement.

Quelques jours à l'avance

1. Faites une sauvegarde de votre zone actuelle. Exportez les enregistrements, faites une capture d'écran ou notez-les. Sans vue d'ensemble de ce qui existait, vous ne saurez pas après coup ce qui manque. De nombreux panneaux disposent d'un bouton pour une sauvegarde DNS.
2. Faites un inventaire. Passez en revue chaque ligne et notez à quoi elle sert : site web, e-mail, vérification auprès de Google ou de Microsoft, un service de newsletter, un sous-domaine pour une boutique en ligne. Ce sont justement ces enregistrements supplémentaires (TXT de vérification, CNAME pour le DKIM d'un service de newsletter) qui sont souvent oubliés lors des transferts.
3. Préparez le nouvel environnement. Le site web se trouve sur le nouveau serveur, les boîtes e-mail existent chez le nouveau prestataire.
4. Testez avant le basculement. Vous pouvez consulter un site web sur un nouveau serveur sans modifier le DNS : avec une ligne dans votre fichier hosts, ou avec une adresse de test ou de prévisualisation fournie par le nouveau prestataire. N'oubliez pas de supprimer cette ligne du fichier hosts par la suite.

Au moins la durée de l'ancien TTL à l'avance

5. Abaissez le TTL des enregistrements que vous allez modifier à 300 secondes (leçon 6.1). Si le TTL était de 3600, faites-le au moins une heure à l'avance ; par prudence, une journée. S'il était de 86400, faites-le au moins une journée à l'avance.

Attention : vous ne pouvez pas abaisser vous-même le TTL des enregistrements NS auprès du registre (leçon 6.2). Lors d'un changement de serveurs de noms, ce délai d'attente existe toujours.

Le basculement

6. Modifiez les enregistrements (lors d'un transfert de site web ou d'e-mail), ou modifiez les serveurs de noms chez votre bureau d'enregistrement (lors d'un transfert de la gestion DNS).
7. Vérifiez immédiatement auprès du serveur de noms faisant autorité que les nouvelles valeurs sont bien présentes (dig A example.com @ns1.newhost.example).

Après coup

8. Vérifiez tout : le site web via http et https, le certificat, un e-mail de test dans les deux sens, et une vérification en ligne des MX, SPF, DKIM et DMARC.
9. Remettez le TTL à 3600 une fois que tout fonctionne.
10. Ne résiliez l'ancien service que lorsque, pendant plusieurs jours, plus aucun e-mail ni visite n'arrive sur l'ancien emplacement. Si vous résiliez trop tôt, votre site ou votre e-mail peuvent disparaître, voire dans le pire des cas votre domaine peut se libérer.

Un transfert de la gestion DNS

Si vous transférez votre DNS vers un autre prestataire (d'autres serveurs de noms), il y a une règle supplémentaire : la zone doit être complète chez le nouveau prestataire avant de modifier les serveurs de noms. Dès le moment du basculement, c'est le nouveau prestataire qui détermine toutes les réponses. Ce qui y manque n'existe plus.

Gardez cette liste comme minimum :

@          A      192.0.2.10
@          AAAA   2001:db8::10
www        A      192.0.2.10        (ou un CNAME)
mail       A      192.0.2.25        (si votre MX pointe vers mail.example.com)
@          MX     10 mail.example.com.
@          TXT    "v=spf1 ... ~all"
x._domainkey  TXT "v=DKIM1; k=rsa; p=..."   (le sélecteur diffère selon le prestataire)
_dmarc     TXT    "v=DMARC1; p=quarantine"

Plus tous les sous-domaines, enregistrements de vérification et enregistrements de services externes.

Certains registres vérifient les nouveaux serveurs de noms avant d'accepter la modification. Le DENIC (le registre du .de) vérifie par exemple si les nouveaux serveurs de noms répondent déjà pour le domaine. Si la zone n'y figure pas encore, la modification est refusée. C'est une raison de plus de préparer d'abord la zone.

Exemple concret

Un domaine a été relié à un créateur de site en pointant les serveurs de noms vers cette plateforme. La plateforme a elle-même créé un enregistrement MX vers mail.example.com et un enregistrement SPF, mais aucun enregistrement A pour mail.example.com. Résultat : l'envoi fonctionnait, mais pas la réception. Chaque serveur de messagerie qui tentait de livrer un e-mail ne trouvait aucune adresse correspondant au nom indiqué dans le MX. Un seul enregistrement A chez la plateforme a résolu le problème. Leçon à retenir : si vous transférez les serveurs de noms, chaque enregistrement vers lequel un autre enregistrement pointe doit également être transféré.

L'e-mail pendant le basculement

Pendant la période de transition, une partie des e-mails arrive encore à l'ancien emplacement : les expéditeurs qui ont une ancienne réponse en cache y livrent leur courrier. C'est normal et sans problème, tant que vous consultez les deux boîtes e-mail.

• Configurez déjà la nouvelle boîte e-mail dans votre logiciel de messagerie, avec le nom de serveur fourni par le nouveau prestataire (pas mail.example.com, car ce nom pointe vers des emplacements changeants pendant le basculement).
• Laissez aussi l'ancienne boîte e-mail dans votre logiciel de messagerie jusqu'à ce que plus rien n'y arrive pendant plusieurs jours.
• Copiez les anciens e-mails avec un outil de transfert du nouveau prestataire ou avec un programme de copie IMAP.
• Lors d'un transfert d'e-mail, n'oubliez pas l'enregistrement SPF : le nouveau prestataire doit y figurer, et tant que l'ancien envoie encore des e-mails (par exemple le formulaire de contact de votre site web), il doit y rester aussi.

DNSSEC lors d'un transfert

Si votre domaine utilise DNSSEC (leçon 8.1), un enregistrement DS est présent chez le registre : une empreinte de la clé avec laquelle votre prestataire DNS actuel signe la zone. Si vous transférez votre gestion DNS, le nouveau prestataire signera avec une autre clé. Si l'ancien DS reste chez le registre, l'empreinte ne correspondra plus. Les résolveurs validants (et ils sont nombreux) renverront alors SERVFAIL : tout votre domaine devient inaccessible pour eux, site web et e-mail compris.

La méthode sûre :

1. Faites supprimer le DS chez le registre (DNSSEC désactivé) et attendez que le TTL du DS soit écoulé.
2. Changez les serveurs de noms.
3. Activez DNSSEC chez le nouveau prestataire et faites placer le nouveau DS chez le registre.

Il existe aussi une méthode permettant de transférer sans interruption de DNSSEC (les clés des deux prestataires coexistant temporairement), mais elle nécessite la coopération des deux prestataires et n'est pas prise en charge partout. Si, lors d'un transfert, quelque chose se passe mal et que votre domaine devient soudainement inaccessible alors que les enregistrements semblent corrects, vérifiez d'abord DNSSEC.

En pratique : à quoi cela ressemble dans un panneau

Dans le panneau d'exemple Mon WebOké, vous créez une sauvegarde de toute la zone dans l'onglet DNS en un seul clic, et vous pouvez la restaurer tout aussi facilement en cas de problème. Un transfert du domaine lui-même se lance depuis le Centre de transfert, et la carte Santé Domaine / E-mail indique après le basculement si les serveurs de noms, l'enregistrement A, le certificat, le MX, le SPF, le DMARC et le DNSSEC sont corrects. D'autres prestataires proposent souvent une exportation de la zone (parfois sous forme de fichier de zone que vous pouvez importer chez le nouveau prestataire) et un contrôle similaire ; si votre panneau n'en dispose pas, faites une capture d'écran de la liste des enregistrements.

Résumé

• Déterminez d'abord ce qui est transféré : site web, e-mail, gestion DNS ou enregistrement.
• Sauvegarde, inventaire, préparation du nouvel environnement et tests précèdent le basculement.
• Abaissez le TTL au moins un ancien TTL à l'avance et remettez-le ensuite en place.
• Lors d'un transfert de la gestion DNS, la zone doit être complète chez le nouveau prestataire avant le changement de serveurs de noms ; n'oubliez pas des enregistrements comme celui A du serveur de messagerie.
• Avec DNSSEC : supprimez d'abord l'ancien DS, puis basculez, puis placez le nouveau DS.
• Pendant le basculement, consultez les deux boîtes e-mail et ne résiliez l'ancien service que lorsque tout fonctionne.

Quiz

Exercice

Exercice Z6.3 : Inventaire de transfert. Réalisez un inventaire de transfert de votre propre domaine (ou, si vous n'avez pas de domaine, de sidn.nl, le site du registre du .nl aux Pays-Bas). Recherchez et renseignez : les serveurs de noms, les enregistrements A et AAAA de @ et www, les enregistrements MX, l'enregistrement SPF, l'enregistrement DMARC et l'existence éventuelle d'un enregistrement DS. Le programme compare chaque valeur avec ce que le DNS renvoie actuellement.

Exercice O6.3 : Configurer vous-même dans votre zone d'entraînement. Dans votre zone d'entraînement <code>.dnspractice.eu se trouve un petit site web "existant" : www.<code>.dnspractice.eu pointe vers 192.0.2.10 (A) et 2001:db8::10 (AAAA), avec un TTL de 300. L'e-mail de la zone d'entraînement se trouve sur mail.<code>.dnspractice.eu (192.0.2.25) avec un enregistrement MX (priorité 10). Simulez un transfert de site web :

1. Abaissez le TTL des enregistrements de www.<code>.dnspractice.eu à 60.
2. Faites pointer www.<code>.dnspractice.eu vers le nouveau serveur 198.51.100.10 et supprimez l'enregistrement AAAA : le nouveau serveur ne gère pas l'IPv6.
3. Remettez le TTL de www.<code>.dnspractice.eu à 300.
4. Ne touchez pas aux enregistrements de messagerie.

La zone d'entraînement utilise des TTL courts (entre 30 et 300 secondes), afin que vous n'ayez pas à attendre ; sur votre domaine réel, utilisez par exemple 3600 comme valeur par défaut et 300 pendant le transfert.

Pour aller plus loin

Les étapes de ces articles concernent les panneaux de WebOké ; dans d'autres panneaux, le fonctionnement est comparable.

• Déménager ensemble votre domaine, votre site web et votre messagerie sans interruption : le plan par étapes
• Utiliser vos propres serveurs de noms ou des serveurs de noms externes (comme Cloudflare) pour votre domaine
• Le site web ou l'e-mail ne fonctionne pas après un déménagement ou une modification DNS : vérifiez votre domaine
• Créer et restaurer une sauvegarde de votre DNS
• Recevoir vos e-mails pendant le transfert de votre nom de domaine
• Consulter votre site chez WebOké avant de transférer le nom de domaine
• Guide DirectAdmin 18.7: Mon domaine ne fonctionne pas encore après un transfert ou une modification
• Guide DirectAdmin 18.8: Tester mon site web avant que le domaine soit transféré
• Guide WebOké 5.7: Rétablir le DNS et créer une sauvegarde DNS
• Guide WebOké 5.8: DNSSEC et DANE