Liste de contrôle pour votre propre domaine

Module 8: Sécurité et résolution de problèmes · Temps de lecture : 10 minutes

Objectif pédagogique : après cette leçon, vous contrôlerez votre propre domaine de haut en bas avec une liste de contrôle fixe, et vous saurez par quel point commencer si le site web ou le courrier ne fonctionne pas.

Notions clés : enregistrement, serveurs de noms, A/AAAA, www, certificat, MX, SPF, DKIM, DMARC, CAA, DNSSEC, TTL, sauvegarde

Pourquoi de haut en bas ?

Le DNS est une chaîne : sans enregistrement, pas de serveurs de noms ; sans serveurs de noms fonctionnels, pas d'enregistrements ; sans enregistrement A, pas de site web. Une erreur en haut de la chaîne provoque toutes sortes de plaintes en bas. C'est pourquoi vous parcourez toujours la liste dans cet ordre et vous vous arrêtez au premier point qui ne correspond pas. Résolvez d'abord ce problème, puis recommencez depuis le haut.

Dans la liste figure example.com : remplacez-le par votre propre domaine. À chaque point figure une commande dig ; un dig en ligne (leçon 8.3) convient également. Un contrôle de santé de domaine, comme celui de votre hébergeur ou l'outil gratuit Santé du domaine, effectue une grande partie de cette liste en une seule fois, mais il est utile de savoir ce qui se cache derrière.

Partie A : les fondations

1. Le domaine est-il enregistré et actif ?

• Comment : une recherche whois ou RDAP (par exemple via le site du registre, comme sidn.nl pour .nl), ou whois example.com.
• Bon signe : statut actif (pour .nl : « active »), pas « en quarantaine », pas expiré. Le titulaire du domaine est correct.

2. Quels serveurs de noms le domaine a-t-il, et y en a-t-il au moins deux ?

• Comment : dig +short NS example.com, et pour ce que le registre transmet, dig +trace example.com.
• Bon signe : au moins deux serveurs de noms, de l'organisme où vous gérez votre DNS.

3. Tous les serveurs de noms répondent-ils, et donnent-ils la même réponse ?

• Comment : dig +short SOA example.com @<nameserver> pour chaque serveur de noms.
• Bon signe : chaque serveur de noms répond (pas de délai dépassé, pas de REFUSED) et le numéro de série (troisième champ du SOA) est identique partout. Un serveur de noms qui ne répond pas pour votre domaine s'appelle lame.

4. DNSSEC est-il correct (s'il est activé) ?

• Comment : dig +short DS example.com et dig example.com A @1.1.1.1 (vérifiez le statut et le drapeau ad) ; en cas de doute, DNSViz.
• Bon signe : soit aucun DS (DNSSEC désactivé, cela fonctionne tout simplement), soit un DS avec statut NOERROR et le drapeau ad. Mauvais signe : SERVFAIL.

Partie B : le site web

5. Le nom de domaine pointe-t-il vers le bon serveur ?

• Comment : dig +short A example.com et dig +short AAAA example.com.
• Bon signe : l'adresse IPv4 (et, si vous en avez une, l'adresse IPv6) du serveur où se trouve votre site web. Pas d'ancien AAAA d'un serveur précédent.

6. Le www fonctionne-t-il ?

• Comment : dig +short A www.example.com (ou CNAME).
• Bon signe : un enregistrement A, un enregistrement AAAA ou un CNAME qui mène au même site. Si www est absent, les personnes qui tapent www reçoivent un message d'erreur.

7. Le site dispose-t-il d'un certificat valide pour les deux noms ?

• Comment : ouvrez https://example.com et https://www.example.com et cliquez sur le cadenas, ou utilisez le test de site web d'internet.nl.
• Bon signe : aucun avertissement, le certificat est encore valide pendant au moins quelques semaines et couvre les deux noms.

8. Votre autorité de certification est-elle autorisée à créer des certificats (CAA) ?

• Comment : dig +short CAA example.com.
• Bon signe : aucun enregistrement CAA (tout le monde est autorisé), ou un enregistrement CAA avec issue pour l'organisme qui délivre votre certificat. Mauvais signe : un CAA qui ne mentionne pas votre autorité de certification.

Partie C : le courrier électronique

9. Où votre courrier arrive-t-il ?

• Comment : dig +short MX example.com, puis dig +short A <mailserver> pour le premier nom.
• Bon signe : les enregistrements MX de votre fournisseur de messagerie actuel, et pas de MX résiduel d'un ancien fournisseur. Chaque nom de serveur de messagerie possède un enregistrement A ou AAAA. Si vous n'utilisez pas le domaine pour le courrier, un MX null (0 .) peut indiquer clairement qu'aucun courrier n'arrive.

10. Y a-t-il exactement un enregistrement SPF correct ?

• Comment : dig +short TXT example.com et regardez les lignes qui commencent par v=spf1 ; un contrôle e-mail compte les recherches.
• Bon signe : exactement un enregistrement SPF, avec tous les services qui envoient du courrier au nom de votre domaine, se terminant par ~all ou -all (jamais +all), et pas plus de dix recherches DNS.

11. DKIM est-il configuré pour chaque service qui envoie du courrier ?

• Comment : dig +short TXT <selector>._domainkey.example.com (ou CNAME) pour chaque sélecteur que vous connaissez, comme celui de votre fournisseur de messagerie et de votre service de newsletter. Vous trouverez le sélecteur dans les instructions du service ou dans l'en-tête DKIM-Signature: ... s=<selector> d'un courrier envoyé.
• Bon signe : chaque enregistrement fournit une clé (v=DKIM1; ... p=...) ou un CNAME vers le service, et un courrier de test affiche DKIM PASS.

12. Y a-t-il un enregistrement DMARC ?

• Comment : dig +short TXT _dmarc.example.com.
• Bon signe : exactement un enregistrement qui commence par v=DMARC1 et qui a une politique valide (p=none, p=quarantine ou p=reject). Si vous avez commencé par p=none, planifiez son renforcement.

13. Un courrier réel arrive-t-il correctement ?

• Comment : envoyez un courrier à mail-tester.com ou à une adresse Gmail et consultez « Afficher l'original ».
• Bon signe : SPF, DKIM et DMARC en PASS.

Partie D : maintenance

14. Les TTL sont-ils judicieux ?

• Comment : dig example.com A @<votre serveur de noms> et regardez le TTL.
• Bon signe : normalement entre 3600 et 86400 (une heure à un jour). Seulement temporairement 300 autour d'un changement planifié. Oublier de le remettre en place après un transfert n'est pas grave, mais cela génère un trafic inutile.

15. Avez-vous une sauvegarde de votre zone ?

• Comment : le bouton de sauvegarde ou d'exportation de votre panneau DNS, ou dig par enregistrement si vous n'en avez pas.
• Bon signe : une copie récente de tous les enregistrements, conservée en dehors du panneau.

16. N'y a-t-il pas d'enregistrements oubliés ?

• Comment : parcourez tous les enregistrements de votre panneau.
• Bon signe : aucun enregistrement de vérification ou sous-domaine de services que vous n'utilisez plus. Un CNAME vers un service résilié peut être « récupéré » par quelqu'un d'autre (subdomain takeover) : supprimez-le.

Par où commencer en cas de plainte ?

En pratique : à quoi cela ressemble dans un panneau

Un contrôle de santé de domaine effectue automatiquement une grande partie de cette liste. Dans Mon WebOké, il se trouve sur la page du domaine sous forme de carte Domaine / Santé e-mail, avec du vert, de l'orange et du rouge pour chaque point ; la version publique fonctionne pour tout domaine. D'autres hébergeurs, registrars et fournisseurs DNS proposent des contrôles similaires, et internet.nl teste indépendamment une grande partie des parties B et C. Utilisez un tel contrôle comme point de départ et cette liste pour comprendre ce qui est en rouge.

Résumé

• Parcourez la liste de haut en bas et arrêtez-vous au premier point qui ne correspond pas.
• Fondations : enregistrement, serveurs de noms, réponses identiques, DNSSEC.
• Site web : A/AAAA, www, certificat, CAA.
• Courrier : MX avec adresse, un SPF, DKIM par service, un DMARC, courrier de test.
• Maintenance : TTL, sauvegarde, nettoyage.

Quiz

Exercice

Exercice Z8.5 : Exercice final : votre propre domaine. Contrôlez votre propre domaine avec cette liste de contrôle. Saisissez votre nom de domaine dans l'environnement du cours et répondez pour chaque point des parties A, B et C à ce que vous avez trouvé (par exemple vos serveurs de noms, votre MX, votre enregistrement SPF et votre politique DMARC). Le programme effectue les mêmes contrôles et compare. Si quelque chose ne va pas dans votre domaine, vous recevrez une explication avec un renvoi vers la leçon. Si vous n'avez pas de domaine propre, utilisez sidn.nl.

Pour aller plus loin

Ces articles décrivent les contrôles chez WebOké ; la liste de contrôle fonctionne pour tout domaine.

• Guide WebOké 5.17: Santé du domaine et de l'e-mail : vérifier et corriger
• Le site web ou l'e-mail ne fonctionne pas après un déménagement ou une modification DNS : vérifiez votre domaine
• Guide WebOké 5.7: Rétablir le DNS et créer une sauvegarde DNS
• Créer et restaurer une sauvegarde de votre DNS
• Outil gratuit Santé du domaine : https://www.weboke.lu/sante-du-domaine
• Vérification e-mail gratuite : https://www.weboke.lu/verification-e-mail