Reverse DNS (PTR) : du numéro au nom

Module 4: Enregistrements pour l'e-mail · Temps de lecture : 6 minutes

Objectif d'apprentissage : après cette leçon, vous pourrez expliquer ce qu'est le reverse DNS, qui le configure et pourquoi les serveurs de messagerie destinataires y sont attentifs.

Notions clés : reverse DNS, enregistrement PTR, in-addr.arpa, ip6.arpa, gestion par le propriétaire de l'adresse IP, forward-confirmed reverse DNS (FCrDNS), nom HELO/EHLO

Dans l'autre sens

Jusqu'ici, tout allait du nom vers le numéro : mail.example.com possède l'enregistrement A 192.0.2.25. Le reverse DNS va dans l'autre sens : l'adresse IP 192.0.2.25 correspond au nom mail.example.com. Cela figure dans un enregistrement PTR (pointer).

Pour un site web classique, vous n'avez pas besoin de reverse DNS. Pour un serveur de messagerie, si : presque tous les serveurs de messagerie destinataires vérifient, lors d'une connexion entrante, quel nom correspond à l'adresse IP de l'expéditeur. Un serveur sans reverse DNS, ou avec un nom générique comme 192-0-2-25.dynamic.provider.example, ressemble à un ordinateur personnel piraté qui envoie du spam. Depuis février 2024, Gmail exige de tous les expéditeurs que l'adresse IP possède un reverse DNS valide qui renvoie également vers elle.

À quoi cela ressemble-t-il ?

Le reverse DNS utilise une partie spéciale de l'arborescence DNS. Pour l'IPv4, il s'agit de in-addr.arpa, et l'adresse IP y figure à l'envers :

192.0.2.25  →  25.2.0.192.in-addr.arpa.

25.2.0.192.in-addr.arpa.  3600  IN  PTR  mail.example.com.

Pourquoi à l'envers ? Un nom DNS devient plus spécifique de droite à gauche (leçon 1.2), alors qu'une adresse IP se lit de gauche à droite. En inversant l'ordre, le bloc 192.0.2 peut être délégué en tant que zone unique au propriétaire de ce bloc.

Pour l'IPv6, l'adresse figure sous ip6.arpa, également à l'envers, mais par chiffre hexadécimal (nibble), avec tous les zéros écrits en entier. Pour 2001:db8::25, cela donne un nom long se terminant par ...8.b.d.0.1.0.0.2.ip6.arpa. Vous n'avez jamais besoin de le taper vous-même : les panneaux de gestion et les outils s'en chargent.

Qui le configure ?

C'est ici que réside la grande différence avec tous les autres enregistrements. Un enregistrement PTR ne se trouve pas dans la zone de votre domaine, mais dans la zone reverse de l'adresse IP. Et celle-ci appartient à celui qui gère l'adresse IP : votre hébergeur, votre fournisseur de VPS ou votre fournisseur d'accès à internet.

Cela signifie que :

• Vous ne pouvez pas placer un enregistrement PTR dans la gestion DNS de votre domaine. Un enregistrement de type PTR dans votre zone habituelle n'a aucun effet.
• Si vous louez un VPS ou un serveur, vous trouvez généralement dans le panneau de votre fournisseur un champ « Reverse DNS » ou « rDNS », ou vous le demandez via le support.
• Si vous utilisez un forfait d'hébergement ou un fournisseur de messagerie comme Microsoft 365 ou Google Workspace, c'est ce prestataire qui gère le reverse DNS de ses propres serveurs de messagerie. Vous n'avez rien à faire pour cela.
• Si vous disposez d'un serveur de messagerie à domicile ou au bureau sur une connexion internet, c'est votre fournisseur d'accès à internet qui détermine le reverse DNS. Beaucoup de fournisseurs ne l'autorisent pas pour les connexions grand public.

L'aller et le retour doivent correspondre

Les destinataires ne vérifient pas seulement s'il existe un PTR, mais aussi s'il correspond en retour :

1. L'adresse IP 192.0.2.25 possède le PTR mail.example.com.
2. Le nom mail.example.com possède l'enregistrement A 192.0.2.25.

Si les deux correspondent, on parle de forward-confirmed reverse DNS (FCrDNS). De plus, le nom avec lequel le serveur de messagerie se présente (le nom HELO ou EHLO) doit être identique, ou du moins être un nom qui existe également.

Il en va de même pour l'IPv6. Si votre serveur envoie également des messages via IPv6, l'adresse IPv6 a besoin de son propre PTR et d'un enregistrement AAAA. Un PTR IPv6 oublié est une cause connue de mails refusés par Gmail, alors que tout fonctionne correctement via IPv4.

Vérifier

Avec une fenêtre de commande (leçon 8.2) :

dig -x 192.0.2.25 +short
nslookup 192.0.2.25

En ligne, la plupart des outils DNS permettent d'effectuer une « reverse lookup » ou « PTR lookup » sur une adresse IP.

En pratique : à quoi cela ressemble-t-il dans un panneau

Dans cet exemple, nous utilisons l'écran VPS de Mon WebOké : un onglet y est dédié au reverse DNS. Si le domaine se trouve dans le même DNS, le panneau crée l'enregistrement A et AAAA ainsi que le PTR en une seule fois. Si le domaine se trouve ailleurs, vous créez d'abord l'enregistrement A et AAAA chez votre gestionnaire DNS, puis vous demandez ensuite le reverse DNS.

Chez d'autres fournisseurs de VPS et de serveurs, le champ s'appelle « Reverse DNS », « rDNS » ou « PTR » et se trouve généralement à côté de l'adresse IP du serveur. Le principe est le même : le fournisseur crée l'enregistrement, vous choisissez le nom.

Résumé

• Un enregistrement PTR relie une adresse IP à un nom (in-addr.arpa pour l'IPv4, ip6.arpa pour l'IPv6).
• C'est le gestionnaire de l'adresse IP qui le configure, pas le gestionnaire de votre domaine.
• Les serveurs de messagerie destinataires s'attendent à ce que le reverse et le forward DNS correspondent (FCrDNS), aussi bien pour l'IPv4 que pour l'IPv6.
• Pour les sites web et pour le courrier électronique via un hébergeur ou un fournisseur de messagerie, vous n'avez rien à faire vous-même.

Quiz

Exercice

Exercice Z4.6 : rechercher le reverse DNS. Recherchez les enregistrements MX de wikipedia.org et choisissez un serveur de messagerie. Recherchez l'adresse IPv4 de ce serveur de messagerie, puis le reverse DNS (PTR) de cette adresse. Indiquez l'adresse IP et le nom trouvé. Bonus : vérifiez si le nom pointe à nouveau vers la même adresse IP. (Ce n'est pas un exercice de configuration : vous ne pouvez pas configurer vous-même le reverse DNS dans une zone d'entraînement, et c'est précisément la leçon à retenir.)

Pour aller plus loin

Les étapes décrites dans cet article s'appliquent aux panneaux de WebOké ; chez d'autres fournisseurs, le fonctionnement est similaire.

• Envoyer des e-mails depuis votre VPS et configurer le reverse DNS
• Guide DirectAdmin 18.10: Je n'arrive pas à envoyer d'e-mails
• RFC 1035 paragraphe 3.5 (in-addr.arpa), RFC 3596 (ip6.arpa), directives pour les expéditeurs de Google (février 2024)