Votre DNS chez un autre prestataire, comme Cloudflare

Module 7: Connecter des services externes · Temps de lecture : 9 minutes

Objectif de la leçon : après cette leçon, vous saurez transférer le DNS de votre domaine vers un prestataire DNS externe, quels enregistrements reprendre et comment gérer un proxy.

Notions clés : serveurs de noms externes, reprise de zone, enregistrements à reprendre (A, AAAA, MX, SPF, DKIM, DMARC, sous-domaines, vérifications), proxy (nuage orange et gris), certificat derrière un proxy (Full strict), CNAME flattening

Pourquoi héberger votre DNS ailleurs

Vous pouvez avoir votre site web chez un prestataire, votre messagerie chez un deuxième et votre DNS chez un troisième. Certains choisissent un prestataire DNS séparé par exemple parce qu'ils veulent regrouper tous leurs domaines à un seul endroit, pour des fonctionnalités supplémentaires (comme un proxy qui bloque les attaques) ou parce que leur créateur de site web l'organise ainsi. Cloudflare en est un exemple connu, mais cela fonctionne de la même manière chez tout prestataire DNS externe.

Vous connaissez le principe depuis la leçon 2.1 : celui qui gère les serveurs de noms administre le DNS. Si vous changez les serveurs de noms vers un autre prestataire, les enregistrements chez votre précédent gestionnaire DNS ne comptent plus. Même si votre hébergeur web ou votre fournisseur de messagerie y a encore tout correctement configuré.

L'ordre des opérations : d'abord préparer, puis basculer

1. Faites un relevé de votre zone actuelle. Exportez-la, créez une sauvegarde dans votre panneau ou faites des captures d'écran de tous les enregistrements (leçon 6.3).
2. Préparez tous les enregistrements chez le nouveau prestataire. De nombreux prestataires importent automatiquement vos enregistrements existants. C'est pratique, mais pas complet : ils ne trouvent que les noms qu'ils peuvent deviner. Des enregistrements comme x._domainkey, _dmarc, des enregistrements TXT de vérification sur des sous-domaines ou un autodiscover sont souvent oubliés. Comparez donc avec le relevé de l'étape 1.
3. Réduisez éventuellement le TTL au préalable chez votre prestataire actuel (leçon 6.3).
4. Modifiez les serveurs de noms chez votre bureau d'enregistrement pour y indiquer les serveurs de noms fournis par le nouveau prestataire.
5. Vérifiez après le basculement que le site web, la messagerie et le certificat fonctionnent, et que le nouveau prestataire voit les serveurs de noms comme actifs.

Certains registres, comme DENIC pour .de, vérifient lors d'un changement de serveurs de noms si votre domaine est déjà prêt sur les nouveaux serveurs de noms. Si la zone n'y figure pas encore, ils refusent la modification. Une raison de plus pour tout préparer en premier.

Quels enregistrements doivent être repris ?

Une liste de contrôle pour un domaine avec site web et messagerie. Reprenez les valeurs auprès de votre hébergeur web et de votre fournisseur de messagerie.

Attention aux sous-domaines que vous avez créés dans votre panneau d'hébergement. Dans le DNS de votre hébergeur web, ceux-ci apparaissaient souvent automatiquement dans la zone, ou fonctionnaient via un joker (*). Chez un prestataire externe, vous devez les créer vous-même, ou configurer vous-même un joker (leçon 3.3). Si vous créez plus tard un nouveau sous-domaine dans votre panneau d'hébergement, ajoutez-le aussi chez le prestataire DNS.

Et la clé DKIM de votre hébergeur web : elle se trouve dans la zone chez votre hébergeur web, par exemple sous la forme x._domainkey. Copiez le nom et toute la valeur vers le nouveau prestataire. Une erreur fréquente est que la valeur soit tronquée en cours de route ou que des espaces s'y glissent.

Le proxy : orange ou gris

Cloudflare et les services similaires disposent, en plus du DNS, d'un proxy. Chez Cloudflare, vous le voyez sous la forme d'un petit nuage derrière chaque enregistrement A, AAAA et CNAME :

• Orange (proxied) : le DNS ne renvoie pas l'adresse IP de votre propre serveur, mais une adresse de Cloudflare. Les visiteurs passent d'abord par Cloudflare, qui transmet ensuite la requête à votre serveur. Cela ne fonctionne que pour les sites web (http et https).
• Gris (DNS only) : le DNS renvoie simplement la véritable adresse IP. Cloudflare ne fait alors que du DNS.

Conséquences :

• Le courrier ne passe pas par le proxy. Placez l'enregistrement pour mail et tout ce qu'utilisent votre programme de messagerie ou d'autres serveurs de messagerie en gris. Si mail est en orange, votre MX pointe vers une adresse Cloudflare qui n'accepte pas de courrier.
• FTP, SSH et autre trafic non web ne passent pas non plus par le proxy. Utilisez pour cela un nom avec un nuage gris, ou le nom de serveur de votre hébergeur web.
• Certificats. En orange, un émetteur de certificat comme Let's Encrypt ne voit pas directement votre serveur. La demande automatique de certificat chez votre hébergeur web peut alors échouer. Mettez temporairement le proxy en gris jusqu'à ce que votre hébergeur web ait obtenu le certificat, ou utilisez une méthode qui passe par le DNS.
• Mode SSL. Chez Cloudflare, réglez le mode SSL sur Full (strict) si votre serveur dispose d'un certificat valide. En mode « Flexible », le trafic entre Cloudflare et votre serveur n'est pas chiffré, et ce mode provoque en outre souvent une boucle de redirection infinie sur les sites web qui redirigent déjà eux-mêmes vers https.

CNAME sur le domaine nu ?

Un CNAME classique sur @ n'est pas possible (leçon 3.2). Certains prestataires DNS proposent une solution à cela, sous des noms comme CNAME flattening, ALIAS ou ANAME. Vous indiquez alors un nom pour @, et le prestataire DNS recherche lui-même l'adresse IP correspondante et la renvoie comme enregistrement A ou AAAA. Pour le monde extérieur, il y a donc simplement un enregistrement A.

Pratique lorsqu'une plateforme ne vous donne qu'un nom. Mais ce n'est pas du DNS standard : si vous passez à un prestataire qui ne le propose pas, vous devrez de nouveau créer un enregistrement A avec une adresse IP.

Reconnaître les problèmes

• « J'ai modifié un enregistrement et rien ne se passe. » Regardez quels serveurs de noms votre domaine utilise (leçon 8.2). S'ils sont chez le prestataire externe, modifiez l'enregistrement là-bas.
• Le site web fonctionne, pas la messagerie. Le MX manque-t-il, l'enregistrement A pour mail manque-t-il, ou mail est-il en orange ?
• Le courrier arrive, mais plus souvent dans le spam. Enregistrement DKIM oublié ou tronqué, ou SPF non repris.
• Erreur de certificat ou boucle de redirection. Proxy activé avec le mode SSL Flexible, ou votre hébergeur web n'a pas pu demander de certificat.

En pratique : à quoi cela ressemble dans un panneau

Dans le panneau exemple Mon WebOké, vous voyez en haut de l'onglet DNS quels serveurs de noms votre domaine utilise. Si des serveurs de noms externes y figurent, les modifications dans Mon WebOké ou DirectAdmin n'ont aucun effet. Les valeurs dont vous avez besoin chez le prestataire externe (adresse IP, nom de serveur pour le MX, clé DKIM sous x._domainkey) se trouvent dans l'Administration DNS de DirectAdmin ou dans l'e-mail de bienvenue de votre forfait. Les serveurs de noms se modifient sur la page du domaine, au niveau de la carte Serveurs de noms.

Dans d'autres panneaux, comme cPanel, Plesk ou l'écran DNS de votre bureau d'enregistrement, vous voyez les mêmes enregistrements. Chez le prestataire externe, les boutons portent un nom différent, mais vous remplissez les mêmes champs : nom, type, valeur, TTL, et chez Cloudflare, le mode du proxy.

Résumé

• Celui qui gère les serveurs de noms administre le DNS. Les enregistrements chez votre précédent prestataire ne comptent plus.
• Préparez d'abord tous les enregistrements chez le nouveau prestataire et comparez-les avec un relevé de votre ancienne zone ; changez ensuite les serveurs de noms.
• N'oubliez pas : mail, MX, SPF, DKIM (x._domainkey), DMARC, autodiscover, vérifications et sous-domaines.
• Le courrier et les autres trafics non web ne passent pas par un proxy : réglez ces enregistrements sur « DNS only » (gris).
• Utilisez le mode SSL Full (strict) avec un proxy. Le CNAME flattening ne fonctionne que chez les prestataires qui le proposent.

Quiz

Exercice

Exercice Z7.5 : Reconnaître un DNS externe.

1. Recherchez les serveurs de noms de cloudflare.com. Par quel domaine se terminent-ils ?
2. Recherchez les enregistrements A de cloudflare.com. Notez un enregistrement A. Ce sont des adresses de Cloudflare lui-même : c'est ainsi que fonctionne un proxy.
3. Choisissez un domaine que vous connaissez (votre propre domaine peut convenir). Recherchez les serveurs de noms et indiquez le nom de domaine ainsi que les serveurs de noms. Les noms des serveurs de noms vous indiquent chez quel prestataire le DNS est géré.

La vérification interroge les enregistrements en direct au moment de la remise.

Pour aller plus loin

Ces pages décrivent les étapes dans les panneaux de WebOké (DirectAdmin et Mon WebOké). Dans d'autres panneaux, cela fonctionne de la même manière.

• Utiliser vos propres serveurs de noms ou des serveurs de noms externes (comme Cloudflare) pour votre domaine
• Configurer DKIM lorsque le DNS est géré sur un serveur externe
• Guide DirectAdmin 5.12: Le DNS dans Mon WebOké et chez des serveurs de noms externes comme Cloudflare
• Guide WebOké 5.3: Modifier les serveurs de noms
• Guide DirectAdmin 6.6: Let's Encrypt échoue : causes et solutions