DNSSEC et SERVFAIL : vérifier la chaîne avant de changer de DNS
Un domaine répond chez un résolveur et échoue chez un autre après une migration. Une incohérence DNSSEC est une piste possible. Elle doit être vérifiée, car SERVFAIL peut avoir plusieurs causes.
DNSSEC authentifie les données
DNSSEC permet de vérifier des données DNS à l’aide de signatures et d’une chaîne de confiance. Il ne chiffre pas les recherches ni le contenu du site. Un DNS chiffré et une zone signée répondent à deux besoins différents.
Un résolveur validant peut refuser de transmettre une réponse qu’il juge non valide. Ce refus peut apparaître sous la forme d’une erreur de serveur.
La délégation doit correspondre aux clés
Lors d’un changement de fournisseur, un DS conservé chez le parent peut ne plus correspondre aux clés de la zone. La nouvelle zone peut sembler correcte lorsqu’on la lit isolément tout en échouant à la validation complète.
Vérifiez l’état chez le registrar et le DNS autoritaire. Ne copiez pas un DS depuis un autre domaine ou une ancienne capture.
Comparer pour diagnostiquer
Relevez le nom exact, le type de requête et la réponse de plusieurs services. Une réponse obtenue sans validation peut aider au diagnostic, mais elle ne signifie pas que la chaîne a été réparée.
Notre recherche DNS indique les réponses observées ; elle ne remplace pas une analyse complète des signatures et délégations.
Corriger au bon endroit
Suivez la procédure de migration ou de rotation des fournisseurs. Certaines transitions passent par une désactivation coordonnée puis une réactivation ; d’autres disposent de mécanismes différents. Le choix dépend de l’état réel.
Changer uniquement le DNS du PC peut masquer l’erreur sans la corriger pour les autres visiteurs. Conservez les valeurs initiales et l’heure des opérations pour le support. Ne retirez pas des clés à l’aveugle sur un domaine de production dont vous ne maîtrisez pas la délégation.