DNS : comprendre A, AAAA, CNAME, MX et TXT sans casser son site

💡 En résumé (TL;DR)

• Un enregistrement A pointe un nom vers une IPv4, AAAA vers une IPv6, CNAME vers un autre nom, MX désigne les serveurs de réception d'email et TXT publie notamment des preuves et politiques.
• La propagation n'est pas une opération magique : les résolveurs conservent une réponse pendant sa durée de vie, le TTL. Il faut réduire ce TTL avant une migration, pas après la panne.
• Un CNAME ne doit normalement pas coexister avec d'autres types sur le même nom. Chez certains fournisseurs, l'aplatissement au sommet du domaine masque cette contrainte.
• Les enregistrements de messagerie ne doivent pas être proxyfiés comme du trafic web. Avec Cloudflare, MX et TXT restent DNS-only ; le nom du serveur mail doit également être traité avec prudence.
• Le verdict AngleFormation : exportez la zone, modifiez un groupe cohérent d'enregistrements, vérifiez avec dig ou Resolve-DnsName, puis testez le service réel.

Le DNS est l'annuaire distribué qui relie un nom comme www.exemple.fr à un service. Une erreur de quelques caractères peut rendre le site inaccessible, interrompre la réception des emails ou empêcher le renouvellement d'un certificat.

Ce guide explique les types courants et fournit une procédure de changement réversible pour un site Node.js, un VPS ou une PME.

Résolution DNS : le trajet d'une requête

Lorsque l'utilisateur ouvre un domaine, son appareil interroge généralement un résolveur récursif fourni par le réseau ou choisi manuellement. Celui-ci consulte le cache ou remonte la délégation depuis les serveurs racine, le domaine de premier niveau puis les serveurs autoritaires de la zone.

Trois rôles ne doivent pas être confondus :

• registraire : entreprise auprès de laquelle le domaine est enregistré ;
• serveurs de noms autoritaires : publient la zone DNS ;
• résolveur récursif : cherche et met en cache la réponse pour l'utilisateur.

Changer les DNS dans Windows modifie généralement le résolveur récursif du poste. Cela ne modifie pas la zone autoritaire du domaine.

A et AAAA : pointer vers une adresse IP

@     300 IN A     203.0.113.10
www   300 IN A     203.0.113.10
@     300 IN AAAA  2001:db8::10

• A associe un nom à une IPv4 ;
• AAAA associe un nom à une IPv6 ;
• @ représente souvent le sommet de la zone dans une interface.

Ne publiez pas un AAAA « pour faire moderne » si le serveur, le pare-feu et le reverse proxy ne répondent pas correctement en IPv6. Certains clients essaieront l'IPv6 et constateront une panne intermittente.

CNAME : créer un alias vers un autre nom

app   300 IN CNAME cible.fournisseur.example.

Le résolveur suit la cible et récupère ses adresses. C'est pratique pour un SaaS ou un hébergement qui peut changer d'IP.

Contraintes :

• un CNAME ne doit pas partager le même nom avec un A, AAAA, MX ou TXT ;
• la cible doit elle-même résoudre ;
• une chaîne trop longue augmente les requêtes et les risques ;
• le sommet du domaine possède déjà SOA et NS, donc un CNAME classique y est problématique.

Certains fournisseurs proposent un CNAME flattening ou un type équivalent au sommet. Il s'agit d'une fonction du fournisseur, pas d'un nouveau type DNS universel.

MX : recevoir les emails

@   3600 IN MX 10 mx1.fournisseur.example.
@   3600 IN MX 20 mx2.fournisseur.example.

Le nombre est la priorité : la plus petite valeur est préférée. La cible doit être un nom d'hôte, pas directement une adresse IP.

La réception ne suffit pas à assurer la réputation. Ajoutez les politiques fournies par le prestataire :

• SPF sous forme de TXT ;
• DKIM sous le sélecteur communiqué ;
• DMARC sous _dmarc.

Ne recopiez pas une politique SPF ou DMARC d'un autre domaine. Une règle incorrecte peut autoriser le mauvais expéditeur ou rejeter les emails légitimes.

TXT : vérification et politiques

@          3600 IN TXT "v=spf1 include:_spf.example.net -all"
_dmarc     3600 IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.fr"
selector._domainkey 3600 IN TXT "v=DKIM1; k=rsa; p=..."

TXT sert également à prouver la propriété d'un domaine pour Google, Microsoft, un certificat ou un service SaaS. Supprimez les anciennes preuves seulement après avoir confirmé qu'aucun service ne les utilise.

Un domaine ne doit normalement avoir qu'un enregistrement SPF logique. Fusionnez les mécanismes selon la documentation du fournisseur au lieu d'empiler plusieurs valeurs commençant par v=spf1.

TTL et propagation

Le TTL, exprimé en secondes, indique combien de temps une réponse peut être mise en cache. Si un A possède un TTL de 3600, un résolveur qui vient de le demander peut conserver l'ancienne IP pendant environ une heure.

Procédure de migration

1. 24 à 48 heures avant, réduire le TTL des enregistrements concernés ;
2. attendre que l'ancien TTL se soit écoulé ;
3. effectuer la modification ;
4. vérifier les serveurs autoritaires ;
5. tester depuis plusieurs réseaux et résolveurs ;
6. surveiller l'ancien et le nouveau serveur ;
7. remonter le TTL après stabilisation.

Un TTL très court permanent augmente les requêtes et ne corrige pas une mauvaise configuration.

Auditer une zone avant changement

Exportez la zone si le fournisseur le permet, puis créez un tableau :

Prenez une capture ou un export avant la première modification. Notez aussi les serveurs de noms actuels chez le registraire.

Vérifier avec Linux, macOS et Windows

Avec dig

dig A angleformation.com
dig AAAA angleformation.com
dig CNAME www.angleformation.com
dig MX angleformation.com
dig TXT angleformation.com
dig TXT _dmarc.angleformation.com
dig +trace angleformation.com

Avec PowerShell

Resolve-DnsName angleformation.com -Type A
Resolve-DnsName angleformation.com -Type AAAA
Resolve-DnsName angleformation.com -Type MX
Resolve-DnsName angleformation.com -Type TXT

Interrogez un serveur autoritaire pour distinguer la zone publiée du cache d'un résolveur. Puis testez le service :

curl -I https://www.angleformation.com/
openssl s_client -connect www.angleformation.com:443 -servername www.angleformation.com

Une bonne réponse DNS ne garantit pas un certificat valide ni une application disponible.

Cloudflare : proxy ou DNS-only ?

Cloudflare peut proxyfier les enregistrements A, AAAA et CNAME destinés au web. Dans ce mode, le visiteur reçoit des adresses Cloudflare et le trafic HTTP/HTTPS passe par son réseau.

Les types MX et TXT restent DNS-only. Pour un serveur de messagerie, le nom pointé par MX doit également exposer la bonne adresse sans proxy HTTP, sinon SMTP ne rejoint pas le serveur attendu.

Lors d'un diagnostic, notez l'état du proxy. Une IP différente n'est pas forcément une erreur lorsque le proxy est activé.

Changer le résolveur DNS sous Windows 11

Changer le résolveur peut aider à diagnostiquer un cache ou utiliser une politique de filtrage. Cela ne rend pas automatiquement Internet plus rapide et transfère les requêtes DNS au fournisseur choisi.

Dans Windows 11, utilisez les paramètres réseau de la connexion, modifiez l'attribution DNS et saisissez les adresses IPv4 ou IPv6 du fournisseur. Si DNS-over-HTTPS est proposé, vérifiez sa compatibilité.

Avant de modifier :

• notez la configuration automatique actuelle ;
• vérifiez si le PC appartient à une entreprise ;
• ne contournez pas un DNS interne nécessaire aux applications ;
• rétablissez DHCP si la résolution locale échoue.

Videz ensuite le cache uniquement si nécessaire :

ipconfig /flushdns

Erreurs fréquentes

1. modifier les serveurs de noms au lieu d'un enregistrement ;
2. supprimer les MX pendant une migration web ;
3. créer un CNAME au même nom qu'un TXT de validation ;
4. publier une IPv6 non fonctionnelle ;
5. croire que « propagé chez moi » signifie propagé partout ;
6. changer DNS et serveur en même temps sans rollback ;
7. proxyfier un nom dédié à la messagerie ;
8. oublier le certificat du nouveau serveur ;
9. laisser l'ancien hébergement hors ligne avant expiration des caches ;
10. rediriger un domaine au niveau HTTP en pensant que DNS redirige une URL.

Le DNS choisit un service ; la redirection d'une URL est une réponse HTTP de l'application ou du proxy.

FAQ

Conclusion

Une zone DNS fiable est documentée, testée et modifiée progressivement. Comprendre A, AAAA, CNAME, MX et TXT permet de séparer le site, la messagerie et les preuves de domaine, puis d'éviter qu'une migration web n'interrompe un service invisible.

Sources officielles consultées le 21 août 2026

• Cloudflare — DNS record types
• Cloudflare — créer et gérer des enregistrements
• Cloudflare — enregistrements de messagerie
• Cloudflare — statut proxy