La surveillance DNS observe les enregistrements DNS de votre domaine et vous alerte dès que l’un d’eux change. C’est important, car un enregistrement modifié ne provoque pas de panne visible. Si quelqu’un fait pointer votre domaine vers un autre serveur, ou vos enregistrements de messagerie vers un autre fournisseur, tout peut sembler normal alors que le trafic et les e-mails partent ailleurs. La surveillance DNS compare les enregistrements eux-mêmes : elle repère donc des changements que les vérifications de disponibilité peuvent manquer.
Pourquoi les modifications DNS sont dangereuses
Le DNS traduit votre nom de domaine en adresses de vos serveurs web et de messagerie. Qui contrôle ces enregistrements contrôle la destination de vos visiteurs et de vos e-mails. Les modifications ont trois origines :
Les changements prévus : une migration de serveur, un nouveau fournisseur de messagerie, un changement de CDN. Rien d’anormal, mais vous voulez la confirmation qu’ils sont bien en ligne.
Les erreurs : un collègue modifie le mauvais enregistrement, une migration de fournisseur fait disparaître un enregistrement TXT, une modification du TTL a des effets de bord.
Le détournement : quelqu’un accède à votre compte chez le registrar ou le fournisseur DNS, souvent grâce à un mot de passe volé par hameçonnage, et modifie les enregistrements.
En cas de détournement, l’attaquant peut montrer aux visiteurs une copie de votre page de connexion, intercepter les e-mails ou s’émettre des certificats pour votre domaine. La surveillance ne peut pas empêcher quelqu’un de se connecter, mais elle réduit le délai avant que vous ne vous en rendiez compte de plusieurs jours à quelques minutes.
Les enregistrements DNS à surveiller
Chaque type d’enregistrement contrôle quelque chose de différent. Un bon moniteur DNS les couvre tous :
A et AAAA : les adresses IPv4 et IPv6 de votre site. Une modification envoie les visiteurs vers un autre serveur.
CNAME : les alias, souvent utilisés pour www, les CDN et les services tiers. Une modification peut livrer un sous-domaine à quelqu’un d’autre.
MX : l’endroit où les e-mails du domaine sont livrés. Une modification peut rediriger tout le courrier entrant.
NS : les serveurs de noms qui font autorité pour le domaine. Une modification confie le contrôle de tous les autres enregistrements à celui qui gère les nouveaux serveurs de noms. C’est l’alerte la plus critique.
SOA : l’enregistrement start-of-authority de la zone, qui indique le serveur de noms principal et l’adresse de contact de la zone. Une modification peut signifier que la zone a été transférée chez un autre fournisseur.
TXT : les enregistrements SPF, DKIM, DMARC et de vérification de domaine. Leurs modifications déterminent si vos e-mails sont jugés fiables et qui peut prouver la propriété de votre domaine auprès d’autres services.
CAA : les autorités de certification autorisées à émettre des certificats pour votre domaine. Une modification peut ouvrir la porte à des certificats que vous n’avez pas demandés.
Comment fonctionne la surveillance DNS
Vous ajoutez un domaine et choisissez les types d’enregistrements à surveiller.
Le moniteur résout régulièrement les enregistrements et enregistre les valeurs actuelles.
Quand une valeur diffère de la dernière valeur connue, vous recevez une alerte qui montre l’ancien et le nouvel enregistrement.
La modification est conservée dans un historique, pour voir exactement ce qui a changé et quand.
Uptimecheck surveille les enregistrements A, AAAA, CNAME, MX, NS, SOA, TXT et CAA, conserve un historique des modifications et envoie une alerte à chaque changement.
À quoi ressemble un changement normal
Certains enregistrements changent d’eux-mêmes, et mieux vaut savoir lesquels. Le numéro de série du SOA augmente à chaque modification de la zone : c’est pourquoi Uptimecheck ignore ce numéro et ne compare que le serveur de noms et l’adresse de contact de l’enregistrement SOA. Certains fournisseurs DNS font tourner les enregistrements pour la répartition de charge ou le basculement, ce qui peut faire changer régulièrement les enregistrements A. Les CDN peuvent renvoyer des adresses différentes selon l’emplacement.
Avant de vous fier aux alertes, observez vos enregistrements pendant une semaine. Notez ceux qui changent dans le cadre du fonctionnement normal et assurez-vous que l’équipe sait à quoi ressemble un changement attendu. Ensuite, tout changement qui sort de ce schéma mérite un examen attentif.
Surveiller l’authentification des e-mails
Les enregistrements TXT méritent une attention particulière, car ils déterminent si vos e-mails arrivent en boîte de réception :
SPF liste les serveurs autorisés à envoyer des e-mails pour votre domaine. S’il change de façon inattendue, quelqu’un a peut-être ajouté son propre serveur.
DKIM publie la clé publique que les serveurs destinataires utilisent pour vérifier vos signatures.
DMARC indique aux destinataires quoi faire des e-mails qui échouent à ces contrôles.
Un enregistrement cassé ou supprimé peut envoyer vos newsletters, vos factures et vos réinitialisations de mot de passe en spam. Un enregistrement qui ajoute un expéditeur inconnu peut permettre à quelqu’un d’envoyer des e-mails qui semblent venir de vous. Dans les deux cas, cela apparaît comme une modification TXT.
Une alerte de modification vous dit que quelque chose a bougé, pas si le résultat est correct. Pour cela, le moniteur de domaine d’Uptimecheck vérifie SPF, DKIM et DMARC deux fois par jour et explique comment corriger chaque problème, avec un enregistrement DNS prêt à coller quand il suffit à le corriger. Voir la surveillance de l’authentification des e-mails.
Réagir à une alerte de modification DNS
Quand une alerte arrive, traitez-la rapidement :
Était-ce prévu ? Vérifiez auprès de la personne qui gère le DNS. Si oui, confirmez que les nouvelles valeurs sont correctes.
Sinon, comparez les valeurs. La nouvelle adresse IP est-elle la vôtre ? Le nouvel hôte MX appartient-il à votre fournisseur de messagerie ? Les nouveaux serveurs de noms sont-ils ceux de votre fournisseur DNS ?
Sécurisez les comptes. Si le changement ne vient pas de vous, changez les mots de passe du registrar et du fournisseur DNS, vérifiez qui y a accès et activez l’authentification à deux facteurs.
Restaurez les enregistrements à partir de l’historique.
Contactez votre registrar si vous ne parvenez pas à reprendre le contrôle, surtout après une modification NS.
Recherchez les effets de bord : certificats émis pendant la période concernée, e-mails reçus par le mauvais serveur et visiteurs qui ont pu voir une fausse page.
Prévenez vos clients si leurs données ont pu être touchées, et utilisez votre page de statut pour les mises à jour.
Prévenir les détournements DNS
La surveillance détecte. Ces mesures rendent un détournement plus difficile dès le départ :
Activez l’authentification à deux facteurs sur les comptes du registrar et du fournisseur DNS.
Activez le verrouillage de domaine (registrar lock) pour que le domaine ne puisse pas être transféré sans étapes supplémentaires.
Limitez le nombre de personnes ayant accès et réexaminez-le régulièrement.
Utilisez un enregistrement CAA pour limiter les autorités de certification autorisées à émettre des certificats.
Tenez à jour les coordonnées chez le registrar pour que les e-mails de sécurité vous parviennent.
Surveillez aussi l’expiration du domaine. Un domaine expiré est la prise de contrôle la plus facile qui soit. Voir la surveillance de domaine.
Check-list de la surveillance DNS
Listez tous les domaines que vous possédez, y compris les domaines de redirection et de campagne.
Ajoutez des moniteurs DNS pour NS, A, AAAA, CNAME, MX, TXT, SOA et CAA.
Envoyez les alertes DNS vers un canal partagé, lu rapidement.
Convenez que chaque changement prévu est annoncé, pour que les changements imprévus se remarquent.
Sécurisez les comptes du registrar et du fournisseur DNS avec la 2FA et le verrouillage de domaine.
Ajoutez la surveillance de domaine et la surveillance SSL pour les mêmes domaines.
Relisez l’historique des modifications après chaque migration.
En résumé
Les modifications DNS sont silencieuses : pas de page d’erreur, pas de vérification en échec, juste du trafic qui part ailleurs. Surveiller les enregistrements eux-mêmes, avec alertes et historique, rend chaque modification visible en quelques minutes.
La surveillance DNS est incluse dans Uptimecheck, avec la surveillance de disponibilité, SSL, de domaine et des serveurs. Essayez gratuitement pendant 14 jours, sans carte bancaire.