Changer de serveurs de noms sans interruption : la checklist

Vous pouvez changer de serveurs de noms sans interruption si le nouveau fournisseur DNS dispose déjà d’une copie complète de vos enregistrements DNS avant la bascule. Pendant la transition, certains résolveurs interrogent encore les anciens serveurs de noms et d’autres les nouveaux, les deux doivent donc donner les mêmes réponses. La checklist ci-dessous détaille ce qu’il faut copier, ce qu’il faut vérifier et comment contrôler le résultat, avec une attention particulière pour les e-mails.

À quoi servent les serveurs de noms

Quand quelqu’un saisit votre domaine dans un navigateur, son résolveur doit trouver l’adresse IP correspondante. Il demande au registre de votre domaine de premier niveau (par exemple .com ou .fr) quels serveurs sont responsables de votre domaine. Ce sont vos serveurs de noms. Le résolveur leur demande ensuite les enregistrements proprement dits : où se trouve le site web, où vont les e-mails, etc.

Il y a donc deux niveaux, et il est utile de bien les distinguer :

Changer de serveurs de noms déplace toute la zone vers un autre fournisseur en une seule étape. Modifier un enregistrement ne change qu’une entrée à l’intérieur de la zone. Pour un rappel sur le fonctionnement général des requêtes DNS, l’entrée du glossaire MDN consacrée au DNS est une bonne introduction courte.

Ce qui se passe lors du changement

Vous mettez à jour les serveurs de noms chez votre registrar. Celui-ci transmet la modification au registre, ce qui prend généralement quelques minutes. Ensuite, les résolveurs du monde entier récupèrent la nouvelle délégation à mesure que leur copie en cache expire.

Cette mise en cache est contrôlée par le TTL (time to live), une valeur en secondes qui indique aux résolveurs combien de temps ils peuvent conserver une réponse, comme le définit la RFC 1034 (en anglais). Le TTL de la délégation elle-même est fixé par le registre, pas par vous, et atteint souvent un ou deux jours. C’est pourquoi les fournisseurs indiquent couramment qu’un changement de serveurs de noms peut prendre jusqu’à 48 heures pour atteindre tout le monde, même si beaucoup de visiteurs le voient bien plus tôt.

Pendant cette période, les deux jeux de serveurs de noms reçoivent des requêtes. Rien ne casse tant qu’ils répondent de la même façon. L’interruption survient quand il manque quelque chose dans la nouvelle zone, par exemple un enregistrement MX, et que les visiteurs ou les serveurs de messagerie qui utilisent déjà les nouveaux serveurs de noms n’obtiennent aucune réponse.

Avant la bascule : la checklist

1. Récupérez une copie complète de votre zone actuelle

Connectez-vous chez votre fournisseur DNS actuel et exportez le fichier de zone s’il le permet. Sinon, recopiez chaque enregistrement à la main : type, nom, valeur, priorité et TTL. Ne vous fiez ni à votre mémoire ni aux seuls besoins du site web. Les sous-domaines oubliés (un site de préproduction, un portail client, une entrée autodiscover pour la messagerie) sont la cause de problèmes la plus fréquente.

2. Vérifiez deux fois les enregistrements de messagerie

La messagerie est la partie qui tombe en panne sans bruit, alors cherchez tous ces éléments :

• les enregistrements MX, avec leurs priorités
• SPF : un enregistrement TXT sur le domaine racine qui commence par v=spf1
• DKIM : des enregistrements TXT ou CNAME sous <selector>._domainkey
• DMARC : un enregistrement TXT sur _dmarc
• les enregistrements CNAME ou SRV autodiscover/autoconfig utilisés par les clients de messagerie

DKIM est facile à oublier, car on ne peut pas lister les sélecteurs depuis l’extérieur. Consultez le panneau d’administration de votre fournisseur de messagerie, ou ouvrez un message que vous avez envoyé et cherchez s= dans l’en-tête DKIM-Signature. Cette valeur est le sélecteur.

3. Rassemblez les enregistrements de vérification

Les enregistrements TXT pour Google Search Console, Microsoft 365, les prestataires de paiement, la validation SSL et d’autres services similaires se trouvent souvent sur le domaine racine ou sur des sous-domaines particuliers. S’ils disparaissent, ces services peuvent cesser de fonctionner ou vous demander une nouvelle vérification.

4. Vérifiez DNSSEC

Si DNSSEC est actif, votre registrar détient un enregistrement DS qui correspond aux clés de l’ancien fournisseur. Changer de serveurs de noms sans s’en occuper conduit les résolveurs qui valident DNSSEC à rejeter entièrement votre domaine. La voie la plus simple et la plus sûre consiste à supprimer d’abord l’enregistrement DS chez le registrar, à attendre qu’il expire, puis seulement à basculer. La présentation de DNSSEC par l’ICANN (en anglais) explique le fonctionnement de la chaîne de confiance.

5. Recréez la zone chez le nouveau fournisseur

Ajoutez chaque enregistrement dans la zone du nouveau fournisseur avant de toucher aux serveurs de noms. Comparez l’ancienne et la nouvelle zone ligne par ligne.

6. Choisissez un moment calme

Choisissez un créneau à faible trafic, où vous pourrez contrôler le résultat pendant une heure ou deux. Évitez le vendredi soir et les jours où une campagne est envoyée.

Effectuer la bascule

1. Ouvrez les paramètres du domaine chez votre registrar (pas chez votre hébergeur web, sauf s’il s’agit de la même société).
2. Trouvez la section des serveurs de noms et choisissez des serveurs de noms personnalisés.
3. Remplacez les entrées existantes par celles que vous fournit votre nouveau fournisseur. Supprimez toutes les anciennes ; mélanger anciens et nouveaux serveurs de noms produit des réponses incohérentes.
4. Enregistrez. Certains registrars demandent une confirmation par e-mail.
5. Gardez votre ancien service DNS actif pendant au moins quelques jours. Les résolveurs qui utilisent encore l’ancienne délégation en ont besoin pour obtenir des réponses jusqu’à l’expiration de leur cache.

Après la bascule : vérifiez

Contrôlez ce que le monde voit de votre délégation :

dig NS example.com +short

Interrogez directement les nouveaux serveurs de noms, pour que la réponse ne dépende pas du cache :

dig MX example.com @ns1.new-provider.example +short
dig TXT example.com @ns1.new-provider.example +short
dig A www.example.com @ns1.new-provider.example +short

Comparez chaque résultat avec votre export. Passez ensuite aux tests pratiques : chargez le site web, envoyez un e-mail vers le domaine depuis une adresse externe, envoyez-en un depuis le domaine en vérifiant qu’il n’arrive pas en spam, et connectez-vous à chaque service qui dépend d’un enregistrement TXT ou CNAME.

Si quelque chose tourne mal

• Site injoignable pour une partie des visiteurs : comparez les enregistrements A et AAAA dans les deux zones. Un enregistrement AAAA manquant passe facilement inaperçu.
• E-mails rejetés ou perdus : vérifiez d’abord les MX, puis SPF, DKIM et DMARC par rapport à l’export.
• Le domaine ne se résout plus du tout : vérifiez DNSSEC. Un enregistrement DS resté en place est le suspect habituel.
• Besoin de revenir en arrière : remettez les anciens serveurs de noms chez le registrar. C’est pour cela que vous gardez l’ancien service actif ; le retour arrière se propage de la même manière que le changement.

L’article d’assistance sur les problèmes DNS détaille d’autres cas.

Comment fast.site vous aide

L’intégration à fast.site passe par un changement de serveurs de noms, cette checklist s’applique donc directement. Vous ajoutez votre domaine dans le tableau de bord, vous indiquez chez votre registrar les serveurs de noms affichés, puis vous vérifiez. fast.site contrôle ensuite automatiquement la propagation en arrière-plan, sans que vous ayez à relancer des requêtes vous-même.

Après la bascule, fast.site gère le DNS du domaine et prend en charge les enregistrements A, AAAA, CNAME, MX, TXT et SRV. Vos enregistrements existants, y compris les MX et les enregistrements d’authentification de messagerie, doivent donc figurer dans la zone DNS de fast.site. Comparez-les avec votre export avant de modifier quoi que ce soit chez le registrar. La documentation DNS et le guide de démarrage décrivent les étapes.

Votre site reste chez votre hébergeur actuel. fast.site se place devant lui comme décrit dans qu’est-ce qu’un CDN, met en cache les pages publiques en edge et ajoute une détection DDoS automatique de couche 7, ce qui compte aussi si vous changez à cause d’une attaque (voir que faire pendant une attaque DDoS). Les certificats SSL sont émis et renouvelés automatiquement.

Une fois le domaine actif, mesurez votre site avant et après. Un essai gratuit de 7 jours ne démarre qu’une fois le DNS, le SSL et l’activation du domaine prêts.

Questions fréquentes

Combien de temps prend un changement de serveurs de noms ?

Le registre le traite généralement en quelques minutes. Les résolveurs le prennent ensuite en compte à mesure que leur délégation en cache expire, ce qui peut prendre jusqu’à 48 heures. Beaucoup de visiteurs voient les nouveaux serveurs de noms bien plus tôt.

Mes e-mails vont-ils cesser de fonctionner si je change de serveurs de noms ?

Non, si la nouvelle zone contient les mêmes enregistrements MX, SPF, DKIM et DMARC que l’ancienne. Les serveurs de messagerie consultent les enregistrements MX comme n’importe quel résolveur. S’ils manquent dans la nouvelle zone, le courrier entrant peut être rejeté ou retardé.

Changer de serveurs de noms, est-ce la même chose que transférer un domaine ?

Non. Un transfert de domaine déplace l’enregistrement vers un autre registrar. Un changement de serveurs de noms modifie seulement qui répond aux requêtes DNS. Le domaine reste chez votre registrar, et vous pouvez changer de serveurs de noms à tout moment sans transfert.

Faut-il baisser le TTL avant de changer de serveurs de noms ?

Cela aide pour les enregistrements que vous comptez modifier, car les résolveurs les rafraîchissent plus tôt. Cela n’accélère pas la délégation elle-même, puisque son TTL est fixé par le registre. Si les deux zones répondent à l’identique, le TTL ne provoque pas d’interruption.

Peut-on revenir aux anciens serveurs de noms en cas de problème ?

Oui. Remettez les anciens serveurs de noms chez votre registrar et le changement se propage de la même façon. Cela ne se passe bien que si votre ancien service DNS contient toujours la zone, ne le résiliez donc pas juste après la bascule.