Pourquoi PawaDNS est utile

Le DNS est une configuration critique. Lorsqu’il est incomplet ou incohérent, les symptômes sont très variés : site inaccessible, email qui tombe en spam, domaine qui pointe au mauvais serveur, certificat impossible à émettre, migration confuse ou propagation mal comprise.

PawaDNS est conçu comme un outil opérationnel. Il ne se contente pas d’afficher des enregistrements bruts : il cherche à transformer les signaux importants en informations lisibles et en actions vérifiables.

Ce que l’outil vérifie

• A : adresse IPv4 du domaine.
• AAAA : adresse IPv6 du domaine.
• CNAME : alias DNS.
• MX : serveurs de réception email.
• TXT : SPF, vérifications de domaine et autres données texte.
• NS : serveurs de noms autoritaires.
• SOA : informations de zone DNS.
• CAA : autorités de certification autorisées.
• HTTPS : informations modernes de service HTTPS quand présentes.
• _dmarc : politique DMARC du domaine.
• DKIM : test de sélecteurs DKIM courants ou fournis.

DNS web : A, AAAA et CNAME

Pour qu’un domaine pointe vers un site, il a généralement besoin d’un enregistrement A, d’un enregistrement AAAA, d’un CNAME, ou d’une combinaison adaptée à l’hébergeur.

Une erreur fréquente consiste à mettre à jour www mais pas le domaine racine, ou inversement. Une autre erreur fréquente est de laisser une vieille adresse IPv6 active alors que le serveur ne répond plus correctement dessus.

DNS email : MX, SPF, DKIM et DMARC

Les problèmes email viennent souvent d’une configuration DNS incomplète.

MX

Les enregistrements MX indiquent quels serveurs reçoivent les emails pour le domaine.

SPF

SPF indique quels serveurs sont autorisés à envoyer des emails pour le domaine.

v=spf1 include:_spf.example.net -all

Un domaine ne doit normalement pas avoir plusieurs enregistrements SPF séparés. C’est une erreur fréquente lorsqu’on ajoute plusieurs prestataires email.

DKIM

DKIM publie une clé dans le DNS pour permettre la vérification cryptographique des emails signés. Le sélecteur dépend du fournisseur email. C’est pour cela que PawaDNS permet de tester plusieurs sélecteurs.

selector._domainkey.example.com TXT "v=DKIM1; k=rsa; p=..."

DMARC

DMARC définit ce qu’il faut faire lorsqu’un email échoue aux contrôles SPF ou DKIM alignés.

_dmarc.example.com TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

Une politique p=none permet d’observer. quarantine et reject sont plus strictes et doivent être déployées progressivement.

CAA et certificats TLS

L’enregistrement CAA indique quelles autorités de certification sont autorisées à émettre des certificats pour le domaine.

example.com CAA 0 issue "letsencrypt.org"

L’absence de CAA n’est pas toujours une erreur, mais sa présence peut aider à mieux contrôler l’émission de certificats.

TTL et propagation DNS

Le TTL indique combien de temps une réponse DNS peut être mise en cache. Lors d’une migration, il est souvent utile de réduire le TTL avant la bascule, puis de le remonter après stabilisation.

Beaucoup de “problèmes de propagation” sont en réalité des effets normaux de cache DNS.

Fix Cards

La partie la plus utile de PawaDNS est la génération de cartes d’action. Une Fix Card doit répondre à quatre questions :

• Quel est le problème ?
• Pourquoi c’est important ?
• Quelle est la prochaine vérification ?
• Quelle correction de départ peut être envisagée ?

Exemple :

Problem:
```

DMARC record is missing.

Impact:
The domain has weaker protection against email spoofing.

Suggested start:
_dmarc.example.com TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

Priority:
Medium to high if the domain sends email.

Commandes utiles

PawaDNS génère aussi des commandes dig pour reproduire les vérifications en terminal :

dig example.com A
```

dig example.com AAAA
dig example.com MX
dig example.com TXT
dig _dmarc.example.com TXT
dig example.com CAA

Pour comparer les réponses de résolveurs publics :

dig @1.1.1.1 example.com A
```

dig @8.8.8.8 example.com A

Position d’administrateur systèmes

Le DNS doit être traité comme une configuration de production. Un domaine peut sembler fonctionner tout en ayant des signaux faibles : IPv6 cassé, SPF incomplet, DMARC absent, ancien MX, CAA manquant, mauvais TTL ou enregistrement hérité d’un ancien prestataire.

PawaDNS aide à lire ces signaux et à produire des vérifications concrètes. La correction finale dépend toujours du fournisseur DNS, de l’hébergeur, du prestataire email et du contexte de production.

DNS should be treated as production configuration. PawaDNS helps read DNS signals and turn them into practical checks.