Le stub resolver émet une requête récursive vers son résolveur ; celui-ci procède par requêtes itératives : racine → serveur de TLD → serveur autoritaire de la zone, chaque étape renvoyant une référence (section AUTHORITY, enregistrements NS) jusqu'à la réponse autoritative. Les glue records sont indispensables lorsque le serveur NS est in-bailiwick, sous peine de dépendance circulaire. Le passage en TCP s'impose si le bit TC (troncature) est armé, ainsi que pour les transferts AXFR/IXFR. La synchronisation maître/esclave repose sur les compteurs du SOA (serial, refresh, retry, expire, minimum) et sur le message NOTIFY.
DNS
Base de données distribuée et hiérarchique assurant la correspondance entre noms de domaine et ressources (adresses IP, services), spécifiée par les RFC 1034/1035.
Zone
Portion contiguë de l'espace de noms administrée par une autorité unique, délimitée par les délégations — à ne pas confondre avec le domaine, qui désigne le sous-arbre entier.
Résolveur récursif
Agent qui, pour le compte du stub resolver, parcourt la chaîne de serveurs et ne renvoie que la réponse finale.
Serveur faisant autorité
Serveur détenant les données originales d'une zone et répondant avec le bit AA positionné.
| Élément | Valeur |
|---|---|
| RFC fondatrices | 1034 / 1035 (1987) |
| DNSSEC | RFC 4033-4035 (2005) |
| DoT / DoH | RFC 7858, port 853 / RFC 8484, port 443 |
| Transport, taille | port 53 ; 512 o en UDP, 4096 o avec EDNS0 |
| Serveurs racine | 13 identités A–M, diffusées en anycast |
| Longueurs | label ≤ 63 o, FQDN ≤ 255 o |
Un RR se compose de NAME, TYPE, CLASS (IN), TTL et RDATA. Types usuels : A, AAAA, CNAME (alias, interdit à l'apex et jamais coexistant avec un autre RR), MX (préférence), NS, SOA, PTR (résolution inverse via in-addr.arpa et ip6.arpa), TXT (SPF, DKIM), SRV. DNSSEC ajoute DNSKEY, RRSIG, DS et NSEC/NSEC3 : il garantit l'authentification de l'origine et l'intégrité par une chaîne de confiance ancrée à la racine, sans aucune confidentialité.
A retenir :
- Zone ≠ domaine : la délégation interrompt la zone.
- UDP/53 par défaut ; TCP si TC=1 ou transfert de zone.
- CNAME : ni à l'apex, ni accompagné d'un autre RR.
- TTL négatif = champ MINIMUM du SOA (RFC 2308).
- DNSSEC signe mais ne chiffre pas ; DoT/DoH chiffrent le canal sans authentifier les données.
- NSEC divulgue la zone par énumération ; NSEC3 y remédie par hachage.