# Noms de domaines et DNS

Ce cours est distribué gratuitement sous licence [CC BY-NC-SA 4.0](https://creativecommons.org/licenses/by-nc-sa/4.0/deed.fr) par Thibaud FRICHET - [formation.tfrichet.fr](https://formation.tfrichet.fr/)

**Prérequis :**

- Fondamentaux réseaux : adressage IP, ports, etc.

# Noms de domaine

### Introduction

Un nom de domaine est une adresse lisible par l'humain, traduisant une adresse IP.  
Quelques exemples : `tfrichet.fr`, `formation.tfrichet.fr`, etc.

[![image.png](https://formation.tfrichet.fr/uploads/images/gallery/2025-10/scaled-1680-/alxDK4ZDKZmPrU8z-image.png)](https://formation.tfrichet.fr/uploads/images/gallery/2025-10/alxDK4ZDKZmPrU8z-image.png)

### ccTLD et gTLD

#### ccTLD : extensions de pays

Les `country-code Top-Level Domain` ou `ccTLD` sont gérés par des registres nationaux (par exemple l'Afnic pour la France) et sont toujours composés de **2 lettres.**

**Quelques exemples :** `.fr` (France), `.us` (États-Unis), `.de` (Allemagne)  
Voir la liste complète sur : [https://fr.wikipedia.org/wiki/ISO\_3166-1#Table\_de\_codage](https://fr.wikipedia.org/wiki/ISO_3166-1#Table_de_codage)

#### gTLD : extensions génériques

Les `gTLD` pour `generic Top-Level Domain` sont composés de **3 lettres ou plus** : `.com`, `.org`, `.net`.

- Gérés par des **registres accrédités par l’ICANN**.
- Peuvent être ouverts, ciblés ou semi-fermés.
- Inclus les `new gTLD` depuis 2013 : `.paris`, `.info`, `.tech`, `.space`, etc.

<div drawio-diagram="93"><img src="https://formation.tfrichet.fr/uploads/images/drawio/2025-10/xbC93D0BVD2kqVYf-drawing-3-1760261537.png" alt=""/></div>

### Autorités de gestion

#### ICANN

**Internet Corporation for Assigned Names and Numbers**

- **Statut :** Organisation internationale à but non lucratif.
- **Mission :** Coordonne les "identifiants uniques" d'Internet (noms de domaine, adresses IP, protocoles).
- **Autorité :** Supervise la gestion globale du système des noms de domaine (DNS) et attribue l'autorité aux registres nationaux pour chaque extension.
- **Enjeux :** Garantit la stabilité, la sécurité et l'unicité d'Internet à l'échelle mondiale.

#### AFNIC

**Association Française pour le Nommage Internet en Coopération**

- **Statut :** Association loi 1901, missionnée par l'État.
- **Mission :** Gère les noms de domaine et extensions françaises : `.fr`, `.re`, `.pm`, `.yt`, `.wf`, `.tf`
- **Autorité :** Délégation de l’ICANN et de l’État français pour administrer les noms de domaine nationaux.
- **Enjeux :** Propose un Internet fiable et accessible pour les acteurs français.

<p class="callout info">En résumé, l'ICANN régule le système mondial des noms de domaine, alors que l'AFNIC administre principalement les domaines français sous la supervision et la délégation de l’ICANN et des autorités françaises.</p>




### Quelques règles

#### ccTLD

- Chaque pays définit ses propres règles.
- L'ICANN n’a **aucune autorité** sur les ccTLD.
- Les ccTLD dépendent de la législation de leur pays.

<p class="callout warning">Attention à l'usage détourné, par exemple : `.tv` (Tuvalu), `.me` (Monténégro), `.co` (Colombie).</p>

### Attribution des gTLD

Il existe plusieurs types de gTLD : **ouverts**, **ciblés** ou **semi-fermés**.

##### gTLD ouverts

Ce sont des extensions de domaine accessibles à tous, sans restriction particulière.   
Exemples : `.com`, `.net`, `.info`, `.org`, etc.

Tout le monde peut enregistrer un domaine sous ces gTLD, particuliers comme entreprises, sans justifier d'une activité ou un statut.

##### gTLD ciblés

Ce sont des extensions liées à un thème, une profession, une activité ou une communauté.

Elles sont soumises à des règles d'attribution plus ou moins strictes et sont ouvertes à l'ensemble des acteurs liés à ce thème, parfois avec des restrictions modérées (auto-déclaration ou preuve d'activité).

**Exemples :**

- `.bank` (réservé aux institutions bancaires)
- `.pharmacy` (réservé aux pharmacies)
- `.museum` (réservé aux musées)

##### gTLD semi fermés

Ces extensions ne sont accessibles qu'à certaines organisations avec des conditions d’attribution strictes.

**Exemples :**

- `.aero` : industrie aéronautique
- `.bnpparibas`
- `.sony`
- `.gov` : administration américaine

# Protocole DNS

Le **DNS** (Domain Name System) est un système hiérarchique et distribué permettant de résoudre les noms de domaine en adresses IP.

### Caractéristiques

- **Port :** `UDP 53` `TCP 53`
- **Propagation DNS :** Lorsqu'un enregistrement est modifié, la mise à jour peut prendre de quelques minutes à 48 heures selon le `TTL` défini.
- **Serveurs racine :** 13 ensembles de serveurs (A à M) qui orientent les requêtes vers les serveurs de domaine de premier niveau (TLD) comme `.com`, `.fr`, etc.

### Serveurs DNS : FAI et alternatifs

Les FAI proposent leurs propres serveurs DNS à leurs abonnés.  
Ces serveurs sont souvent configurés automatiquement sur les box ou routeurs.

Si ils sont généralement à proximité géographique de l'abonné, ils peuvent parfois être filtrés ou limités.

<p class="callout warning">Un DNS menteur fournit volontairement de fausses informations de résolution de noms de domaine, par exemple pour bloquer l'accès à certains sites ou rediriger vers des pages spécifiques.  
Ce type de manipulation est utilisé par des FAI ou des gouvernements pour censurer ou filtrer le contenu en ligne.</p>

Il existe des serveurs DNS alternatifs, tels que **Google DNS** `8.8.8.8`, **Cloudflare** `1.1.1.1,` **Quad9** `9.9.9.9`, etc.

### Zone DNS

Une **zone DNS** contient les enregistrements associés à un domaine ou un sous-domaine. Elle est gérée par un serveur faisant autorité.

#### Champs principaux

<div class="___i31lg00 f10pi13n f14t3ns0 f1nbblvp fat0sn4 f1ov4xf1 fekwl8i f1lmfglv f1oz7aqm f1abmfm4 f1w619qj f16h0jq8" id="bkmrk-type-description-exe"><table class="___1hm93bs f1ddd56o f16vktn6 f1enuhaj fdclmfp f1ev3kgc ftgm304 f1uinfot fibjyge fvueend f9yszdx f1fu4s3n f3l3pb3 f1s2k7dp f8fmt76 fjvbh62 fysh76l fic4ptz f1yenhzu f1yn6nvh f14tj6oe f1jq587y f1el8yx3 f1pymoxg f1ofu761 fe6itr f7coize f1794535 f70r78m f4zgifc fk1v6el f16pyhcb fo436u6 fzy4j18 fc43013 f1hmrcvb fc4t9fq fgp09rh fjnyn6r" style="width: 100%;"><thead><tr><th class="align-left" style="width: 10.8462%;">**Type**</th><th class="align-left" style="width: 35.1609%;">**Description**</th><th class="align-left" style="width: 53.9928%;">**Exemple**</th></tr></thead><tbody><tr><th class="align-left" scope="row" style="width: 10.8462%;">**A**</th><td class="align-left" style="width: 35.1609%;">Associe un nom de domaine à une adresse IPv4</td><td class="align-left" style="width: 53.9928%;">`formation.tfrichet.fr. IN A 51.68.45.52`</td></tr><tr><th class="align-left" scope="row" style="width: 10.8462%;">**AAAA**</th><td class="align-left" style="width: 35.1609%;">Associe un nom de domaine à une adresse IPv6</td><td class="align-left" style="width: 53.9928%;">`starwars.com. IN AAAA 2600:1408:c400:e::17cd:6a08`</td></tr><tr><th class="align-left" scope="row" style="width: 10.8462%;">**CNAME**</th><td class="align-left" style="width: 35.1609%;">Alias d’un autre nom de domaine</td><td class="align-left" style="width: 53.9928%;">`www.tfrichet.fr. IN CNAME tfrichet.fr.`</td></tr><tr><th class="align-left" scope="row" style="width: 10.8462%;">**TXT**</th><td class="align-left" style="width: 35.1609%;">Texte libre, souvent utilisé pour SPF ou autre (vérification Google par exemple)</td><td class="align-left" style="width: 53.9928%;"> </td></tr><tr><th class="align-left" scope="row" style="width: 10.8462%; height: 55.2188px;">**NS**</th><td class="align-left" style="width: 35.1609%; height: 55.2188px;">Serveurs DNS faisant autorité</td><td class="align-left" style="width: 53.9928%; height: 55.2188px;">`tfrichet.fr. IN NS dns12.ovh.net.`</td></tr></tbody></table>

</div>#### Champs emails

<table class="___1hm93bs f1ddd56o f16vktn6 f1enuhaj fdclmfp f1ev3kgc ftgm304 f1uinfot fibjyge fvueend f9yszdx f1fu4s3n f3l3pb3 f1s2k7dp f8fmt76 fjvbh62 fysh76l fic4ptz f1yenhzu f1yn6nvh f14tj6oe f1jq587y f1el8yx3 f1pymoxg f1ofu761 fe6itr f7coize f1794535 f70r78m f4zgifc fk1v6el f16pyhcb fo436u6 fzy4j18 fc43013 f1hmrcvb fc4t9fq fgp09rh fjnyn6r" id="bkmrk-type-description-exe-1" style="width: 100%; height: 339.422px;"><thead><tr style="height: 34.1094px;"><th class="align-left" style="width: 10.4887%; height: 34.1094px;">**Type**</th><th class="align-left" style="width: 20.9774%; height: 34.1094px;">**Description**</th><th class="align-left" style="width: 68.534%; height: 34.1094px;">**Exemple**</th></tr></thead><tbody><tr style="height: 55.2188px;"><th class="align-left" scope="row" style="width: 10.4887%; height: 55.2188px;">**MX**</th><td class="align-left" style="width: 20.9774%; height: 55.2188px;">Serveurs de messagerie</td><td class="align-left" style="width: 68.534%; height: 55.2188px;">`example.com. IN MX 10 mail.example.com.`</td></tr><tr style="height: 76.3281px;"><th class="align-left" scope="row" style="width: 10.4887%; height: 76.3281px;">**SPF**</th><td class="align-left" style="width: 20.9774%; height: 76.3281px;">Spécifie les serveurs autorisés à envoyer des emails</td><td class="align-left" style="width: 68.534%; height: 76.3281px;">`TXT "v=spf1 a: include:_spf.protonmail.ch ~all"`</td></tr><tr style="height: 76.3281px;"><th class="align-left" scope="row" style="width: 10.4887%; height: 76.3281px;">**DKIM**</th><td class="align-left" style="width: 20.9774%; height: 76.3281px;">Clé publique pour la signature des emails</td><td class="align-left" style="width: 68.534%; height: 76.3281px;">`default._domainkey.example.com. IN TXT "v=DKIM1; k=rsa; p=MIIB..."`</td></tr><tr style="height: 97.4375px;"><th class="align-left" scope="row" style="width: 10.4887%; height: 97.4375px;">**DMARC**</th><td class="align-left" style="width: 20.9774%; height: 97.4375px;">Politique de traitement des emails non conformes</td><td class="align-left" style="width: 68.534%; height: 97.4375px;">`_dmarc.example.com. IN TXT "v=DMARC1; p=reject; rua=mailto:dmarc@example.com"`</td></tr></tbody></table>

<div class="___i31lg00 f10pi13n f14t3ns0 f1nbblvp fat0sn4 f1ov4xf1 fekwl8i f1lmfglv f1oz7aqm f1abmfm4 f1w619qj f16h0jq8" id="bkmrk-type-description-exe-2"></div><p class="callout info">Voir la liste complète :  
[https://help.ovhcloud.com/csm/fr-dns-zone-records?id=kb\_article\_view&amp;sysparm\_article=KB0063452](https://help.ovhcloud.com/csm/fr-dns-zone-records?id=kb_article_view&sysparm_article=KB0063452)</p>

# Certification et registars

### Certification

Les échanges sur Internet sont sécurisés à l'aide du chiffrement : HTTPS, VPN, SSH, etc.

Cette sécurité repose sur des certificats. Un certificat comprend :

 • Le nom de domaine  
 • La clé publique du serveur  
 • Sa période de validité  
 • La signature d'une autorité de certification (CA)

<p class="callout info">La signature de l'autorité de certification est cruciale : elle prouve que le certificat provient d'une entité de confiance reconnue par les navigateurs.</p>

#### Chaîne de délégation

La confiance dans un certificat repose sur une chaîne de certification.

Celle-ci commence par une autorité racine, dont le certificat est auto-signé et intégré dans les systèmes d'exploitation et navigateurs. Cette autorité racine délègue ensuite la signature des certificats à des autorités intermédiaires, qui émettent les certificats utilisés par les sites web.

<div drawio-diagram="94"><img src="https://formation.tfrichet.fr/uploads/images/drawio/2025-10/Z2vpyb1ZuGgcevgn-drawing-3-1760562963.png" alt=""/></div>

Ce modèle permet de limiter les risques : en cas de compromission d'une autorité intermédiaire, il est possible de la révoquer sans affecter l'ensemble de l'écosystème.

La création ou le renouvellement d'un certificat racine est une opération hautement sensible qui nécessite des conditions de sécurité physique et logique très strictes. Généralement, les clés cryptographiques sont transportées de manière sécurisée et générées dans un environnement fermé, blindé et isolé du réseau.  
Plusieurs témoins sont présents tout au long du processus afin de garantir la traçabilité et la transparence des opérations.

<p class="callout info">Ce niveau de précaution est indispensable car la compromission d'une autorité racine mettrait en danger la confiance de l'ensemble des connexions sécurisées sur Internet.</p>

**Voir article dédié chez Cloudflare :**  
[https://www.cloudflare.com/fr-fr/learning/dns/dnssec/root-signing-ceremony/](https://www.cloudflare.com/fr-fr/learning/dns/dnssec/root-signing-ceremony/)

#### Letsencrypt

Lancée en 2015 par l'**Internet Security Research Group,** Let's Encrypt est une autorité de certification gratuite, automatisée et ouverte.

Son objectif est de démocratiser l'usage du HTTPS en **supprimant les barrières techniques et financières**.

Les certificats émis par Let's Encrypt sont reconnus par les navigateurs, car l'autorité est signée par une chaîne de confiance incluant l'autorité racine ISRG Root X1.

La popularité de Letsencrypt est incontestable.  
[https://letsencrypt.org/fr/stats-dashboard/](https://letsencrypt.org/fr/stats-dashboard/)

[![image.png](https://formation.tfrichet.fr/uploads/images/gallery/2025-10/scaled-1680-/pc5c3LmhVOVq62wr-image.png)](https://formation.tfrichet.fr/uploads/images/gallery/2025-10/pc5c3LmhVOVq62wr-image.png)

### Registars français

<table border="1" id="bkmrk-registar-volum%C3%A9trie-" style="border-collapse: collapse; width: 100%; height: 272.875px;"><colgroup><col style="width: 50.0596%;"></col><col style="width: 50.0596%;"></col></colgroup><thead><tr style="height: 34.1094px;"><td style="height: 34.1094px;">**Registar**</td><td style="height: 34.1094px;">**Volumétrie**</td></tr></thead><tbody><tr style="height: 34.1094px;"><td style="height: 34.1094px;">**OVHCloud**</td><td style="height: 34.1094px;">~ 5 millions de domaines </td></tr><tr style="height: 34.1094px;"><td style="height: 34.1094px;">**LWS**</td><td style="height: 34.1094px;">~ 800k domaines</td></tr><tr style="height: 34.1094px;"><td style="height: 34.1094px;">**Gandi**</td><td style="height: 34.1094px;">~2,5 millions de domaines (2019)</td></tr><tr style="height: 34.1094px;"><td style="height: 34.1094px;">**Netim**</td><td style="height: 34.1094px;">-</td></tr><tr style="height: 34.1094px;"><td style="height: 34.1094px;">**Scaleway (Illiad)**</td><td style="height: 34.1094px;">-</td></tr><tr style="height: 34.1094px;"><td style="height: 34.1094px;">**O2switch**</td><td style="height: 34.1094px;">~ 500k domaines</td></tr><tr style="height: 34.1094px;"><td style="height: 34.1094px;">**Ikoula**</td><td style="height: 34.1094px;">-</td></tr></tbody></table>

# DynDNS : Dynamic DNS

**DynDNS** (pour Dynamic DNS) est un service qui permet d'associer un nom de domaine à une adresse IP qui peut changer fréquemment.

Il est principalement utilisé pour permettre l'accès distant à des services hébergés derrière des adresses **IP publiques dynamiques** (caméra, NAS, serveur web, etc.).

Par exemple, les adresses IP attribuées par des FAI peuvent changer régulièrement.

### Fonctionnement

1. Un nom de domaine dynamique est créé via un fournisseur DynDNS.
2. Un client DynDNS (sur un routeur, NAS, PC, etc.) vérifie périodiquement l'adresse IP publique.
3. À chaque changement d'IP, le client envoie la nouvelle IP au service DynDNS.
4. Le fournisseur DynDNS met à jour l’adresse DNS : le nom de domaine pointe toujours sur l'IP à jour.
5. Depuis l'extérieur, le service est toujours accessible, même après un changement d'IP.

<p class="callout info">La plupart des hébergeurs et registars proposent un service de DynDNS.</p>

### Exemple de configuration

**Gestion des accès et des sous-domaines chez OVH :**

[![image.png](https://formation.tfrichet.fr/uploads/images/gallery/2025-10/scaled-1680-/kk3bXi9UdCqN4Oa8-image.png)](https://formation.tfrichet.fr/uploads/images/gallery/2025-10/kk3bXi9UdCqN4Oa8-image.png)

**Client DynDNS sur un NAS Synology :**

[![image.png](https://formation.tfrichet.fr/uploads/images/gallery/2025-10/scaled-1680-/6wqRhTCaFhhGtgBV-image.png)](https://formation.tfrichet.fr/uploads/images/gallery/2025-10/6wqRhTCaFhhGtgBV-image.png)