Qu'est-ce que la surveillance DNS et quand en avez-vous besoin

La surveillance DNS consiste à enregistrer régulièrement les records DNS d'un domaine et à vous alerter quand ils changent. C'est tout le principe. Un record A qui pointe ailleurs, un MX qui disparaît, un nameserver que vous ne reconnaissez pas : le moniteur repère la différence et vous prévient avant que le changement ne devienne une panne, une perte d'emails ou un détournement de domaine.

Pourquoi c'est nécessaire ? Parce que le DNS change en silence. Pas de journal des modifications, pas de notification du registrar, pas de message d'erreur. Un record modifié par erreur, par un prestataire ou par un attaquant continue de résoudre. Simplement, il résout vers le mauvais endroit. Cet article détaille ce que la surveillance DNS observe concrètement, les incidents qu'elle détecte, le mécanisme technique, et comment décider si vos domaines en ont besoin.

Ce que la surveillance DNS surveille concrètement

Pour un domaine en production, une poignée de types de records concentre tout le risque. Pour un rappel du rôle de chaque type, voir la référence des types de records DNS. Voici ce que signifie un changement inattendu sur chacun :

Record	Ce qu'il contrôle	Un changement inattendu signifie
A / AAAA	Le serveur vers lequel résout votre site	Les visiteurs arrivent sur le mauvais serveur, ou celui d'un attaquant
MX	Où votre email est livré	Le courrier entrant rebondit ou est intercepté sans bruit
TXT	SPF, DKIM, DMARC, preuves de propriété	Vos emails sortants échouent à l'authentification
NS	Qui contrôle toute la zone DNS	Quelqu'un d'autre peut réécrire tous les records ci-dessus
CNAME	Vers quoi un sous-domaine pointe	Un sous-domaine sert le contenu de quelqu'un d'autre

Le NS est celui à prendre le plus au sérieux. Tous les autres records se corrigent en quelques minutes une fois le problème repéré. Un changement de nameservers signifie que la zone elle-même est passée sous le contrôle d'un tiers.

Les incidents qu'elle détecte

L'erreur de configuration silencieuse

La plupart des incidents DNS sont auto-infligés. Une migration d'hébergeur se passe bien pour le site, mais personne ne recopie les records MX dans la nouvelle zone. Ou un nouvel outil marketing demande d'« ajouter ce record TXT », et la personne qui s'en charge remplace le SPF existant au lieu de fusionner. Dans les deux cas, l'email casse sans la moindre erreur de votre côté. Les expéditeurs reçoivent des rebonds, ou vos messages partent en spam. Des équipes perdent régulièrement plusieurs jours d'emails ainsi, parce que le site fonctionne toujours et que personne ne pense à vérifier le DNS.

Le changement opéré par un tiers

L'accès au DNS est rarement entre les mains d'une seule personne. L'agence web qui a construit le site, un freelance d'il y a deux ans, l'infogérant, un collègue parti depuis : tous peuvent encore avoir des accès, et aucun n'annonce ses modifications. Un moniteur ne se demande pas qui a fait le changement ni pourquoi. Il rapporte le diff, et vous décidez s'il était prévu.

La compromission

Un record A modifié ou de nouveaux nameservers que personne dans votre équipe n'a touchés : c'est la signature classique d'un détournement de domaine, généralement via un compte registrar compromis. Le détecter le premier jour plutôt qu'à la troisième semaine fait la différence entre un incident et un désastre. Nous détaillons l'attaque dans comment détecter un détournement DNS.

Comment ça fonctionne : snapshot, diff, alerte

Le mécanisme derrière tout outil de surveillance DNS est simple :

1. Interroger les records du domaine à intervalle fixe et stocker la réponse comme snapshot.
2. Normaliser les données : trier les valeurs, ignorer les TTL, pour éviter les faux positifs.
3. Comparer le nouveau snapshot avec le précédent.
4. Si quelque chose a été ajouté, supprimé ou modifié, envoyer une alerte avec le diff exact.

Une précision honnête sur la fréquence. Un contrôle quotidien détecte une dérive en quelques heures, pas en quelques minutes. Pour la plupart des équipes, c'est le bon compromis : vous ne changez pas votre DNS tous les jours, et les incidents ci-dessus restent dangereux pendant des semaines justement parce que personne ne regarde. Si votre modèle de menace exige une détection à la minute, vous êtes dans le domaine de la réponse à incident, avec une autre classe d'outillage.

Qui en a besoin (et qui peut s'en passer)

La surveillance DNS vaut la peine dès qu'au moins un critère est rempli : le domaine héberge un site ou une application en production, il reçoit ou envoie de l'email, l'accès DNS est partagé avec une agence ou un prestataire, vous gérez un portefeuille de domaines, ou votre marque est une cible de phishing.

Vous pouvez vous en passer pour un domaine parqué sans trafic ni boîte mail, ou un projet perso où un record cassé ne coûte rien. Une vérification manuelle occasionnelle avec un DNS lookup suffit dans ce cas.

Mettre en place une surveillance avec Domain Sentinel

La surveillance DNS de Domain Sentinel implémente exactement le mécanisme snapshot et diff décrit plus haut :

1. Ajoutez le domaine à votre watchlist et activez le monitoring DNS.
2. Les contrôles par défaut couvrent les records qui comptent : A, AAAA, MX, TXT, NS et CAA sur l'apex, plus A, AAAA, CNAME, MX et TXT sur www.
3. Le champ Extra names permet d'ajouter jusqu'à dix hostnames à vous, si vous voulez aussi surveiller api, mail, _dmarc ou autre. Le record SOA est désactivé par défaut : son numéro de série change à chaque modification de zone, et certains hébergeurs l'incrémentent en permanence.
4. Les records sont contrôlés une fois par jour, et vous recevez un email avec le diff dès qu'un changement est détecté. Vous pouvez aussi déclencher une capture à la demande depuis la page du domaine, pratique juste après un changement planifié.

La même watchlist suit aussi les données d'enregistrement, les dates d'expiration et les status codes ; voir la détection des changements de domaine pour ce volet.

Pour commencer concrètement aujourd'hui : listez les trois domaines où une dérive DNS ferait le plus mal, passez chacun dans l'outil gratuit de DNS lookup pour confirmer que les records sont bien ceux attendus, puis mettez une surveillance sur ces trois-là. Dix minutes maintenant valent mieux que découvrir un SPF cassé trois semaines après coup.