Si vous avez lu le chapitre sur les types d'enregistrements DNS, vous savez que chaque enregistrement de votre zone DNS a un rôle précis. Les enregistrements A pointent vers des adresses IP. Les enregistrements MX gèrent l'acheminement des e-mails. Un enregistrement TXT ne fait ni l'un ni l'autre. Il contient une ligne de texte simple qui dit quelque chose sur votre domaine aux autres systèmes. Ce texte peut dire « ce fournisseur d'e-mail peut envoyer en mon nom », ou « oui, je possède ce domaine », ou « voici la clé pour vérifier mes messages ».
Voyez-le comme un mot épinglé sur votre porte d'entrée. Il ne change rien au fonctionnement de votre maison. Mais quiconque s'approche et le lit apprend quelque chose d'important sur qui y habite et ce que cette personne a autorisé.
À quoi ressemble un enregistrement TXT ?
Un enregistrement TXT a quatre parties, comme les autres enregistrements DNS. Voici le rôle de chacune.
- Nom d'hôte (name) est le domaine ou sous-domaine auquel s'applique l'enregistrement. Pour votre domaine principal, c'est généralement « @ » ou le champ est laissé vide. Pour un sous-domaine comme mail.yourdomain.com, le nom d'hôte serait « mail »
- Type indique au système DNS qu'il s'agit d'un enregistrement TXT
- Valeur (value) est le contenu texte lui-même. Ce peut être un code de vérification, une politique d'e-mail, une clé publique ou toute autre chaîne de 255 caractères maximum par segment
- TTL (time to live) contrôle combien de temps les serveurs DNS gardent cet enregistrement en cache avant de vérifier s'il a changé. La valeur par défaut est généralement de 3600 secondes, soit une heure
Voici à quoi ressemble un enregistrement TXT simple dans un panneau de réglages DNS.
- Nom d'hôte réglé sur @
- Type réglé sur TXT
- Valeur réglée sur « v=spf1 include:_spf.example.com ~all »
- TTL réglé sur 3600
Cet exemple est un enregistrement SPF, l'un des types d'enregistrement TXT les plus courants. Les sections ci-dessous expliquent ce que signifie SPF et comment fonctionnent les autres enregistrements de sécurité e-mail.
Comment un enregistrement TXT sert-il à vérifier un domaine ?
C'est l'usage le plus simple d'un enregistrement TXT. Un service a besoin d'une preuve que vous possédez un domaine. Vous la fournissez en ajoutant un enregistrement que seul le propriétaire du domaine pourrait ajouter.
Voici comment se déroule le processus.
- Vous vous inscrivez à un service et lui indiquez votre nom de domaine
- Le service vous donne un code de vérification unique
- Vous vous connectez à vos réglages DNS et ajoutez un enregistrement TXT avec ce code comme valeur
- Le service consulte votre DNS pour trouver l'enregistrement TXT
- S'il trouve le code, la vérification est terminée
Pourquoi cela fonctionne-t-il ? Parce que seule une personne ayant accès à vos réglages DNS peut y ajouter des enregistrements. Le code de vérification ne veut rien dire en soi. Il prouve simplement que vous avez les clés de la zone DNS.
Qu'est-ce qu'un enregistrement SPF ?
Ce que signifie SPF
SPF signifie « Sender Policy Framework ». C'est un enregistrement TXT qui liste les serveurs de messagerie autorisés à envoyer des e-mails avec votre nom de domaine. Quand quelqu'un reçoit un e-mail de votre part, son serveur de messagerie consulte votre enregistrement SPF pour voir si le serveur expéditeur figure sur la liste approuvée.
Ce que fait un enregistrement SPF
Sans enregistrement SPF, n'importe qui peut envoyer un e-mail qui semble venir de votre domaine. C'est ce qu'on appelle l'usurpation d'e-mail. C'est l'un des plus vieux tours du phishing, et il fonctionne parce que le serveur destinataire n'a aucun moyen de vérifier si l'expéditeur est bien celui qu'il prétend être.
Un enregistrement SPF règle ce problème. C'est comme donner à la poste une liste des coursiers autorisés à envoyer des colis en votre nom. Si un colis arrive d'un coursier qui n'est pas sur la liste, la poste sait que quelque chose cloche.
Voici un exemple.
v=spf1 include:_spf.mailprovider.com ~all
Cela dit trois choses.
- v=spf1 identifie cet enregistrement comme un enregistrement SPF
- include:_spf.mailprovider.com signifie « les serveurs listés par ce fournisseur de messagerie sont autorisés à envoyer des e-mails pour mon domaine »
- ~all signifie « si un e-mail vient de n'importe quel autre serveur, le traiter comme suspect mais ne pas le rejeter d'emblée »
Si « ~all » était remplacé par « -all », la règle serait plus stricte. Elle indiquerait aux serveurs destinataires de rejeter purement et simplement tout ce qui ne figure pas sur la liste approuvée.
Qu'est-ce qu'un enregistrement DKIM ?
Ce que signifie DKIM
DKIM signifie « DomainKeys Identified Mail ». Là où SPF vérifie qui a envoyé l'e-mail, DKIM vérifie que l'e-mail n'a pas été falsifié en chemin vers votre boîte de réception.
Comment fonctionne la clé publique
Voyez DKIM comme un sceau de cire sur une lettre. Quand votre serveur de messagerie envoie un e-mail, il y appose une signature cachée. Cette signature est créée avec une clé privée que seul votre serveur connaît. La clé publique correspondante se trouve dans un enregistrement TXT de votre domaine, visible par quiconque regarde.
Quand le serveur destinataire reçoit l'e-mail, il lit votre clé publique dans le DNS et la compare à la signature. Si elles correspondent, l'e-mail est vérifié comme authentique et intact. Si elles ne correspondent pas, l'e-mail a peut-être été modifié quelque part en route.
Vous n'avez pas besoin de comprendre la clé elle-même. Votre fournisseur de messagerie la génère et vous dit exactement quoi coller dans vos réglages DNS. L'enregistrement TXT DKIM se trouve généralement sur un sous-domaine qui ressemble à « selector._domainkey.yourdomain.com ».
Qu'est-ce qu'un enregistrement DMARC ?
Comment DMARC relie SPF et DKIM
SPF vérifie d'où vient l'e-mail. DKIM vérifie qu'il n'a pas été modifié. Mais que se passe-t-il quand l'un de ces contrôles échoue ? Sans DMARC, chaque serveur destinataire décide seul. Certains envoient l'e-mail dans les spams. Certains le laissent passer. Certains le rejettent. Vous n'avez aucun contrôle.
DMARC signifie « Domain-based Message Authentication, Reporting, and Conformance ». C'est un enregistrement TXT qui vous met aux commandes. Vous fixez les règles pour ce qui se passe quand un e-mail échoue à SPF ou à DKIM.
Ce que signifient les politiques DMARC
Un enregistrement DMARC s'ajoute comme enregistrement TXT sur le sous-domaine « _dmarc.yourdomain.com ». Voici un exemple simple.
v=DMARC1; p=quarantine; rua=mailto:reports@yourdomain.com
Cela dit trois choses aux serveurs destinataires.
- v=DMARC1 identifie cet enregistrement comme un enregistrement DMARC
- p=quarantine est la politique. Elle indique au serveur destinataire d'envoyer les e-mails qui échouent à l'authentification dans le dossier spam plutôt que dans la boîte de réception
- rua=mailto:reports@yourdomain.com indique aux serveurs d'envoyer les rapports d'authentification à cette adresse e-mail pour que vous voyiez qui envoie des e-mails avec votre domaine
Le champ de politique (p=) a trois options.
- none signifie ne rien faire, juste envoyer des rapports. C'est utile quand vous configurez DMARC pour la première fois et voulez surveiller avant d'appliquer
- quarantine signifie envoyer les e-mails en échec dans les spams
- reject signifie bloquer entièrement les e-mails en échec pour qu'ils n'atteignent jamais le destinataire
Ensemble, SPF, DKIM et DMARC forment trois couches de protection de l'e-mail. SPF est la liste des invités. DKIM est le sceau de cire. DMARC est le videur qui décide quoi faire quand quelqu'un échoue aux deux premiers contrôles. Si vous configurez une messagerie personnalisée avec votre domaine, les trois enregistrements sont importants.
Que peuvent faire d'autre les enregistrements TXT ?
La sécurité des e-mails et la vérification de domaine sont les deux plus grands usages, mais les enregistrements TXT apparaissent aussi ailleurs.
- Vérification par les moteurs de recherche. Les moteurs de recherche vous demandent d'ajouter un enregistrement TXT pour prouver que vous possédez un domaine avant de vous donner accès aux données de performance de recherche
- Politiques de sécurité. Certaines organisations utilisent des enregistrements TXT pour publier des coordonnées de contact sécurité ou des préférences d'autorité de certification
- Authentification de services. Les plateformes de statistiques, les services publicitaires et d'autres outils exigent souvent un enregistrement TXT pour relier votre domaine à votre compte
- Métadonnées personnalisées. Toute information textuelle que d'autres serveurs ou services doivent lire sur votre domaine peut être stockée dans un enregistrement TXT
Les enregistrements TXT sont le couteau suisse du DNS. Si un service doit vérifier, authentifier ou communiquer quelque chose sur votre domaine, il y a de fortes chances qu'il utilise un enregistrement TXT pour le faire.
Comment ajouter un enregistrement TXT ?
Ajouter un enregistrement TXT suit les mêmes étapes que l'ajout de n'importe quel autre enregistrement DNS. Si vous avez déjà ajouté un enregistrement A ou MX, cela vous semblera familier.
- Connectez-vous au panneau de gestion DNS où les serveurs de noms de votre domaine sont définis. C'est généralement votre bureau d'enregistrement ou votre hébergeur
- Trouvez la section des enregistrements DNS ou l'éditeur de zone DNS
- Cliquez sur l'option pour ajouter un nouvel enregistrement
- Sélectionnez TXT comme type d'enregistrement
- Saisissez le nom d'hôte. Utilisez « @ » pour le domaine racine ou le nom d'un sous-domaine précis si le service l'exige
- Collez la valeur exacte fournie par le service que vous configurez. Ne la retapez pas à la main
- Réglez le TTL. En cas de doute, utilisez la valeur par défaut que propose votre fournisseur ou réglez-le sur 3600
- Enregistrez
Un point à garder en tête. Les changements DNS peuvent prendre de quelques minutes à 48 heures pour se répandre sur internet. C'est ce qu'on appelle la propagation DNS. Pendant ce temps, certains serveurs peuvent encore voir les anciens réglages tandis que d'autres voient les nouveaux. Pour plus de détails sur ce processus, lisez le chapitre sur le fonctionnement du DNS.
Quelles sont les erreurs courantes avec les enregistrements TXT ?
Les enregistrements TXT sont simples à ajouter, mais quelques erreurs répétées font trébucher les gens.
- Coller la mauvaise valeur. Les valeurs d'enregistrements TXT sont souvent de longues chaînes de caractères aléatoires. Un caractère manquant, une espace en trop, et tout casse. Copiez et collez toujours directement depuis le service qui vous a donné la valeur
- Plusieurs enregistrements SPF sur le même domaine. Vous ne pouvez avoir qu'un seul enregistrement SPF par domaine. Si vous devez autoriser plusieurs fournisseurs de messagerie, regroupez-les dans un seul enregistrement SPF avec plusieurs instructions « include ». Deux enregistrements SPF séparés provoquent un comportement imprévisible et des échecs de livraison d'e-mails
- Ajouter l'enregistrement au mauvais nom d'hôte. Certains enregistrements TXT vont sur le domaine racine (@), d'autres sur un sous-domaine précis comme « _dmarc » ou « selector._domainkey ». Placez l'enregistrement au mauvais endroit et le service qui le cherche ne le trouvera pas
- Oublier d'enregistrer. Cela paraît évident, mais beaucoup de panneaux DNS demandent de cliquer sur un bouton d'enregistrement ou de confirmation après la saisie. Si vous fermez la page avant d'enregistrer, l'enregistrement n'est pas créé
- Ne pas attendre la propagation. Après l'ajout d'un enregistrement TXT, le service de vérification peut ne pas le trouver tout de suite. Laissez passer au moins 15 à 30 minutes avant de relancer la vérification
Que se passe-t-il quand les enregistrements TXT sont faux ou absents ?
Les conséquences dépendent de l'enregistrement TXT concerné.
- Si votre enregistrement SPF est absent ou incorrect, vos e-mails ont plus de chances d'atterrir dans les spams. Les serveurs destinataires n'ont aucun moyen de confirmer que votre serveur de messagerie est autorisé, alors ils jouent la prudence
- Si votre enregistrement DKIM est absent, vos e-mails n'ont pas de signature vérifiable. Certains destinataires les accepteront quand même, mais les filtres antispam deviennent plus méfiants
- Si votre enregistrement DMARC est absent, vous n'avez aucun contrôle sur ce qui arrive aux e-mails qui échouent aux contrôles SPF ou DKIM. Chaque serveur destinataire décide de son côté
- Si un enregistrement TXT de vérification est supprimé, le service qui l'exigeait peut révoquer votre accès ou afficher un avertissement indiquant que la propriété du domaine n'est plus confirmée
Aucun de ces problèmes ne mettra votre site hors ligne. Les enregistrements TXT n'affectent pas le chargement de votre site ni la façon dont les visiteurs l'atteignent. Mais des enregistrements TXT absents ou cassés peuvent nuire à la délivrabilité de vos e-mails et à votre capacité d'utiliser les services liés à votre domaine.
Comment WEMASY gère les enregistrements TXT
Quand vous connectez un domaine personnalisé à votre site WEMASY, WEMASY vous guide à travers les enregistrements DNS à ajouter. Si votre offre inclut des fonctions d'e-mail ou si vous vérifiez votre domaine pour des outils de recherche, WEMASY vous dit exactement quels enregistrements TXT créer, avec le nom d'hôte et la valeur à coller.
WEMASY s'occupe du SSL et de l'hébergement de son côté, donc les enregistrements TXT que vous ajoutez servent à la vérification et à la sécurité des e-mails plutôt qu'à l'acheminement. Une fois vos enregistrements en place et le DNS propagé, tout se connecte automatiquement. Découvrez ce qui est inclus dans chaque offre sur la page tarifs de WEMASY .
La suite
Maintenant que vous savez comment les enregistrements TXT servent à la vérification et à la sécurité des e-mails, le prochain chapitre traite des enregistrements NS. Les enregistrements NS contrôlent quels serveurs de noms sont responsables de toute la zone DNS de votre domaine, et ils sont à la base de la façon dont tous vos autres enregistrements sont retrouvés. Pour une vue d'ensemble de tous les types d'enregistrements et de leurs usages, consultez le chapitre sur les types d'enregistrements DNS.
Questions fréquentes
Peut-on avoir plusieurs enregistrements TXT sur le même domaine ?
Oui. Un domaine peut avoir beaucoup d'enregistrements TXT en même temps. Vous pouvez en avoir un pour SPF, un pour la vérification de domaine et un pour DKIM sur un sous-domaine. La seule exception est SPF. Vous ne devez avoir qu'un seul enregistrement SPF par domaine. Si vous devez autoriser plusieurs fournisseurs de messagerie, regroupez-les dans un seul enregistrement SPF. Avec le créateur de site webde WEMASY, vous pouvez le mettre en place directement sur votre site.
Un enregistrement TXT affecte-t-il la vitesse de chargement de votre site ?
Non. Les enregistrements TXT ne jouent aucun rôle dans l'acheminement du trafic du site. Ils ne sont lus que par les services qui les cherchent précisément, comme les serveurs de messagerie qui contrôlent SPF ou les outils de vérification qui contrôlent la propriété. La vitesse de votre site dépend de votre enregistrement A, de votre serveur et de votre configuration d'hébergement, pas de vos enregistrements TXT.
Combien de temps faut-il pour qu'un enregistrement TXT commence à fonctionner ?
Cela dépend de la propagation DNS et du TTL des éventuels enregistrements précédents. Dans la plupart des cas, un nouvel enregistrement TXT est visible en 15 à 30 minutes. La propagation complète sur tous les serveurs DNS du monde peut prendre jusqu'à 48 heures, même si c'est rare pour des enregistrements nouveaux qui n'existaient pas avant.
Quelle est la longueur maximale de la valeur d'un enregistrement TXT ?
Une chaîne d'enregistrement TXT peut faire jusqu'à 255 caractères. Si la valeur doit être plus longue, elle est découpée en plusieurs chaînes dans le même enregistrement. Votre fournisseur DNS gère ce découpage automatiquement dans la plupart des cas. Les services qui génèrent de longues valeurs TXT, comme les clés DKIM, tiennent compte de cette limite quand ils créent l'enregistrement pour vous.
Faut-il des enregistrements TXT si vous n'envoyez pas d'e-mails depuis votre domaine ?
C'est quand même une bonne idée. Même si vous n'envoyez pas d'e-mails, ajouter un enregistrement SPF qui indique qu'aucun serveur n'est autorisé (v=spf1 -all) empêche les spammeurs d'usurper votre domaine. Sans aucun enregistrement d'authentification des e-mails, n'importe qui peut envoyer des e-mails qui semblent venir de votre domaine, ce qui peut nuire à votre réputation.