Matrice de propagation DNS : mon changement a-t-il atteint le monde ?
Vous venez d'éditer un enregistrement A chez votre registrar. Vous restez là à rafraîchir le navigateur, en vous demandant si le nouveau serveur est en ligne. Ou vous avez bumpé un MX avant une migration mail et avez besoin de savoir combien de résolveurs servent encore l'ancienne réponse. Cet outil est fait pour ce moment précis.
Il lance une requête, sur un enregistrement, contre 12 résolveurs DNS publics répartis entre opérateurs et régions (Cloudflare, Google, Quad9, OpenDNS, AdGuard, Yandex, Comodo, DNS.SB, Mullvad, LibreDNS, NextDNS, PowerDNS). Vous obtenez un tableau : chaque résolveur, ce qu'il renvoie actuellement, et un repère couleur indiquant s'il s'aligne sur la réponse majoritaire. Une ligne de résumé en bas vous dit en clair : "Cohérent : 12/12 sont d'accord sur `1.2.3.4`" ou "En cours : 4/12 servent encore l'ancienne valeur".
Activez le rafraîchissement auto et la page répète la requête toutes les 30 secondes pour vous permettre de garder l'onglet ouvert pendant une migration et regarder les résolveurs à la traîne rattraper.
Mode d'emploi
- Tapez le domaine que vous venez de modifier (sans `https://`, sans chemin) : `exemple.fr`, `mail.acme.io`, `cdn.marque.dev`. Un sous-domaine fonctionne aussi si vous n'avez changé qu'un enregistrement précis.
- Choisissez le type d'enregistrement sur la barre segmentée : `A` pour IPv4, `AAAA` pour IPv6, `CNAME` pour les alias, `MX` pour le mail, `TXT` pour SPF/DKIM/DMARC et les jetons de vérification, `NS` pour les serveurs de noms autoritaires.
- Cliquez sur Vérifier la propagation. En 2 à 4 secondes vous obtenez un tableau avec les 12 résolveurs et une carte récapitulative colorée en bas.
- Lignes vertes = ce résolveur s'aligne sur la majorité. Lignes jaunes = il renvoie une réponse différente (probablement encore en cache). Lignes rouges = le résolveur a échoué (timeout, SERVFAIL, NXDOMAIN).
- Activez l'auto-refresh et la même requête se répète toutes les 30 secondes. Utile quand vous voulez regarder le monde rattraper après un changement sans matraquer le bouton.
- La carte récap en bas affiche la réponse majoritaire plus un compteur "d'accord / total". "12/12" signifie propagation complète. Tout chiffre inférieur signifie qu'au moins un résolveur sert encore une valeur ancienne ou filtrée.
- Si un seul résolveur est systématiquement en désaccord alors que les 11 autres sont unanimes, le problème vient de ce résolveur, pas de votre DNS : il filtre peut-être le domaine (AdGuard bloque les pubs, Quad9 bloque le malware) ou met en cache plus agressivement.
Quand cet outil est utile
Sept moments typiques où "ma propagation DNS est-elle terminée ?" compte plus que toute autre question :
- Juste après un déplacement de serveur. Vous avez changé l'enregistrement A de `212.x.x.x` vers `185.y.y.y`. Vous lancez la matrice et rafraîchissez chaque minute. Quand 12/12 affichent la nouvelle IP, vous pouvez retirer l'ancienne machine sereinement.
- Migration MX avant une bascule mail. Vous passez d'un prestataire mail à un autre et devez être sûr que la délivrabilité ne se partage pas entre les deux. La matrice MX montre quand chaque résolveur distribue le nouveau serveur.
- Pointage CNAME pour un sous-domaine SaaS. Vous avez raccordé `boutique.marque.fr` à Shopify, le tableau de bord dit "pas encore pointé". Vérifiez la matrice CNAME : si 12/12 affichent la bonne cible, c'est juste le dashboard SaaS qui est lent à rafraîchir.
- Déploiement DKIM. Vous avez ajouté un enregistrement TXT à `default._domainkey.marque.fr`. Vous interrogez TXT : quand tous les résolveurs renvoient la nouvelle chaîne de clé, vous pouvez activer la signature DKIM sans bounces de rejet.
- Vérification TTL préalable. Avant un gros changement, interrogez l'enregistrement actuel pour confirmer ce qui est en cache. Si le TTL a été abaissé à 60 secondes hier, vous savez que le rollout sera rapide. S'il est encore à 3600, prévoyez au moins une heure pour l'expiration du cache.
- Déboguer "marche pour certains users, pas pour d'autres". Un collègue n'arrive pas à atteindre le nouveau site. Vous lui demandez quel DNS il utilise, vous vérifiez ce résolveur dans la matrice : s'il affiche encore l'ancienne IP, la réponse c'est le cache, pas votre code.
- Distinguer filtrage et propagation. Quad9 renvoie `NXDOMAIN` pour un de vos domaines alors que tout le monde le résout. Ça, c'est du filtrage (liste malware), pas un retard de propagation. La matrice rend la distinction évidente d'un coup d'œil.
Outils liés : consultation DNS (chaque type d'enregistrement, détail complet), consultation DNS inverse / PTR (IP vers hostname), consultation WHOIS (qui possède le domaine), validateur DNSSEC (chaîne de confiance cryptographique).