Enregistrements TXT et données textuelles DNS

1. Enregistrements TXT

Cette ligne de votre rapport DNSprobe affiche les enregistrements TXT bruts pour le domaine, généralement sous forme de tableau avec hôte, type, valeur et TTL.

Pourquoi c’est important

Voir le contenu exact permet de confirmer que vous avez saisi correctement les jetons de vérification, qu’il n’existe qu’une seule copie de chaque politique et qu’aucune donnée inattendue n’est encore publiée.

Comment DNSprobe l’affiche

DNSprobe envoie des requêtes DNS standard pour les enregistrements TXT et affiche les réponses telles que les voit un résolveur, y compris les guillemets et les chaînes multiples éventuelles.

Problèmes fréquents visibles ici

• Anciennes entrées TXT laissées en place pour des services ou fournisseurs que vous n’utilisez plus.
• Fautes de frappe dans les jetons de vérification ou les chaînes de politique par rapport aux valeurs attendues.
• Plusieurs usages sans rapport empilés sur le même hôte, ce qui complique le diagnostic.

Bonnes pratiques pour les TXT

• Passer en revue régulièrement les données TXT à l’apex et sur les hôtes bien connus pour supprimer les entrées obsolètes.
• Garder une courte documentation interne indiquant quel service utilise quel enregistrement TXT.
• Éviter de recopier les valeurs à la main si le fournisseur propose un bouton de copie ou une configuration DNS automatique.

2. Usages courants des enregistrements TXT

De nombreuses fonctionnalités modernes reposent sur des enregistrements TXT qui suivent chacune leur propre mini-syntaxe.

Exemples d’utilisation des TXT

• Vérification de propriété de domaine pour les moteurs de recherche, l’analytique, les fournisseurs cloud ou les services SaaS.
• Politiques et métadonnées liées au courriel (par exemple SPF, DMARC ou adresses de rapports).
• Paramètres de configuration spécifiques à un service, comme la preuve de possession d’un espace de stockage ou d’un dépôt de code.
• Texte personnalisé pour usage interne, comme des notes ou des identifiants utilisés par vos propres outils.

Chaque fonctionnalité définit sa propre syntaxe à l’intérieur de la valeur TXT. DNSprobe ne modifie pas ce texte : il se contente de montrer ce que votre zone publie actuellement.

3. Où vivre vos TXT : hôtes et préfixes

Les enregistrements TXT peuvent être attachés à la racine de la zone ou à des sous-domaines spécifiques, souvent avec un préfixe commençant par un souligné pour éviter les collisions.

Noms d’hôtes TXT typiques

• TXT à l’apex de la zone (example.com) pour des politiques globales ou des vérifications de site.
• TXT sur des noms avec souligné, comme _acme-challenge.example.com ou _service.example.com utilisés par des outils automatisés.
• TXT sur des sous-domaines dédiés comme mail.example.com ou api.example.com pour des métadonnées propres à un service.

Bonnes pratiques pour les hôtes TXT

• Utiliser de préférence les noms suggérés par votre fournisseur; ils sont conçus pour éviter les conflits.
• Éviter de concentrer trop d’usages différents sur exactement le même hôte lorsqu’il est possible de les séparer.
• Adopter des conventions de nommage cohérentes pour que les futurs administrateurs puissent reconnaître facilement le rôle de chaque TXT.

4. Format et guillemets des valeurs TXT

Les valeurs TXT sont stockées sous forme d’une ou plusieurs chaînes entre guillemets. Le DNS n’impose pas de syntaxe key=value, mais de nombreux services en définissent une.

Points importants sur le format TXT

• Les serveurs DNS peuvent découper une longue valeur TXT en plusieurs chaînes; les résolveurs les recollent en une valeur logique unique.
• Les caractères spéciaux comme les espaces, les points-virgules ou les signes égal sont autorisés mais doivent rester à l’intérieur des guillemets.
• La plupart des politiques modernes utilisent de l’ASCII simple; si vous collez des caractères Unicode, votre logiciel DNS peut les échapper ou les refuser.

Bonnes pratiques de formatage

• Copier les valeurs TXT exactement telles que fournies par le service, en respectant les guillemets si votre interface DNS les attend.
• Éviter de reformater les valeurs (retours à la ligne, espaces supplémentaires) car cela peut modifier leur interprétation.
• En cas de doute, comparer ce que montre DNSprobe avec la documentation du fournisseur pour repérer les erreurs de format subtiles.

5. Taille des enregistrements TXT et chaînes multiples

Les données TXT sont soumises à des limites de taille, tant par chaîne que par réponse DNS. Les politiques très longues peuvent être réparties sur plusieurs segments.

Limites de taille en pratique

Chaque chaîne TXT est généralement limitée à 255 caractères, mais un enregistrement TXT peut contenir plusieurs chaînes que les résolveurs concatènent. La réponse DNS complète doit aussi respecter les limites normales de transport UDP/TCP.

Bonnes pratiques pour la longueur des TXT

• Garder les valeurs TXT aussi compactes que possible tout en restant claires et conformes aux standards.
• Suivre les recommandations de votre fournisseur s’il propose des moyens de raccourcir une valeur (par exemple en supprimant des mécanismes inutilisés).
• Gardez à l’esprit que des enregistrements TXT très longs sont plus difficiles à maintenir et plus fragiles selon les panneaux de gestion DNS.

6. Choix du TTL pour les enregistrements TXT

Le TTL d’un enregistrement TXT détermine combien de temps les résolveurs mettent la valeur en cache avant de redemander vos serveurs.

Pourquoi le TTL compte pour les TXT

Des TTL courts permettent de changer rapidement de jeton ou de configuration, mais augmentent le trafic DNS. Des TTL longs réduisent la charge, mais ralentissent la propagation des changements.

Bonnes pratiques pour les TTL TXT

• Utiliser des TTL plus courts pendant la phase de déploiement ou de dépannage d’une nouvelle fonctionnalité basée sur TXT.
• Une fois la configuration stabilisée, augmenter le TTL à une valeur raisonnable (par exemple une heure ou plus) pour limiter les requêtes.
• Lors de la rotation de clés ou de politiques, planifier afin d’éviter des périodes prolongées où les caches conservent encore l’ancienne valeur.

7. Tester les enregistrements TXT manuellement depuis votre propre terminal

DNSprobe affiche tous les enregistrements TXT trouvés pour votre domaine (politiques SPF, jetons de vérification, clés propres à certains services, etc.). Vous pouvez reproduire ces vérifications vous-même depuis un terminal en interrogeant directement les enregistrements TXT.

Linux : utiliser dig (outils BIND)

Sur la plupart des distributions Linux, la commande dig est fournie par le paquet d’outils BIND. Les commandes suivantes interrogent tous les enregistrements TXT à la racine de votre domaine. Vous pouvez ensuite, en option, restreindre la sortie à votre politique SPF uniquement :

                dig example.com TXT
                dig example.com TXT +short
    
                # Optionnel : filtrer la sortie pour n’afficher que l’enregistrement SPF    
                dig example.com TXT | grep "v=spf1"
        

macOS : utiliser dig avec les outils intégrés

macOS inclut dig dans ses outils en ligne de commande. Ouvrez Terminal et exécutez les mêmes commandes que sous Linux pour lister tous les enregistrements TXT de votre domaine, puis filtrer éventuellement l’enregistrement SPF :

                dig example.com TXT
                dig example.com TXT +short
    
                # Optionnel : filtrer la sortie pour n’afficher que l’enregistrement SPF    
                dig example.com TXT | grep "v=spf1"
        

Windows : utiliser nslookup

Sous Windows, l’outil historique nslookup permet d’interroger les enregistrements TXT de votre domaine. Exécutez les commandes suivantes dans une fenêtre Invite de commandes ou PowerShell pour lister les TXT à la racine, ou ceux d’un hôte précis si nécessaire :

                nslookup -type=TXT example.com
    
                REM Optionnel : interroger les enregistrements TXT pour un nom d’hôte précis plutôt que pour la racine    
                nslookup -type=TXT sub.example.com
        

Important : n’interrogez que les enregistrements DNS de domaines que vous possédez ou que vous êtes autorisé à analyser. Certains fournisseurs peuvent considérer des requêtes répétées et automatisées sur des domaines tiers comme du trafic abusif.