Comment fonctionne le DNS inverse
Une recherche DNS normale transforme un nom en adresse. Le DNS inverse fait l’inverse : il demande l’enregistrement PTR d’un nom spécial construit à partir de l’adresse. En IPv4, les quatre nombres sont écrits à l’envers sous in-addr.arpa : 8.8.4.4 devient 4.4.8.8.in-addr.arpa. En IPv6, l’adresse est écrite en entier, avec les 32 chiffres hexadécimaux, y compris les zéros que "::" cache, et chaque chiffre devient une étiquette, à l’envers, sous ip6.arpa.
Quiconque contrôle la zone inverse peut mettre n’importe quel nom dans un PTR : un PTR seul ne prouve donc pas grand-chose. C’est pourquoi l’outil recherche ensuite le nom en sens direct (enregistrements A pour IPv4, AAAA pour IPv6). Quand l’une des réponses est l’adresse de départ, le DNS inverse est confirmé en sens direct (FCrDNS) : celui qui contrôle le nom est d’accord.
Les serveurs de messagerie y tiennent parce que le spam vient souvent de connexions domestiques et de machines piratées dont le DNS inverse est générique ou absent. Gmail, Outlook et la plupart des autres fournisseurs vérifient qu’un serveur expéditeur a un enregistrement PTR qui renvoie vers son IP, et rejettent ou classent en spam les e-mails qui échouent. Pour un serveur de messagerie, définissez le PTR sur le nom que le serveur utilise dans son message d’accueil SMTP (HELO).
Exemple
8.8.4.4 est l’un des serveurs DNS publics de Google. L’outil demande l’enregistrement PTR de 4.4.8.8.in-addr.arpa et obtient dns.google. Il demande ensuite les enregistrements A de dns.google, qui sont 8.8.4.4 et 8.8.8.8 : 8.8.4.4 en fait partie, le DNS inverse est donc confirmé en sens direct. Pour une adresse IPv6 comme 2001:db8::1, le nom demandé est 1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.8.b.d.0.1.0.0.2.ip6.arpa.
Questions
Qu’est-ce qu’une recherche DNS inverse ?
Elle trouve le nom d’hôte d’une adresse IP, l’inverse d’une recherche DNS normale. Le nom est stocké dans un enregistrement PTR. Par exemple, l’enregistrement PTR de 1.1.1.1 est one.one.one.one, le résolveur DNS public de Cloudflare.
Qu’est-ce qu’un enregistrement PTR ?
Un enregistrement DNS qui renvoie d’une adresse vers un nom. Il se trouve dans les zones inverses in-addr.arpa (IPv4) et ip6.arpa (IPv6), gérées par celui qui détient le bloc d’adresses : votre hébergeur ou votre fournisseur d’accès, pas votre registrar de domaine.
Comment définir le DNS inverse de mon serveur ?
Dans le panneau de contrôle de votre hébergeur : la plupart des hébergeurs de VPS proposent un champ « DNS inverse » ou « PTR » à côté de chaque adresse IP. Créez d’abord un enregistrement A (ou AAAA) pour le nom, par exemple mail.example.com qui pointe vers l’IP du serveur, puis définissez le PTR sur ce nom. Certains hébergeurs ne le font que sur demande, par un ticket de support.
Pourquoi les serveurs de messagerie vérifient-ils le DNS inverse ?
C’est un premier filtre peu coûteux contre le spam. Un serveur sans DNS inverse, ou dont le nom PTR ne renvoie pas vers son adresse, ressemble à une connexion domestique ou à une machine piratée. Gmail et Outlook exigent un enregistrement PTR valide de la part des expéditeurs : les e-mails d’un serveur qui échoue à cette vérification sont donc souvent rejetés ou classés en spam.
Pourquoi mon adresse IP n’a-t-elle pas de DNS inverse ?
Personne n’a défini d’enregistrement PTR pour elle. Beaucoup d’hébergeurs laissent les nouvelles adresses de serveur sans PTR, ou leur donnent un nom générique comme 203-0-113-5.static.example.net. Les connexions domestiques reçoivent en général le nom générique du fournisseur d’accès, que vous ne pouvez pas changer.