Comment fonctionne cette vérification
Cette vérification interroge le DNS et l'enregistrement de ton domaine, en remontant la chaîne de domaines (de app.tondomaine.com à tondomaine.com) parce que ces données vivent sur le domaine enregistrable. Elle regarde trois choses. CAA : s'il n'y a aucun enregistrement CAA à aucun niveau, sévérité faible. DNSSEC : elle demande les enregistrements DS via DNS sur HTTPS ; s'il n'y en a à aucun niveau, sévérité faible. Expiration : elle consulte la date d'expiration par RDAP, le successeur de whois ; 7 jours ou moins restants, élevée ; 30 ou moins, moyenne ; 60 ou moins, faible. Si le registre ne publie pas la date ou qu'une requête échoue, il n'y a pas de constat : dans le doute, rien n'est inventé.
Pourquoi c'est important
Les trois points protègent le domaine lui-même, qui se trouve sous tout le reste. Sans CAA, n'importe laquelle des plus de cent autorités de certification du monde peut émettre un certificat valide pour ton domaine ; avec CAA, seules celles que tu autorises le peuvent, ce qui rend une émission frauduleuse détectable. Sans DNSSEC, les réponses DNS de ton domaine ne sont pas signées et un attaquant qui empoisonne le cache d'un résolveur peut envoyer tes utilisateurs vers un autre serveur sans que rien ne le trahisse. Et l'expiration est le risque le plus bête et le plus définitif : un domaine qui expire tombe entièrement (site, courrier, API) et, passé le délai de grâce, quelqu'un d'autre peut l'enregistrer. Ça arrive chaque année à de grandes entreprises à cause d'une carte expirée.
Comment corriger
CAA
tondomaine.com. CAA 0 issue "letsencrypt.org"
tondomaine.com. CAA 0 issuewild ";"
tondomaine.com. CAA 0 iodef "mailto:security@tondomaine.com"Autorise l'autorité qui émet tes certificats. Si tu utilises Vercel ou Netlify, c'est Let's Encrypt ; si tu utilises Cloudflare, consulte sa documentation pour la liste des autorités qu'il emploie et ajoute-les toutes ; si tu achètes des certificats, celle de ton fournisseur. Un CAA qui n'inclut pas ton autorité réelle fait échouer le prochain renouvellement en silence, donc vérifie le premier renouvellement après l'avoir ajouté. issuewild ";" interdit les certificats génériques si tu n'en utilises pas, et iodef indique où signaler une tentative d'émission non autorisée.
DNSSEC
Il s'active à deux endroits. D'abord chez le fournisseur DNS (Cloudflare, Route 53, le registrar lui-même) : c'est généralement un bouton qui signe la zone et t'affiche un enregistrement DS. Ensuite ce DS se publie chez le registrar du domaine, qui le transmet au registre du TLD. Si le DNS et l'enregistrement sont au même endroit, c'est un seul clic. Un avertissement : si un jour tu changes de fournisseur DNS, supprime le DS avant de déplacer la zone, sinon le domaine cessera de résoudre.
Expiration
Active le renouvellement automatique chez le registrar, vérifie que la carte associée n'expire pas avant le domaine, et garde valide l'e-mail de contact, c'est là qu'arrivent les avis. Si le domaine est celui de ton activité, renouvelle pour plusieurs années et active le verrou de transfert. Scanaris te prévient par e-mail 30, 14 et 3 jours avant l'expiration, comme pour les certificats.
Vérifie que c'est corrigé
dig +short CAA tondomaine.com
dig +short DS tondomaine.com
curl -s https://rdap.org/domain/tondomaine.com | grep -oE '"eventAction":"expiration","eventDate":"[^"]+"'Attendu : au moins une ligne issue dans la première, une ou plusieurs lignes dans la seconde, et une date d'expiration lointaine dans la troisième. Les changements DNS prennent de quelques minutes à quelques heures ; le DS peut mettre jusqu'à un jour à apparaître au TLD.
Questions fréquentes
DNSSEC peut-il casser mon site ?
Seulement s'il est mal configuré : un DS qui ne correspond pas aux clés de la zone fait que les résolveurs qui valident rejettent ton domaine. C'est pourquoi il vaut mieux l'activer chez un fournisseur qui gère les clés pour toi et confirmer avec la commande ci-dessus et un validateur externe que tout concorde avant de considérer que c'est fait.
Mon domaine expire dans un an. Pourquoi rien n'apparaît ?
Parce que tout va bien. Le constat n'apparaît qu'à 60 jours ou moins. Pour être tranquille, active le renouvellement automatique maintenant, pendant que ça ne presse pas.
Le CAA remplace-t-il un bon certificat ?
Non, ce sont des choses différentes. Le CAA limite qui peut émettre ; la qualité du certificat et du protocole que tu as est mesurée par certificat TLS. Et la configuration du courrier du même domaine est examinée par authentification e-mail.