[{"data":1,"prerenderedAt":237},["ShallowReactive",2],{"seo-verification":3,"blog-activer-dnssec-domaine-client-registrar-fr":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-activer-dnssec-domaine-client-registrar-fr",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":28,"featuredImage":30,"bgImage":31,"posterImage":32,"relatedSolution":30,"intro":33,"sections":34,"ctaTitle":183,"ctaBody":184,"ctaButton":185,"ctaUrl":186,"relatedPosts":187},529,"activer-dnssec-domaine-client-registrar",{"fr":10,"en":12,"ar":13,"es":14},"enable-dnssec-client-domain-registrar-ds","تفعيل-dnssec-نطاق-العميل-سجل-ds-registrar","activar-dnssec-dominio-cliente-registrador-ds","Activer DNSSEC sur le domaine d'un client sans DS orphelin","Activer DNSSEC dans le bon ordre : signer la zone, publier le DS chez le registrar, vérifier avec dig et delv, changer d'hébergeur DNS sans DS orphelin.",11,0,false,"2026-10-29T00:00:00+00:00","2026-10-29T15:45:55+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},8,"Sécurité & Monitoring","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[29],{"id":23,"name":24,"slug":25,"color":26,"icon":27},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Factiver-dnssec-domaine-client-registrar-poster.svg","Activer DNSSEC sur le domaine d'un client tient en deux gestes : signer la zone chez l'opérateur DNS, puis publier l'enregistrement DS chez le registrar. Le risque tient à l'ordre et au retour arrière : un DS qui ne correspond plus à aucune clé publiée rend le domaine injoignable pour les résolveurs validants, alors qu'il répond ailleurs. Ce guide donne la séquence, les commandes de vérification avec leurs sorties réelles, la procédure pour changer d'hébergeur DNS sans DS orphelin, et ce que ServOrbit.com fait ou ne fait pas.",[35,39,42,67,102,105,115,118,139,142,173,177,180],{"type":36,"title":37,"body":38},"h2","Pourquoi une erreur de DS est une panne, pas un défaut","DNSSEC fait confiance en chaîne : la zone parente (par exemple celle de l'extension) publie un enregistrement DS, empreinte de la clé de signature de la zone du client, et les résolveurs validants comparent cette empreinte aux clés réellement publiées par la zone. Si l'empreinte ne correspond plus à aucune clé, le résolveur ne peut pas prouver que les réponses sont authentiques et il refuse de répondre : le client reçoit un SERVFAIL.\n\nC'est ce qui rend l'erreur traître. Le domaine continue de répondre chez un résolveur qui ne valide pas, donc un test rapide depuis un poste ou un réseau d'entreprise peut sembler correct, pendant que les utilisateurs derrière un résolveur public validant ne résolvent plus rien. Un DS orphelin n'abaisse pas la sécurité : il coupe le domaine. Le reste du guide sert à ne jamais en fabriquer un, et à savoir en sortir.",{"type":36,"title":40,"body":41},"Qui fait quoi : opérateur DNS, registrar, registre","Trois acteurs interviennent, et la confusion entre eux cause la plupart des incidents. L'opérateur DNS héberge la zone et détient les clés : c'est lui qui signe et qui publie les DNSKEY et les signatures RRSIG. Le registrar est l'interface commerciale où le titulaire gère son nom, et il transmet au registre l'enregistrement DS. Le registre tient la zone parente et publie le DS.\n\nLe DS ne se crée donc jamais côté registrar seul : il copie une information produite par l'opérateur DNS. Si le domaine est chez un registrar mais que ses serveurs de noms pointent vers un autre opérateur, la signature se demande à l'opérateur DNS, et le DS se saisit chez le registrar. La définition générale de DNSSEC et son rôle contre l'empoisonnement de cache sont supposés connus ici ; l'article sur le changement de clé racine du 11 octobre 2026, côté résolveur, traite l'autre extrémité de la chaîne.",{"type":43,"title":44,"steps":45},"steps","Activer DNSSEC dans le bon ordre",[46,49,52,55,58,61,64],{"title":47,"body":48},"Vérifier que l'extension et le registrar acceptent le DS","Avant de toucher à la zone, confirmez que le registrar propose un champ DS pour cette extension et que le registre accepte l'algorithme prévu. Tous les registres n'acceptent pas tous les algorithmes : la liste de l'extension fait foi, pas celle de l'opérateur DNS. Certaines extensions n'offrent pas DNSSEC du tout, par règle du registre.",{"title":50,"body":51},"Écrire le plan de retour arrière avant de commencer","Notez l'état actuel : serveurs de noms, TTL de la zone, absence de DS. Relevez-le avec `dig NS votre-domaine.com +short` et `dig DS votre-domaine.com +short`. Écrivez aussi qui peut supprimer le DS chez le registrar, et par quel canal, en cas de problème. Un retour arrière qui dépend d'une personne injoignable n'en est pas un.",{"title":53,"body":54},"Signer la zone chez l'opérateur DNS","Activez la signature dans l'interface de l'opérateur, ou avec ses outils si vous gérez vous-même le serveur. L'opérateur génère la clé de signature de clé (KSK) et la clé de signature de zone (ZSK), puis publie les DNSKEY et les RRSIG. À ce stade, rien ne change pour les résolveurs : sans DS dans la zone parente, la zone est signée mais non validée, donc sans risque.",{"title":56,"body":57},"Attendre la propagation des DNSKEY et des signatures","Les résolveurs gardent en cache les anciennes réponses jusqu'à la fin de leur TTL. Attendez au moins le TTL le plus long de la zone avant de passer à la suite, et vérifiez que `dig +dnssec votre-domaine.com DNSKEY` renvoie bien les clés et leur signature depuis chacun des serveurs de noms.",{"title":59,"body":60},"Relever les paramètres du DS","L'opérateur DNS fournit quatre valeurs : le key tag, l'algorithme, le type de digest et l'empreinte. Vérifiez qu'elles correspondent à la KSK publiée (le champ flags vaut 257) et choisissez le digest SHA-256, type 2. Copiez-les par copier-coller et non à la main : une erreur d'un caractère produit un DS orphelin.",{"title":62,"body":63},"Publier le DS chez le registrar","Saisissez les quatre valeurs dans le champ DS du registrar. Le registre publie ensuite le DS dans la zone parente, avec un délai propre à l'extension. Tant que ce délai n'est pas écoulé, certains résolveurs voient encore l'ancien état : ne conclure qu'après vérification.",{"title":65,"body":66},"Vérifier la chaîne de bout en bout","Interrogez le serveur du parent, puis un résolveur validant, puis `delv`, comme détaillé dans la section suivante. Gardez le plan de retour arrière ouvert jusqu'à ce que les trois contrôles soient bons depuis au moins deux résolveurs publics validants différents.",{"type":68,"title":69,"headers":70,"rows":74},"comparison","Algorithmes et digests : ce que la RFC 8624 impose",[71,72,73],"Paramètre","Valeur","Statut dans la RFC 8624",[75,79,83,87,91,95,98],[76,77,78],"Signature ECDSAP256SHA256","13","MUST, choix courant",[80,81,82],"Signature RSASHA256","8","MUST",[84,85,86],"Signature ED25519","15","RECOMMENDED",[88,89,90],"Signature ED448 et ECDSAP384SHA384","16 et 14","MAY",[92,93,94],"Signatures RSASHA1 et variantes","5, 7 et 10","NOT RECOMMENDED",[96,97,82],"Digest du DS : SHA-256","2",[99,100,101],"Digest du DS : SHA-1 et GOST","1 et 3","MUST NOT pour la délégation",{"type":36,"title":103,"body":104},"Vérifier avec dig et delv, sorties à l'appui","Quatre contrôles suffisent. Le premier, `dig +dnssec votre-domaine.com DNSKEY`, doit renvoyer deux DNSKEY avec les flags 256 (ZSK) et 257 (KSK) et un RRSIG. Le deuxième, `dig DS votre-domaine.com @\u003Cserveur du parent>`, interroge directement la zone parente et doit renvoyer une ligne de la forme `\u003Ckey tag> \u003Calgorithme> \u003Ctype de digest> \u003Cempreinte>`, par exemple `2371 13 2 \u003Cempreinte>` (valeurs illustratives) : le key tag doit être celui de la KSK publiée par l'opérateur.\n\nLe troisième, `dig +dnssec votre-domaine.com A @1.1.1.1`, doit afficher le drapeau `ad` (authenticated data) dans la ligne flags, par exemple `flags: qr rd ra ad`. Le quatrième, `delv votre-domaine.com A @1.1.1.1`, doit afficher `; fully validated` avant la réponse. Un échec ressemble à ceci : `dig` renvoie `status: SERVFAIL`, souvent avec EDE 9 DNSKEY Missing, et `delv` signale `resolution failed`.",{"type":106,"title":107,"items":108},"ul","Ce qui peut bloquer chez le registrar ou le registre",[109,110,111,112,113,114],"**Aucun champ DS** — le registrar ne propose pas la saisie pour cette extension, ou seulement par ticket : demandez-le avant de signer la zone.","**Algorithme refusé** — le registre n'accepte qu'une partie des algorithmes de la RFC 8624 ; lisez la liste de l'extension et non celle de l'opérateur DNS.","**Digest limité** — certains formulaires n'acceptent que le SHA-256 ; c'est le bon choix, mais il faut le savoir avant de générer le DS.","**Délai de publication** — la zone parente n'est pas mise à jour instantanément ; ce délai dépend de l'extension : ne testez pas trop tôt.","**Extension sans DNSSEC** — certaines extensions n'offrent pas la fonction ; le domaine reste valide mais ne peut pas être signé.","**Validation manuelle** — la demande passe par un ticket du registrar ou un contact, ce qui allonge le retour arrière : à intégrer au plan.",{"type":36,"title":116,"body":117},"Changer d'hébergeur DNS sans laisser de DS orphelin","C'est le cas qui produit le plus de pannes. Le DS reste chez le registrar, tandis que les serveurs de noms changent : si le nouvel opérateur ne signe pas, ou signe avec d'autres clés, l'ancien DS ne correspond plus à rien et les résolveurs validants répondent SERVFAIL. Le même incident survient lors d'une migration de zone où l'ancien DS est conservé.\n\nLa RFC 6781 distingue deux cas, selon que l'ancien opérateur coopère ou non. S'il coopère, le nouvel opérateur et lui échangent leurs clés publiques et publient les deux jeux pendant la bascule, ce qui évite toute période non signée. S'il ne coopère pas, la RFC conclut que la seule opération viable est de laisser la zone passer à l'état non signé : retirer le DS, changer les serveurs de noms, puis réinsérer un DS pointant vers la zone nouvellement signée. Dans le doute, appliquez la version prudente ci-dessous, qui marche dans les deux cas.",{"type":43,"title":119,"steps":120},"Procédure prudente de changement d'hébergeur DNS",[121,124,127,130,133,136],{"title":122,"body":123},"Préparer la zone chez le nouvel opérateur","Recréez tous les enregistrements, sans signer ni changer de serveurs de noms. Comparez les deux zones enregistrement par enregistrement, par exemple avec `dig @\u003Cancien serveur> votre-domaine.com MX +short` puis `dig @\u003Cnouveau serveur> votre-domaine.com MX +short`, et de même pour A et TXT.",{"title":125,"body":126},"Relever le TTL du DS","Interrogez `dig DS votre-domaine.com @\u003Cserveur du parent>` et notez le TTL affiché : c'est le temps pendant lequel les résolveurs peuvent encore croire à l'ancien DS.",{"title":128,"body":129},"Supprimer le DS chez le registrar","Faites supprimer le DS, puis constatez sa disparition avec la même commande sur le serveur du parent. La zone devient non signée pour les résolveurs, ce qui est un état valide et sans panne.",{"title":131,"body":132},"Attendre l'expiration du TTL du DS","Patientez au moins la durée relevée avant de toucher aux serveurs de noms. Retirer les clés avant que le DS ait expiré des caches recrée exactement le DS orphelin que l'on cherche à éviter.",{"title":134,"body":135},"Changer les serveurs de noms","Modifiez les NS chez le registrar. Vérifiez la bascule avec `dig NS votre-domaine.com @\u003Cserveur du parent>` puis testez la résolution depuis un résolveur validant. Le guide sur le changement de serveurs de noms détaille l'opération dans l'espace client.",{"title":137,"body":138},"Signer chez le nouvel opérateur puis republier le DS","Activez la signature, attendez la propagation des DNSKEY, relevez les nouveaux paramètres et publiez le DS comme à l'activation initiale. Terminez par les quatre contrôles dig et delv.",{"type":36,"title":140,"body":141},"Rollover de clés, CDS et CDNSKEY","Deux opérations de maintenance se ressemblent mais n'ont pas le même effet sur le registrar. Un rollover de ZSK ne demande aucune action chez le registrar, car le DS ne porte que sur la KSK. Un rollover de KSK impose un nouveau DS : la RFC 6781 décrit la double signature en quatre phases, avec une attente d'au moins le TTL du DS avant de retirer l'ancienne clé. Lors d'un changement d'algorithme, la même RFC demande de retirer d'abord le DS du parent, puis le DNSKEY et les signatures.\n\nPour éviter la saisie manuelle, la RFC 7344 définit les enregistrements CDS et CDNSKEY : l'opérateur DNS publie dans la zone le DS souhaité et l'agent du parent peut le consommer, après validation DNSSEC. La RFC 8078 y ajoute la suppression, par `CDS 0 0 0 0` ou `CDNSKEY 0 3 0 0`. Reste que le registre ou le registrar décide de les consommer ou non, et que leur support dépend de l'extension. Le 13 octobre 2026, l'ICANN a ouvert une consultation publique sur l'évaluation de sécurité et de stabilité de l'automatisation des DS, ouverte jusqu'au 23 novembre 2026. L'annonce ne mentionne pas CDS ni CDNSKEY : l'automatisation n'est ni adoptée ni imminente à ce stade.",{"type":68,"title":143,"headers":144,"rows":148},"Symptômes, causes et remèdes",[145,146,147],"Symptôme","Cause probable","Remède",[149,153,157,161,165,169],[150,151,152],"SERVFAIL chez 1.1.1.1 ou 8.8.8.8, réponse normale ailleurs","DS orphelin ou clé absente de la zone","Retirer le DS, attendre son TTL, republier un DS correct",[154,155,156],"`EDE: 9 (DNSKEY Missing)` dans la sortie de dig","Aucune DNSKEY ne correspond au DS","Comparer le key tag du DS à la KSK publiée",[158,159,160],"`delv` répond `resolution failed`","Chaîne de confiance rompue","Tester avec `dig +cd` pour confirmer que la zone répond sans validation",[162,163,164],"Pas de drapeau `ad` mais pas d'erreur","Résolveur non validant ou DS pas encore publié","Interroger un autre résolveur, attendre le délai du registre",[166,167,168],"Panne après changement de serveurs de noms","Nouvel opérateur non signé, ancien DS conservé","Suivre la procédure prudente, en commençant par retirer le DS",[170,171,172],"Signatures expirées","Signature automatique arrêtée chez l'opérateur","Relancer la signature, comparer les dates du RRSIG",{"type":174,"title":175,"body":176},"tip","Le plan de retour arrière se rédige avant, pas pendant","Notez par écrit l'état de départ, la commande qui prouve chaque étape et la personne qui peut supprimer le DS en urgence. En cas de doute, la sortie la plus courte est toujours la même : supprimer le DS chez le registrar, puis attendre son TTL. La zone redevient non signée mais joignable, et l'on diagnostique ensuite sans pression avec `dig +cd`.",{"type":36,"title":178,"body":179},"Ce que fait ServOrbit.com et ce qu'il ne fait pas","DNSSEC ne s'active pas en libre-service depuis l'espace client. Pour en faire la demande, ouvrez un ticket depuis votre espace client ou écrivez à support@servorbit.com. La prise en charge dépend de l'extension et de son registre, notamment pour les domaines .ma. ServOrbit.com ne signe pas les zones à votre place et n'expose pas de champ DS dans l'espace client : ce guide décrit la méthode, pas une fonction automatique. Le DNS managé Cloudflare, présenté dans le guide d'activation correspondant, n'est mentionné ici que sur un point : changer de serveurs de noms sur un domaine déjà signé expose au DS orphelin. Pour ajouter ou modifier des enregistrements pendant la préparation, le guide sur les enregistrements DNS reste la référence, et celui sur le transfert sortant couvre le cas d'un changement de registrar. Guide fourni, pas de prise en charge.",{"type":36,"title":181,"body":182},"La documentation officielle","RFC 6781, pratiques opérationnelles DNSSEC : https:\u002F\u002Fwww.rfc-editor.org\u002Frfc\u002Frfc6781.html\n\nRFC 8624, algorithmes et digests : https:\u002F\u002Fwww.rfc-editor.org\u002Frfc\u002Frfc8624.html\n\nRFC 7344, CDS et CDNSKEY : https:\u002F\u002Fwww.rfc-editor.org\u002Frfc\u002Frfc7344.html\n\nRFC 8078, gestion du DS par l'enfant : https:\u002F\u002Fwww.rfc-editor.org\u002Frfc\u002Frfc8078.html\n\nConsultation ICANN sur l'automatisation du DS : https:\u002F\u002Fwww.icann.org\u002Fen\u002Fannouncements\u002Fdetails\u002Ficann-seeks-input-on-security-stability-assessment-of-dnssec-ds-automation-13-10-2026-en\n\nChangement de KSK de la racine : https:\u002F\u002Fwww.icann.org\u002Fresources\u002Fpages\u002Fksk-rollover-en","Domaines et DNS au même endroit","Suivre ses domaines, leurs serveurs de noms et son hébergement depuis un seul espace simplifie la préparation d'un changement. Pour une demande DNSSEC, ouvrez un ticket depuis l'espace client ; la prise en charge dépend de l'extension.","Gérer mes domaines","\u002Fdomaines",[188,204,224],{"id":189,"slug":190,"slugs":191,"title":195,"excerpt":196,"readTime":197,"views":18,"isPinned":19,"publishedAt":198,"updatedAt":199,"category":200,"categories":201,"featuredImage":30,"bgImage":31,"posterImage":203,"relatedSolution":30},493,"rollover-ksk-racine-dns-2026-dnssec-resolveurs",{"fr":190,"en":192,"ar":193,"es":194},"root-dnssec-ksk-rollover-2026-check-your-resolver","تغيير-مفتاح-الجذر-dnssec-2026-فحص-المحلل","rollover-ksk-raiz-dnssec-2026-revisar-resolver","Rollover KSK racine DNSSEC : vérifier votre résolveur","La racine DNS est signée par KSK-2024 (key tag 38696). Vérifiez l'ancre de confiance d'Unbound, BIND, Knot Resolver, systemd-resolved ou dnsmasq, et corrigez.",12,"2026-10-22T00:00:00+00:00","2026-10-23T13:27:02+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[202],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Frollover-ksk-racine-dns-2026-dnssec-resolveurs-poster.svg",{"id":205,"slug":206,"slugs":207,"title":211,"excerpt":212,"readTime":213,"views":214,"isPinned":19,"publishedAt":215,"updatedAt":216,"category":217,"categories":221,"featuredImage":30,"bgImage":31,"posterImage":223,"relatedSolution":30},449,"changer-serveurs-de-noms-domaine",{"fr":206,"en":208,"ar":209,"es":210},"change-domain-nameservers","تغيير-خوادم-الأسماء-للنطاق","cambiar-servidores-de-nombres-dominio","Changer les serveurs de noms d'un domaine","Modifiez les serveurs de noms (NS) d'un domaine enregistré chez ServOrbit depuis l'espace client, sans couper votre site ni votre messagerie.",2,1,"2026-10-16T00:00:00+00:00","2026-10-16T01:57:35+00:00",{"id":197,"name":218,"slug":219,"color":220,"icon":219},"Guides","guides","bg-emerald-500\u002F10 text-emerald-400",[222],{"id":197,"name":218,"slug":219,"color":220,"icon":219},"\u002Fblog\u002Fcovers\u002Fchanger-serveurs-de-noms-domaine-poster.svg",{"id":225,"slug":226,"slugs":227,"title":231,"excerpt":232,"readTime":213,"views":214,"isPinned":19,"publishedAt":215,"updatedAt":216,"category":233,"categories":234,"featuredImage":30,"bgImage":31,"posterImage":236,"relatedSolution":30},446,"activer-dns-manage-cloudflare-domaine",{"fr":226,"en":228,"ar":229,"es":230},"activate-managed-cloudflare-dns-domain","تفعيل-dns-المدار-cloudflare-على-النطاق","activar-dns-gestionado-cloudflare-dominio","Activer le DNS managé Cloudflare sur un domaine","Activez le DNS managé (Cloudflare) d'un domaine depuis votre espace client : import des enregistrements, délégation des serveurs de noms et vérification.",{"id":197,"name":218,"slug":219,"color":220,"icon":219},[235],{"id":197,"name":218,"slug":219,"color":220,"icon":219},"\u002Fblog\u002Fcovers\u002Factiver-dns-manage-cloudflare-domaine-poster.svg",1793289100906]