Simple = une requête au résolveur · Trace = descente depuis la racine
optionsOptions avancées
Points clés de l'outil
Réponse CAA du nom interrogé
Affichez les enregistrements CAA retournés pour le nom saisi, avec leurs valeurs (Let's Encrypt, DigiCert, etc.) et leur TTL.
Multi-résolveur
Comparez les réponses de Google, Cloudflare et Quad9 pour détecter les problèmes de propagation.
Tags issue et issuewild
Les sections ci-dessous expliquent le rôle de chaque tag. L'outil affiche les valeurs telles qu'elles sont retournées, sans les interpréter.
Tag iodef
Lisez l'adresse de notification iodef si le domaine en publie une. L'outil ne teste pas sa joignabilité et ne garantit aucune notification.
Gratuit et illimité
Testez autant de domaines que nécessaire. Aucune inscription requise.
Comment bien utiliser les différentes options du moteur de recherche DNS ?
Qu'est-ce que la trace itérative ?
La trace exécute la résolution pas à pas. Le résolveur interroge d'abord les serveurs de la racine, puis ceux du TLD (.com, .fr, .eu), puis les serveurs autoritaires de la zone cible. À chaque étape, la page affiche le serveur interrogé, la réponse, le RCODE et la latence.
1. Racine
Découverte des serveurs du TLD pour le nom demandé.
2. TLD
Référence vers les NS de la zone (délégation).
3. Autoritaires
Réponse finale (ou erreur) avec TTL et latence.
À quoi ça sert ?
Comparer les réponses selon les résolveurs
Détecter un cache chaud, un TTL trop long ou une délégation incomplète
Expliquer une différence de latence ou un RCODE inattendu
Astuce : gardez la trace désactivée pour les vérifications rapides ; activez-la quand vous enquêtez ou préparez un ticket/post-mortem.
Qu'est-ce que le mode Simple ?
Le mode Simple interroge uniquement le résolveur sélectionné (UDP ou DoH) et restitue la réponse telle qu'elle est perçue depuis ce point du réseau. Vous obtenez le RCODE, les sections de réponse et la latence du trajet client → résolveur.
1. Résolveur choisi
Utilise le preset ou la configuration personnalisée pour lancer la requête exactement comme votre service.
2. Protocole conservé
Respecte le transport sélectionné (UDP, TCP ou DoH) afin de reproduire le comportement réel.
3. Réponse détaillée
Affiche les sections question, answer, authority/additional quand elles existent, avec TTL et métadonnées utiles.
Pourquoi l'utiliser ?
Vérifier la vision d'un résolveur spécifique avant de suspecter la délégation
Confirmer les valeurs en cache et l'impact d'un TTL ou d'une purge
Documenter une résolution telle qu'un client ou un microservice la voit
Astuce : laissez l'option de trace itérative désactivée quand vous auditez un résolveur donné ; activez-la ensuite pour comparer avec le parcours racine → TLD → autoritaire.
Comment fonctionne le test de propagation ?
Le test interroge en parallèle un ensemble de résolveurs publics (Google, Cloudflare, Quad9, AdGuard, CleanBrowsing, DNS4EU, NextDNS, Surfshark) et groupe les réponses par contenu et RCODE. Vous visualisez instantanément qui a déjà pris en compte la mise à jour.
1. Plusieurs résolveurs
Interroge en parallèle les résolveurs publics du catalogue, depuis nos serveurs en Europe.
2. Comparaison automatique
Regroupe les réponses identiques et signale les divergences ou les erreurs propres à un résolveur.
3. Synthèse exploitable
Fournit un résumé clair, la liste des résolveurs, leurs latences et l'état de chaque groupe.
Quand l'utiliser ?
Suivre la diffusion d'un changement DNS sur les principaux résolveurs publics
Identifier les caches encore anciens et décider d'une purge ciblée
Partager un état de propagation dans un ticket ou un post-mortem
Astuce : le test de propagation est un outil dédié. Pour un diagnostic unitaire sur un résolveur précis, utilisez le mode Simple du DNS Lookup.
Un enregistrement CAA (Certificate Authority Authorization) définit quelles autorités de certification (CA) sont autorisées à émettre des certificats SSL/TLS pour un domaine. C'est une mesure de sécurité qui empêche l'émission non autorisée de certificats.
La politique d'un nom ne vient pas forcément de l'apex. La recherche suit les alias. Si la résolution réussit sans retourner de CAA, elle reprend au parent du nom demandé, puis au premier ancêtre qui retourne un ensemble CAA, jusqu'au TLD inclus. Elle ne remonte pas les parents de la cible d'alias et n'interroge pas la racine. Une erreur de lecture laisse le résultat inconnu.
La CA refuse d'émettre. Souvent, l'ensemble CAA applicable contient des tags issue, ou issuewild pour un wildcard, qui n'autorisent pas cette CA. Ce n'est pas la seule cause : un paramètre accounturi ou validationmethods peut aussi bloquer, et une CA peut refuser tant que la lecture CAA échoue.
Trouvez l'ensemble CAA applicable : nom demandé, alias, puis parents
Chaque commande interroge un seul nom et ne remonte pas vers les parents. Regardez d'abord le statut : SERVFAIL, REFUSED ou un délai ne permettent aucune conclusion. Si le statut est NOERROR sans ligne CAA et que la réponse n'affiche qu'une chaîne d'alias, interrogez aussi son dernier nom cible, sans remonter ses parents. Sans ensemble CAA, interrogez ensuite le parent du nom demandé, puis les suivants jusqu'au TLD. Le guide complet des enregistrements CAA détaille cette procédure, alias compris.
; Autoriser Let's Encrypt pour tous les certificats
captaindns.com. 3600 IN CAA 0 issue "letsencrypt.org"
captaindns.com. 3600 IN CAA 0 issuewild "letsencrypt.org"
; Notifications de sécurité
captaindns.com. 3600 IN CAA 0 iodef "mailto:security@captaindns.com"