Un HTTPS record décrit comment joindre un site web. C'est la variante dédiée du SVCB pour le web. Il peut désigner une cible et annoncer des paramètres comme les protocoles le port et la donnée ECH. Les navigateurs l'utilisent pour choisir la meilleure connexion.
Un HTTPS record contient un nom un type une priorité une cible des paramètres et un TTL. Le TTL indique combien de temps la réponse reste en cache dans le résolveur local.
| Nom | Type | Priorité | Cible | Paramètres | TTL en secondes |
|---|
| test.captaindns.com | HTTPS | 1 | cdn.exemple.net. | alpn=h3,h2 port=443 ipv4hint=203.0.113.10 | 3600 |
Dans cet exemple le nom vise le site web. La cible est un autre nom d hôte. Les paramètres indiquent les protocoles la porte d entrée et une adresse de secours. Un TTL à 3600 correspond à une heure.
La priorité à zéro active le mode alias. Le nom se comporte alors comme un alias vers la cible.
| Nom | Type | Priorité | Cible | Paramètres | TTL en secondes |
|---|
| captaindns.com | HTTPS | 0 | cdn.exemple.net. | (aucun paramètre) | 3600 |
Ce mode sert à viser une autre zone tout en restant conforme à l'apex où un CNAME n est pas souhaité.
| Nom du paramètre | Rôle |
|---|
| alpn | Annonce les protocoles comme h2 ou h3 |
| port | Indique la porte d entrée du service |
| ipv4hint | Fournit des adresses v4 indicatives |
| ipv6hint | Fournit des adresses v6 indicatives |
| ech | Publie la donnée ECH pour chiffrer le ClientHello |
Ces paramètres guident le client. Ils ne remplacent pas les enregistrements A et AAAA qui restent la source d adresses.
Un TTL court rend un changement plus visible. Pratique pendant une transition.
Un TTL moyen ou long réduit les requêtes vers les serveurs autoritaires. Adapté à un service stable.
Réduire le TTL quelques heures avant une bascule puis le remonter après validation.
Bon à savoir
Les clients qui ne comprennent pas HTTPS record utilisent A et AAAA. Publier HTTPS n'enlève pas la nécessité de garder ces adresses.
Sur www pour annoncer h3 ou une cible de diffusion. À l'apex en mode alias pour viser un nom tout en restant conforme. Sur un sous domaine d'application si le service web y réside.
HTTPS peut coexister avec A et AAAA. Les navigateurs choisissent IPv6 quand c'est possible et reviennent à IPv4 si besoin.
À éviter
Publier HTTPS sans A ni AAAA sur la cible.
Chaîner plusieurs cibles sans raison.
Déclarer des paramètres qui ne correspondent pas au service réel.
Un DNS lookup en ligne permet d'entrer un nom. On voit la priorité la cible les paramètres et le TTL tels que perçus depuis Internet. C'est un premier contrôle utile. Faire ensuite un test local depuis sa machine.
Windows fournit nslookup. On peut l'utiliser en mode interactif.
nslookup
set q=https
exemple.com
nslookup
set q=https
server 1.1.1.1
exemple.com
La première partie interroge selon la configuration réseau de la machine. La seconde force l'usage d'un résolveur tiers ici celui de Cloudflare.
Sur ces systèmes la commande dig est pratique et facile à utiliser.
dig HTTPS exemple.com
dig HTTPS exemple.com @1.1.1.1
Une priorité à zéro indique un alias. Une valeur supérieure à zéro décrit un service avec paramètres.
La présence de alpn guide le choix h3 ou h2. Les champs ipv4hint et ipv6hint ne sont que des indices.
Un TTL restant élevé peut expliquer un décalage après un changement.
- Choisir l objectif. Alias à l apex ou publication de paramètres sur
www. - Réduire le TTL à 300 voire 60 secondes avant la mise en place.
- Publier l enregistrement HTTPS avec la priorité la cible et les paramètres choisis.
- Vérifier avec nslookup ou avec la commande dig depuis plusieurs réseaux.
- Remonter le TTL quand tout est stable.
Astuce pratique
Documenter la priorité la cible et chaque paramètre. Conserver la date et la raison du changement. Cette trace facilite les contrôles.
Publier alpn h3 sur www. Garder h2 pour compatibilité.
Utiliser le mode alias pour viser le nom fourni par le service. Garder A et AAAA sur la cible.
Publier ech quand la plate-forme le propose. Vérifier la prise en charge côté navigateur.
- Si le site ne profite pas de h3 vérifier la présence de alpn et le support côté serveur.
- Si les clients ignorent HTTPS vérifier A et AAAA sur la cible.
- Si une boucle apparaît vérifier que la cible ne renvoie pas vers le nom d origine.
- Si la réponse reste ancienne malgré la mise à jour attendre l expiration du TTL et purger le cache du résolveur local si possible.
En résumé, un enregistrement HTTPS annonce la façon optimale de joindre un site web. Il peut servir d'alias contrôlé et publier des paramètres utiles comme alpn port et ech. Un TTL bien réglé facilite les transitions. La vérification passe par un outil en ligne puis par nslookup et par dig.
Avec ces repères la gestion reste claire. Les changements se déroulent sans stress. Les utilisateurs accèdent au site sans incident.