Un TXT record publie un texte associé à un nom de domaine. Les services s'en servent pour prouver la propriété du domaine configurer la messagerie comme SPF DKIM DMARC ou exposer des informations techniques.
Un TXT record contient un nom un type une valeur et un TTL. Le TTL indique combien de temps la réponse reste en cache dans le résolveur local.
| Nom | Type | Valeur | TTL en secondes |
|---|
| @ | TXT | "v=spf1 ip4:203.0.113.0/24 ~all" | 3600 |
Dans cet exemple le nom @ vise la racine du domaine. La valeur contient une règle SPF en texte. Un TTL à 3600 correspond à une heure.
| Nom | Type | Valeur | TTL en secondes |
|---|
| selector1._domainkey | TXT | "v=DKIM1; k=rsa; p=MII...AB" | 3600 |
| _dmarc | TXT | "v=DMARC1; p=quarantine; adkim=s; aspf=s" | 3600 |
| @ | TXT | "propriete=token12345" | 300 |
Ces lignes montrent un sélecteur DKIM une politique DMARC et un jeton de vérification. Le nom visé dépend du service utilisé.
Il est possible de publier plusieurs TXT records sur une même étiquette. Chaque valeur apparaît dans la réponse. Pour SPF garder une seule entrée par nom et y regrouper les mécanismes. Pour DKIM utiliser un sélecteur différent pour chaque clé.
Un TTL court rend un changement visible plus vite. Utile pendant une mise à jour de SPF ou une vérification de domaine.
Un TTL moyen ou long réduit les requêtes vers les serveurs autoritaires. Adapté à une configuration stable.
Réduire le TTL quelques heures avant la modification puis le remonter après validation.
Bon à savoir
Une valeur TXT peut dépasser 255 octets. Elle est alors découpée en plusieurs chaînes entre guillemets dans la zone. Les résolveurs recollent ces chaînes côté client.
Publier le TXT sur le nom demandé par le service. SPF se met souvent à l'apex. DKIM se publie sur selector._domainkey. DMARC se met sur _dmarc. Les services de vérification donnent un nom précis. Un TXT peut coexister avec A AAAA MX sur le même nom.
À éviter
Avoir deux entrées SPF sur le même nom. Fusionner en une seule valeur.
Oublier les guillemets ou mal échapper les caractères spéciaux.
Publier un DKIM au mauvais sélecteur.
Un DNS lookup en ligne permet d'entrer un nom de domaine. On obtient la liste des valeurs TXT ainsi que le TTL visible depuis Internet. C'est un premier contrôle utile. Faire ensuite un test local depuis sa machine.
Windows fournit nslookup. On peut l'utiliser en mode interactif.
nslookup
set q=txt
exemple.com
nslookup
set q=txt
server 1.1.1.1
exemple.com
La première partie interroge selon la configuration réseau de la machine. La seconde force l'usage d'un résolveur tiers ici celui de Cloudflare.
Sur ces systèmes la commande dig est pratique et facile à utiliser.
dig TXT www.exemple.com
dig TXT www.exemple.com @1.1.1.1
Plusieurs lignes indiquent plusieurs valeurs TXT. Lire les préfixes v=spf1 v=DKIM1 v=DMARC1 pour repérer la fonction de chaque entrée.
Un TTL restant élevé peut expliquer un décalage après un changement.
Une valeur vide ou tronquée signale souvent un guillemet manquant ou une coupure mal gérée.
- Noter les valeurs actuelles et le TTL.
- Réduire le TTL à 300 voire 60 secondes quelques heures avant la modification.
- Préparer la nouvelle valeur. Pour SPF fusionner les mécanismes en une seule ligne.
- Publier la nouvelle valeur puis retirer l'ancienne si nécessaire.
- Vérifier avec nslookup ou avec la commande dig depuis plusieurs réseaux et remonter le TTL quand tout est stable.
Astuce pratique
Pour DKIM publier une nouvelle clé sur un nouveau sélecteur. Laisser l'ancienne le temps de la transition. Retirer ensuite l'ancienne clé quand tout est validé.
Publier une règle SPF à l'apex avec les adresses et les domaines autorisés. Tester avant la mise en production.
Publier la clé publique au sélecteur fourni par le service de messagerie. Vérifier que la clé est complète.
Publier une politique sur _dmarc avec la directive p et les options utiles. Surveiller les rapports si activés.
Publier un jeton TXT temporaire fourni par un service. Le retirer après validation si le service le permet.
- Si SPF est signalé invalide vérifier qu'il n'existe qu'une seule entrée SPF au même nom.
- Si DKIM échoue vérifier le sélecteur et la clé. Chercher une coupure ou un espace en trop.
- Si DMARC n'est pas détecté vérifier le nom _dmarc et la valeur v=DMARC1.
- Si la réponse reste ancienne attendre l'expiration du TTL et purger le cache du résolveur local si possible.
En résumé, un enregistrement TXT publie des informations en texte pour un nom de domaine. Il sert aux vérifications aux politiques de messagerie et à d'autres usages techniques. Le TTL règle la durée de cache. Plusieurs TXT peuvent coexister au même nom, mais une seule entrée SPF doit exister. La vérification passe par un outil en ligne puis par nslookup et par dig.
Avec ces repères la gestion reste claire. Les changements se déroulent sans stress. Les services fonctionnent comme prévu.