Modifications DNS pas encore visibles : propagation et TTL

Ce que ça veut dire

Quand un serveur a besoin de votre enregistrement SPF, DKIM ou MX, il ne le demande pas à votre fournisseur DNS à chaque fois. Il le demande une fois et garde la réponse en cache pendant un certain temps. Cette durée est le TTL (time to live, « durée de vie »), réglé en secondes sur chaque enregistrement.

• 300 = 5 minutes
• 3600 = 1 heure
• 86400 = 24 heures

Tant que le cache n'a pas expiré, certains serveurs voient encore l'ancienne valeur. Ce délai s'appelle la « propagation ».

Pourquoi c'est important

Après une correction, votre test peut encore échouer un moment, et vous risquez de croire que la correction n'a pas marché. Pire, vous risquez de tout modifier à nouveau et de créer une vraie erreur. Comprendre le cache vous aide à attendre le bon temps.

Combien de temps attendre

• Un nouvel enregistrement (qui n'a jamais existé) : en général quelques minutes. Mais si quelqu'un l'a cherché juste avant que vous le créiez, la réponse « n'existe pas » est aussi gardée en cache, parfois une heure ou plus.
• Un enregistrement modifié : jusqu'à l'ancien TTL. Si l'ancien TTL était de 24 heures, certains serveurs peuvent voir l'ancienne valeur pendant une journée.
• De nouveaux serveurs de noms (quand vous déplacez tout votre DNS chez un autre hébergeur) : jusqu'à 24 à 48 heures.
• Certains fournisseurs DNS mettent aussi du temps à publier votre modification après que vous avez cliqué sur « Enregistrer ».

Comment vérifier la vraie valeur

1. Interrogez directement votre hébergeur DNS. Trouvez vos serveurs de noms (par exemple ns1.your-dns-host.com), puis interrogez-les, ce qui contourne tous les caches :

   dig TXT yourdomain.com @ns1.your-dns-host.com
   dig TXT _dmarc.yourdomain.com @ns1.your-dns-host.com

2. Si cette réponse est fausse, le problème n'est pas la propagation : l'enregistrement n'a pas été sauvegardé, il est au mauvais nom, ou vous avez modifié le DNS chez un fournisseur qui n'est pas utilisé. Vérifiez quels serveurs de noms votre domaine utilise réellement.
3. Si cette réponse est juste, il suffit d'attendre. Des outils publics comme le Google Admin Toolbox Dig montrent ce que voient les grands résolveurs.
4. Utilisez le scanner de domaine sur /domain-scanner pour voir vos enregistrements SPF, DKIM, DMARC et MX comme les verrait un serveur de réception.

Préparez les gros changements à l'avance

• La veille de la modification d'un enregistrement important (MX, SPF), baissez son TTL à 300. Attendez que l'ancien TTL soit écoulé, faites la modification, puis remontez le TTL (3600 est une bonne valeur normale).
• Quand vous changez de fournisseur de messagerie, gardez les anciennes boîtes actives pendant deux jours, car certains emails peuvent encore y arriver.
• Ne modifiez pas le même enregistrement plusieurs fois de suite. Faites une modification soignée et attendez.

Vérifiez que c'est corrigé

Une fois que votre hébergeur DNS donne la bonne réponse et que le TTL est écoulé, relancez le scanner de domaine. Envoyez ensuite un nouvel email de test depuis la page d'accueil de Delivmail : le rapport lit les enregistrements à neuf au moment du test et doit les montrer valides.