En août, j'ai migré neuf noms de domaine vers un nouveau registrar : le site de NES Studio et les huit domaines de nos médias. Une opération banale, qui a pourtant produit une panne d'une semaine sur certains domaines, et surtout une leçon plus large.

La panne

Pendant le transfert, plusieurs domaines ont servi une page de parking au lieu de leur site. Découvert par hasard, moins de 24 heures après. Sur un autre domaine, une clé de sécurité DNS devenue incohérente a rendu le domaine injoignable : le seul geste correctif était détenu par le registrar sortant. Aucune des deux issues prévues ne s'est produite ; la panne s'est résolue quand le transfert a emporté la clé avec lui.

L'erreur évitée

Pour ne plus découvrir ce genre de panne par hasard, j'ai écrit un outil qui déclare l'état voulu de chaque zone DNS et le compare chaque jour à la réalité. Première version : l'outil lisait le DNS en place et le prenait pour état voulu.

C'était juste le 5 août, quand tout fonctionnait. Le 6, certains domaines étaient passés chez le nouveau registrar : leur DNS en place était la page de parking. L'outil aurait recopié la panne, l'aurait déclarée comme cible, et le détecteur de dérive aurait ensuite confirmé chaque jour que tout était conforme.

Un outil qui déduit sa cible de l'existant n'est fiable que tant que l'existant est sain.

Deux principes qui en découlent

L'état voulu est écrit, jamais déduit. Ce qui doit être vrai est déclaré par un humain, versionné, et c'est la réalité qu'on compare à lui, pas l'inverse.

On compare une chose, pas sa forme. Deux clés de signature d'e-mail avaient exactement la même longueur et une empreinte totalement différente. Une clé se compare par son empreinte, une adresse comme une adresse. La plupart des fausses alertes viennent d'une comparaison de surface, et un outil qui crie au loup cesse d'être lu.

Au-delà du DNS

La même erreur guette tous les projets d'IA qui « apprennent de l'existant » : un agent qui déduit la bonne pratique de vos données actuelles apprendra aussi vos anomalies. Avant d'automatiser, écrivez ce qui doit être vrai.