Un reverse DNS lookup prend une adresse IP et renvoie le nom d’hôte qui y est enregistré. La résolution directe transforme unspam.email en adresse IP ; le reverse DNS fait l’inverse, à partir d’un enregistrement PTR publié par le propriétaire du bloc d’adresses IP.
C’est pour l’e-mail que cela compte le plus. Les serveurs de réception regardent si votre adresse IP d’envoi possède un enregistrement reverse DNS avant de décider quoi faire de votre message, et son absence est lue comme un signal fort d’expéditeur mal configuré ou jetable. Sur les adresses IP d’envoi que nous testons, 99 % disposent d’un reverse DNS valide, et le 1 % qui en est dépourvu saute immédiatement aux yeux.
Ce guide explique ce qu’est le reverse DNS, comment lancer une résolution en ligne de commande ou depuis un navigateur, et comment créer l’enregistrement PTR lui-même.
Qu’est-ce que le reverse DNS ?
Le reverse DNS est la résolution qui détermine le nom d’hôte associé à une adresse IP donnée. La résolution directe fait l’inverse : elle récupère une adresse IP à partir d’un nom d’hôte.
Le DNS lui-même, c’est le Domain Name System, l’annuaire téléphonique d’internet, et il fonctionne dans les deux sens parce que les humains comme les machines doivent le lire. Les résolutions directes sont celles que vous utilisez tous les jours sans y prêter attention. Les résolutions inverses sont celles dont les serveurs de messagerie se servent pour décider s’ils vous font confiance.
Point essentiel à retenir sur le reverse DNS : même si l’IETF affirme que chaque domaine devrait pouvoir faire l’objet d’une résolution, toutes les adresses IP n’ont pas d’entrée inverse.
La raison est banale : le reverse DNS n’est pas indispensable au bon fonctionnement du DNS. Le reverse DNS lookup n’est donc qu’une recommandation, pas une obligation.
Dans la plupart des cas, cependant, et en particulier pour des entreprises connues ou sérieuses, la résolution inverse se fait sans difficulté.
Appuyez sur lecture pour charger cette vidéo depuis YouTube (Google). Consultez notre politique de cookies.
Comment fonctionne le reverse DNS ?
Un résolveur inverse l’adresse IP, y accole le suffixe de la zone inverse et demande au DNS l’enregistrement PTR situé à ce nom. Les étapes sont les suivantes :
- Le système cherche un enregistrement PTR sur le serveur.
- Si l’enregistrement existe, il récupère l’adresse IP et l’accole à « .in-addr.arpa » (ou à « .ip6.arpa » dans le cas d’IPv6) pour obtenir l’emplacement du fichier contenant les informations du domaine. Il en extrait ensuite le nom d’hôte.
- Si l’enregistrement PTR est absent, il ne peut pas associer le domaine et l’adresse IP : le résultat renvoyé est indéfini.
Une résolution qui ne renvoie rien n’est pas une erreur. Elle signifie qu’aucun enregistrement PTR n’est publié pour cette adresse, ce qui est courant sur les accès internet grand public et sur les hébergements mutualisés, et c’est exactement l’état que les serveurs de réception jugent suspect.
Voyons quelques bonnes raisons pour lesquelles le reverse DNS compte.
Le principe de base du reverse DNS lookup
Pourquoi le reverse DNS compte pour les e-mails que vous envoyez
Le reverse DNS est l’un des signaux de confiance les moins coûteux qu’un expéditeur puisse publier, et l’un des rares à être contrôlé avant même que votre contenu soit examiné. Trois choses en dépendent.
L’acceptation de vos e-mails
Comme SPF, DKIM et DMARC, le reverse DNS sert à séparer les expéditeurs légitimes des infrastructures jetables. Les serveurs de messagerie interrogent l’adresse IP d’envoi, et beaucoup rejettent ou pénalisent lourdement une connexion quand aucun enregistrement PTR ne revient, en partant du principe qu’un expéditeur sérieux contrôle son propre bloc d’adresses IP, ce qui n’est en général pas le cas d’un spammeur. Les serveurs de réception les plus stricts exigent en plus un reverse DNS confirmé dans les deux sens, le forward-confirmed reverse DNS, où le nom d’hôte de l’enregistrement PTR résout vers la même adresse IP.
Le reverse DNS n’est toutefois qu’un signal parmi d’autres : la situation de l’adresse IP sur les blacklists pèse tout autant, et sur les adresses IP d’envoi que nous testons, 6 % apparaissent sur une blacklist d’adresses IP. Pour voir exactement depuis quelle adresse IP un message est parti et comment le serveur destinataire l’a jugé, passez un message suspect dans notre Email Header Analyzer.
Le filtrage antispam et le traçage des abus
Le reverse DNS est au cœur de plusieurs techniques antispam éprouvées de longue date. Un serveur de réception qui résout une adresse IP entrante en mail.yourcompany.com la traite très différemment d’une adresse qui ne résout vers rien, ou vers un nom d’hôte générique de fournisseur d’accès du type host-92-14-233-8.dynamic.example.net. C’est la même résolution qui permet aux services abuse et aux équipes de sécurité d’identifier l’opérateur derrière une adresse IP qui envoie des e-mails malveillants, sonde un pare-feu ou tente de s’introduire dans un système.
Des journaux lisibles et un diagnostic plus rapide
Les journaux serveur, les traceroutes et les outils de supervision résolvent les adresses IP en noms d’hôte pour qu’un humain puisse les lire. Sans reverse DNS, votre trafic apparaît dans les journaux de tout le monde sous la forme d’une simple suite de chiffres, ce qui ralentit vos propres diagnostics et vous fait passer pour un anonyme aux yeux de quiconque enquête sur un incident.
Ce que le reverse DNS ne fait pas. Il ne vous dit pas qui a visité votre site web, quelles pages ont été lues, combien de temps les visiteurs sont restés ni quel appareil ils utilisaient. Ces informations viennent de l’analyse d’audience, et l’attribution au niveau de l’entreprise que certains éditeurs vendent par-dessus provient de bases de données commerciales reliant les adresses IP aux organisations, pas d’un enregistrement PTR. Une résolution inverse renvoie un nom d’hôte, et rien d’autre.
Le reverse DNS est facultatif pour le protocole et obligatoire en pratique
Le reverse DNS n’est pas nécessaire au fonctionnement du DNS, et c’est précisément pour cette raison que tant d’expéditeurs s’en passent, alors que s’en passer coûte cher. L’IETF attend de chaque adresse qu’elle soit résolvable, mais un enregistrement PTR manquant ne casse rien techniquement : rien ne vous force la main tant que vos e-mails ne commencent pas à être rejetés.
En réalité, les serveurs de réception et les fournisseurs de messagerie contrôlent la configuration du reverse DNS au moment de décider quoi faire des e-mails venant de votre serveur. Ils vérifient si l’adresse IP du serveur d’envoi possède un enregistrement reverse DNS. La plupart des serveurs considèrent l’absence d’enregistrement comme une fraude et rejettent sans discussion les e-mails de cette source. C’est désormais une norme établie : sur les adresses IP d’envoi que nous testons, 99 % disposent d’un reverse DNS valide, et le 1 % qui en est dépourvu saute immédiatement aux yeux des serveurs destinataires.
Si vous menez des campagnes emailing et sollicitez sans cesse vos abonnés par ce canal, l’absence de reverse DNS devient un vrai point de blocage : vos e-mails seront rejetés sans raison valable. Il est donc fortement recommandé de configurer le reverse DNS de votre domaine pour garantir une bonne délivrabilité.
Avec un reverse DNS en place, vous contribuez enfin à la communauté et vous vous attaquez à des problèmes de sécurité courants. Cette configuration de base aide d’autres acteurs à repérer des menaces potentielles et à combattre la cybercriminalité plus efficacement, ce qui crée un écosystème sûr et transparent pour vous et vos clients.
Comment faire un reverse DNS lookup ?
Il existe deux façons de lancer un reverse DNS lookup : une seule commande sur votre propre machine, ou un outil en ligne si vous préférez ne pas toucher à un terminal.
La première passe par la ligne de commande. La plupart des systèmes d’exploitation (Linux, macOS et bien sûr Windows) savent interroger le Domain Name System pour obtenir un nom d’hôte à partir d’une adresse IP : votre ordinateur de bureau ou portable peut donc vous aider directement.
Les utilisateurs de Windows peuvent par exemple recourir aux commandes « ping » ou « nslookup ». La requête ressemble à ceci :
ping -a w.x.y.z
ou
nslookup 7.7.7.7
Si la zone de résolution inverse existe, ces commandes renvoient le nom de domaine.
Sous Linux, vous pouvez utiliser la commande « dig » suivie de l’option « -x » et de l’adresse IP, comme ceci
dig -x 7.7.7.7
Si la ligne de commande vous effraie, une résolution depuis un navigateur donne exactement la même réponse.
Trois outils qui font un reverse DNS lookup dans le navigateur
Unspam, MxToolBox et WhatIsMyIP résolvent tous les trois une adresse IP en nom d’hôte sans terminal, et tous les trois sont gratuits pour ce contrôle.
- Unspam.email. Unspam est une plateforme professionnelle de test de spam et de prédiction de heatmap. Parmi ses nombreux outils de diagnostic, vous trouverez le reverse DNS lookup. Il vous éclairera sur votre enregistrement reverse DNS : est-il correctement configuré, le rDNS de l’adresse IP du serveur de messagerie correspond-il au client-IP annoncé dans le HELO, deux points décisifs pour les responsables emailing. Pendant que vous y êtes, complétez-le par un MX Lookup pour confirmer que le serveur qui reçoit réellement les e-mails de votre domaine est bien le même.
- MxToolBox. MxToolBox est un autre service de diagnostic multitâche. La plupart de ses outils sont payants, mais le reverse DNS lookup est gratuit. Saisissez simplement l’adresse IP au format IPv4 ou IPv6 et profitez du résultat.
- WhatIsMyIP. Effectue la résolution directe et la résolution inverse depuis le même champ. Saisissez l’adresse IP et il renvoie le nom d’hôte du PTR.
Comment configurer le reverse DNS en six étapes
Configurer le reverse DNS revient à demander au propriétaire de votre bloc d’adresses IP de vous déléguer la zone inverse, puis à y publier un enregistrement PTR. Tout cela suppose une adresse IP dédiée : sur un hébergement mutualisé, l’enregistrement PTR appartient à votre prestataire et vous ne pouvez pas le modifier.
Étape 1 : rassembler les informations nécessaires
La première chose à faire pour configurer le reverse DNS est de déterminer qui est votre hébergeur et si vous avez accès au DNS.
Dans la majorité des cas, votre hébergeur ou votre fournisseur d’accès possède votre bloc d’adresses IP. Si ce n’est pas le cas, vous pouvez identifier le propriétaire avec des services tiers gratuits comme IP WHOIS Lookup.
Étape 2 : définir le nom de la zone reverse DNS
Une fois le propriétaire du bloc d’adresses IP identifié, contactez-le et demandez une zone pour l’adresse IP de votre serveur de messagerie.
Vous remarquerez que cette zone se termine par « in-addr.arpa » et contient un bloc d’adresses IP dont les octets sont inversés. C’est la syntaxe officielle à utiliser pour créer votre propre zone reverse DNS.
Le format est simple : il commence par une adresse IP aux octets inversés et se termine par « .in-addr.arpa ».
Suivez cette procédure simple en 5 étapes pour définir le nom de votre zone reverse DNS :
- Prenez l’adresse IP de votre réseau.
- S’il s’agit d’un bloc d’adresses sans classe, retirez la partie masque de sous-réseau. S’il s’agit d’un bloc d’adresses complet, omettez le dernier octet.
- Inversez l’ordre des octets restants.
- Ajoutez « in-addr.arpa » à la fin.
- S’il s’agit d’un bloc d’adresses sans classe, réinsérez le masque dans l’adresse avec un tiret (-). Notez cependant que certaines autorités d’attribution vous demanderont une barre oblique (/) pour que ce soit valide.
Prenons un exemple pour bien comprendre la procédure.
Vous disposez par exemple de l’adresse IP 187.133.11.219/27. C’est un bloc d’adresses sans classe : vous devez donc retirer la partie masque, à savoir « /27 ».
Vous obtenez donc 187.133.11.219
Inversez ensuite l’ordre des octets : 219.11.133.187
Ajoutez alors « .in-addr.arpa » : 219.11.133.187.in-addr.arpa
Réinsérez enfin la partie masque avec le tiret : 219-27.11.133.187.in-addr.arpa
Étape 3 : demander la délégation du reverse DNS
Demandez à votre fournisseur d’accès de déléguer le reverse DNS à votre fournisseur DNS. Pour cela, vous devez lui communiquer les serveurs de noms de votre domaine.
Vous pouvez trouver le serveur de noms de votre domaine grâce à un outil gratuit, le Dig Web Interface Tool.
Si l’hébergeur ou le fournisseur d’accès ne peut pas déléguer le reverse DNS, il fera probablement tout lui-même. Vous pouvez alors laisser la configuration à l’équipe support et sauter les étapes suivantes.
Étape 4 : créer la zone reverse DNS
Connectez-vous chez votre hébergeur et trouvez le menu DNS dans le panneau de configuration.
Cliquez dessus et choisissez « Gérer le DNS ». Le libellé peut varier légèrement.
Cliquez sur « Ajouter des domaines ».
Saisissez le nom de la zone reverse DNS que nous avons défini à l’étape 2.
Étape 5 : créer l’enregistrement PTR
Une fois le fichier de zone créé, vous devez créer un enregistrement PTR. Cela prend deux étapes dans votre panneau de configuration.
Ouvrez l’onglet correspondant. Selon votre prestataire, il peut s’appeler « PTR record » ou quelque chose d’approchant.
Saisissez le dernier chiffre de l’adresse IP dans le champ « name ».
Saisissez dans le champ « canonical name » le nom de domaine vers lequel vous voulez faire pointer l’adresse IP.
Étape 6 : vérifiez l’enregistrement au lieu d’attendre
La propagation est régie par le TTL de la zone : un nouvel enregistrement PTR est donc généralement visible en quelques minutes à quelques heures, et non au bout des deux jours qu’annonçaient les vieux conseils. Laissez passer jusqu’à 24 h avant de conclure à un problème, et relancez la résolution pour confirmer au lieu d’attendre à l’aveugle.
Enregistrement DNS pour Unspam.email
Un seul enregistrement PTR, et le travail est fait
Le reverse DNS coûte un enregistrement et vous vaut le bénéfice du doute auprès de tous les serveurs de réception, et c’est pourquoi 99 % des adresses IP d’envoi que nous testons en disposent déjà.
Identifiez le propriétaire de votre bloc d’adresses IP, demandez-lui de déléguer la zone inverse, publiez un enregistrement PTR qui pointe vers un nom d’hôte que vous contrôlez, puis vérifiez que ce nom d’hôte résout bien vers la même adresse IP. Lancez ensuite un test de spam gratuit pour voir comment le côté réception lit désormais vos e-mails, et regardez les en-têtes d’un vrai message pour confirmer que le PTR est bien renvoyé.
