Comment ça marche
Saisissez un nom de domaine, collez une URL complète ou une adresse e-mail, ou entrez une adresse IPv4/IPv6. L'hôte est d'abord extrait ; les noms de domaine internationaux sont convertis en punycode pour la requête et affichés en Unicode lisible. Chaque type d'enregistrement sélectionné est ensuite demandé à un résolveur public DNS-over-HTTPS, et les réponses sont regroupées par type avec le TTL, le statut de la réponse et le résultat DNSSEC.
example.com → A · AAAA · CNAME · MX · NS · TXT · SOA · CAA | 8.8.8.8 → 8.8.8.8.in-addr.arpa (PTR)
Types d'enregistrement
- A / AAAA: les adresses IPv4 et IPv6 du nom.
- CNAME: un alias qui pointe vers un autre nom.
- MX: les serveurs de messagerie. Le numéro de priorité le plus bas est essayé en premier.
- NS / SOA: les serveurs de noms de la zone et son début d'autorité : serveur principal, e-mail de l'administrateur, numéro de série et délais de rafraîchissement.
- TXT: du texte libre, utilisé pour SPF, DMARC, DKIM et la vérification de propriété. Les chaînes découpées sont recollées automatiquement.
- CAA: les autorités de certification autorisées à émettre des certificats TLS pour le domaine.
- SRV: l'emplacement d'un service avec priorité, poids, port et hôte cible.
- PTR: la résolution inverse d'une adresse IP vers un nom d'hôte, via in-addr.arpa ou ip6.arpa.
- HTTPS: des indications de connexion comme les protocoles pris en charge (alpn, par ex. HTTP/3) et des indices d’adresse IP.
- DS / DNSKEY: les clés publiques DNSSEC et le délégataire de signature (DS) qui les relie à la zone parente. Les key tags sont calculés pour faire correspondre un DS à sa clé.
Vérifications rapides
Pour un nom de domaine, cinq vérifications de base s'affichent sous forme de badges. Un avertissement n'est pas toujours une erreur, mais mérite un coup d'œil.
- SPF: un enregistrement TXT commençant par v=spf1 qui indique qui peut envoyer des e-mails pour le domaine. Plus d'un enregistrement SPF est une erreur.
- DMARC: un enregistrement TXT sous _dmarc.<domaine> qui indique aux destinataires quoi faire des e-mails qui échouent à SPF/DKIM (p=none, quarantine ou reject).
- CAA: limite les autorités de certification autorisées. Les domaines parents sont aussi vérifiés, car CAA s'hérite.
- IPv6: un enregistrement AAAA signifie que le nom est joignable en IPv6.
- DNSSEC: le drapeau AD signifie que le résolveur a vérifié les signatures de la réponse.
Comparer les résolveurs
« Comparer les deux » envoie les mêmes requêtes à Cloudflare et à Google et met en évidence les enregistrements renvoyés par un seul des deux. Des réponses A/AAAA différentes sont souvent normales avec un CDN ou un équilibrage de charge géographique ; en revanche, un numéro de série SOA différent ou des enregistrements manquants peuvent signifier qu'une modification est encore en cours de propagation. Les TTL décroissent séparément dans le cache de chaque résolveur et ne sont donc pas comptés comme des différences.
Confidentialité
Les requêtes partent directement de votre navigateur vers le résolveur choisi, uniquement quand vous cliquez sur Rechercher ou ouvrez un lien partagé contenant q=. Aucun serveur beancuit n'intervient et rien n'est enregistré. Un lien partagé contient le domaine et les types d'enregistrement sélectionnés.
Normes et sources
- DNS : RFC 1034 et RFC 1035 ; résolution inverse via in-addr.arpa et ip6.arpa (RFC 3596)
- DNS over HTTPS (RFC 8484), API JSON de Cloudflare 1.1.1.1 et de Google Public DNS
- SPF RFC 7208, DKIM RFC 6376, DMARC RFC 7489
- CAA RFC 8659, SRV RFC 2782, HTTPS/SVCB RFC 9460
- DNSSEC RFC 4033–4035 (key tag : RFC 4034, annexe B)
Dernière révision 12 octobre 2026
Questions fréquentes
Que puis-je rechercher ?
Un nom de domaine, une URL complète, une adresse e-mail ou une adresse IP. Pour les URL et les adresses e-mail, l'hôte est extrait automatiquement ; pour une adresse IP, c'est l'enregistrement PTR (inverse) qui est recherché. Vous pouvez choisir parmi 13 types : A, AAAA, CNAME, MX, NS, TXT, SOA, CAA, SRV, PTR, HTTPS, DS et DNSKEY.
Pourquoi Cloudflare et Google donnent-ils des résultats différents ?
Chaque résolveur a son propre cache et peut joindre un serveur différent. Les sites derrière un CDN ou un équilibrage géographique renvoient des adresses IP différentes selon l'emplacement, et juste après une modification, un résolveur peut encore garder l'ancien enregistrement jusqu'à l'expiration de son TTL. Choisissez « Comparer les deux » pour voir les différences en surbrillance.
Que signifient NXDOMAIN et SERVFAIL ?
NXDOMAIN signifie que le nom n'existe pas dans le DNS, en général à cause d'une faute de frappe ou d'un domaine non enregistré. SERVFAIL signifie que le résolveur n'a pas obtenu de réponse valide, souvent parce que les serveurs de noms sont injoignables ou que la validation DNSSEC a échoué. NOERROR sans enregistrement signifie que le nom existe mais n'a pas d'enregistrement de ce type.
Que signifie le drapeau DNSSEC AD ?
AD (Authenticated Data) signifie que le résolveur a vérifié les signatures DNSSEC de la réponse et qu'elles sont valides. S'il est absent, la zone n'est probablement pas signée ou la zone parente n'a pas d'enregistrement DS pour elle.
Pourquoi ma modification DNS n'apparaît-elle pas encore ?
Les résolveurs conservent chaque réponse pendant son TTL. Si un enregistrement avait un TTL de 3600, l'ancienne valeur peut rester en cache jusqu'à une heure après la modification. La colonne TTL indique combien de temps la réponse actuelle restera encore en cache.
Ma requête est-elle envoyée quelque part ?
Seulement quand vous cliquez sur Rechercher ou ouvrez un lien partagé contenant q=, et uniquement au résolveur choisi (Cloudflare ou Google). La requête part directement de votre navigateur ; beancuit ne la voit pas et ne l'enregistre pas.