Gestion DNS et certificats SSL à Paris et en petite couronne : devis gratuit en 2 minutes

Le DNS traduit les noms de domaine en informations que les machines savent utiliser. Il indique aussi où arrivent les courriels et quels serveurs ont le droit de les envoyer au nom de l’entreprise. Un certificat SSL/TLS, de son côté, atteste l’identité d’un site ou d’un service et chiffre les échanges avec le navigateur ou le client de messagerie.

Domaines, zones et bureaux d’enregistrement

Un nom de domaine est enregistré auprès d’un bureau d’enregistrement, avec un titulaire, des contacts administratifs et une date d’échéance. Sa zone DNS, hébergée chez ce bureau d’enregistrement ou chez un autre fournisseur, contient les enregistrements : un enregistrement A pour une adresse, un CNAME pour un alias, un MX pour acheminer la messagerie, un TXT pour les preuves de propriété et les règles de messagerie. Un enregistrement CAA peut aussi limiter les autorités de certification autorisées à émettre pour le domaine, et DNSSEC signe la zone contre la falsification des réponses.

Certificats et autorités de certification

Un certificat est délivré par une autorité de certification, après contrôle du domaine ou de l’organisation. Selon le besoin, il couvre un nom précis, une liste de noms, ou tous les sous-domaines d’un même niveau dans le cas d’un certificat générique (wildcard). La durée de validité maximale des certificats publics se réduit par étapes, décidées par les éditeurs de navigateurs et les autorités de certification : le renouvellement manuel devient de moins en moins tenable. Le protocole ACME permet d’automatiser les demandes et les renouvellements, à condition d’être branché sur chaque équipement qui porte le certificat.

Authentification de la messagerie

SPF liste les serveurs autorisés à envoyer des messages pour le domaine. DKIM appose une signature cryptographique sur les messages sortants. DMARC indique au destinataire quoi faire des messages qui échouent à ces contrôles.

Ces sujets restent invisibles tant que tout fonctionne. Ils surgissent quand un service s’arrête ou quand une messagerie se dégrade. Les signaux suivants justifient de reprendre la main :

• Un avertissement de sécurité sur le site : le visiteur voit une erreur de certificat avant même le premier échange.
• Des domaines dispersés : les noms ont été achetés au fil des années, parfois au nom d’un ancien collaborateur ou d’un ancien prestataire.
• Une échéance oubliée : aucune alerte n’arrive à la bonne personne, et le domaine ou le certificat expire sans que quiconque l’ait vu venir.
• Des courriels en indésirables : les clients ne reçoivent plus les messages, sans que l’équipe en identifie la raison.
• Une adresse usurpée : des messages frauduleux reprennent le nom de l’entreprise, faute de règles de réception sur le domaine.
• Une zone DNS que personne ne lit : des enregistrements obsolètes rendent chaque modification risquée.
• Un changement d’hébergeur ou de messagerie : il faut toucher aux enregistrements sans couper le site ni la messagerie.

Dans la plupart des cas, un seul de ces signaux suffit à justifier un inventaire. Plusieurs signaux présents en même temps indiquent en général un parc sans propriétaire clair.

Avant : inventaire et diagnostic

Le point de départ est un inventaire complet : chaque nom de domaine, son bureau d’enregistrement, son titulaire, sa date d’échéance, la zone DNS associée et les certificats qui en dépendent. L’état de SPF, DKIM et DMARC est relevé en lecture seule, sans rien modifier. Ce diagnostic permet de chiffrer le travail et d’ordonner les corrections : une échéance proche passe avant une optimisation de confort.

Pendant : nettoyage, sécurisation et automatisation

Les zones sont nettoyées avec précaution. Chaque enregistrement retiré doit être identifié, documenté et sauvegardé, car un enregistrement oublié peut interrompre un service. Les comptes des bureaux d’enregistrement reçoivent une double authentification et un verrouillage des transferts. Les renouvellements de certificats sont automatisés là où c’est possible, puis les équipements restants sont repris un par un. Les règles de messagerie sont posées en mode observation, lues pendant une période, puis renforcées progressivement.

Après : alertes et passation

Les alertes d’échéance sont adressées à plusieurs personnes, et non à une boîte partagée que personne ne consulte. Les rapports DMARC font l’objet d’une lecture régulière. Le dossier final, comprenant l’inventaire, le schéma des zones et la procédure de renouvellement, est remis à l’entreprise, qui doit pouvoir s’en servir sans le prestataire. Le calendrier exact se précise au devis, selon la taille du parc.

Deux propositions peuvent sembler proches et couvrir des périmètres très différents. Le premier point de comparaison est le périmètre : la proposition liste-t-elle les domaines, les zones DNS, les certificats et l’authentification de la messagerie, ou seulement une partie ? Le deuxième est la propriété des accès : les comptes des bureaux d’enregistrement doivent être au nom de l’entreprise, avec un contact administratif identifié, et non chez le prestataire seul. Le troisième concerne les renouvellements. Une offre précise ce qui est automatisé, avec quel protocole, et ce qui reste manuel, comme un certificat installé sur un équipement fermé. Le quatrième touche aux alertes : qui les reçoit, à quelle anticipation et par quel canal. Enfin, le dossier de passation doit être écrit et livré, sans quoi la maîtrise du parc reste dans une seule tête.

Une offre claire distingue aussi les interventions planifiées des interventions d’urgence, comme un certificat expiré un vendredi soir, avec leurs conditions de déclenchement et de facturation. Elle explique ses choix plutôt que de promettre un résultat sans condition.

Quelques erreurs reviennent souvent dans les dossiers repris après coup, et chacune a une parade simple à prévoir dès le cadrage.

1. Supprimer un enregistrement sans l’avoir identifié. Parade : exporter la zone avant toute modification et noter l’usage de chaque entrée.
2. Laisser un certificat hors de l’automatisation. Parade : inventorier tous les équipements qui le portent, y compris les équipements réseau et les caméras.
3. Durcir SPF ou DMARC sans période d’observation. Parade : lire les rapports reçus, corriger les sources légitimes, puis renforcer la règle.
4. Ranger les domaines sur un compte personnel. Parade : créer des comptes au nom de l’entreprise, y transférer les domaines et consigner les accès dans un registre tenu à jour.
5. Confier les alertes à une seule personne. Parade : désigner plusieurs destinataires et vérifier toute la chaîne d’alerte par un test.

Avant de comparer les offres, posez ces quatre questions au prestataire. Ses réponses doivent être précises, écrites et rattachées au devis.

1. Les domaines restent-ils enregistrés au nom de l’entreprise ? Demandez la liste des titulaires et la confirmation que l’entreprise détient les accès administratifs.
2. Quels renouvellements sont automatisés, et lesquels restent manuels ? Une réponse utile nomme les équipements concernés et le protocole employé.
3. Qui reçoit les alertes d’échéance ? Plusieurs destinataires valent mieux qu’une boîte partagée sans suivi.
4. Les rapports DMARC sont-ils suivis et expliqués ? Une offre utile prévoit une lecture régulière et une explication dans un langage clair pour l’équipe.

Pour les points techniques ou juridiques, le conseil de l’entreprise peut valider le périmètre avant la signature.