{"id":9,"date":"2026-09-11T14:03:30","date_gmt":"2026-09-11T14:03:30","guid":{"rendered":"https:\/\/noteback.chabod.eu\/?p=9"},"modified":"2026-09-11T14:03:30","modified_gmt":"2026-09-11T14:03:30","slug":"doc-04-dns-bascule","status":"publish","type":"post","link":"https:\/\/noteback.chabod.eu\/?p=9","title":{"rendered":"DNS : ce qu’il faut changer, et quand"},"content":{"rendered":"\n

Document g\u00e9n\u00e9r\u00e9 automatiquement depuis \/home\/jerome\/pub\/docs\/04-dns-bascule.md<\/code> sur kimsufi3, le 11 September 2026 \u00e0 14:03. Toute modification faite ici sera \u00e9cras\u00e9e \u00e0 la prochaine r\u00e9g\u00e9n\u00e9ration : \u00e9diter le fichier source.<\/em><\/p>\n\n\n

Relev\u00e9 du 10 septembre 2026, directement aupr\u00e8s des serveurs faisant autorit\u00e9.<\/p>\n

Le paysage r\u00e9el : deux h\u00e9bergeurs, pas un<\/h2>\n\n\n\n\n\n\n\n\n
Domaine<\/th>\nDNS<\/th>\nTTL actuel<\/th>\nTTL minimum<\/th>\nScriptable ?<\/th>\n<\/tr>\n<\/thead>\n
chabod.eu<\/strong><\/td>\nLWS<\/strong> (ns1.lws-hosting.biz<\/code>)<\/td>\nvoir ci-dessous<\/td>\n900 s<\/strong> (15 min)<\/td>\nnon \u2014 panel uniquement<\/td>\n<\/tr>\n
kopains.fr<\/td>\nOVH (ns105.ovh.net<\/code>)<\/td>\n600 s<\/td>\n60 s<\/td>\noui, API OVH<\/strong><\/td>\n<\/tr>\n
bunzenthal.lu<\/td>\nOVH (ns16.ovh.net<\/code>)<\/td>\n3600 s<\/td>\n60 s<\/td>\noui, API OVH<\/strong><\/td>\n<\/tr>\n
chabod.lu<\/td>\nOVH (dns10.ovh.net<\/code>)<\/td>\n60 s<\/strong><\/td>\n60 s<\/td>\noui, API OVH<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

La contrainte des 15 minutes ne concerne donc que chabod.eu<\/code><\/strong>. Les trois autres domaines sont d\u00e9j\u00e0 chez OVH, o\u00f9 la bascule peut \u00eatre script\u00e9e.<\/p>\n

\u2705 Fait le 10\/09\/2026 \u2014 TTL abaiss\u00e9s \u00e0 300 s<\/h2>\n

Abaiss\u00e9s par import d’un fichier de zone<\/strong> dans le panel LWS, ce qui a permis de descendre \u00e0 300 s<\/strong> alors que l’interface annonce 900 s comme minimum.<\/p>\n

\n

L’interface LWS affiche encore 24 h : elle se trompe.<\/strong> Seule compte la r\u00e9ponse des serveurs faisant autorit\u00e9, v\u00e9rifiable par dig +noall +answer kimsufi4.chabod.eu A @ns1.lws-hosting.biz<\/code>.<\/p>\n<\/blockquote>\n\n\n\n\n\n\n\n\n\n\n
Enregistrement<\/th>\nAvant<\/th>\nApr\u00e8s<\/th>\nV\u00e9rifi\u00e9<\/th>\n<\/tr>\n<\/thead>\n
kimsufi4.chabod.eu<\/code><\/td>\n86 400 s<\/td>\n300 s<\/strong><\/td>\nns1, ns2, et les r\u00e9solveurs publics<\/td>\n<\/tr>\n
mail.chabod.eu<\/code><\/td>\n21 600 s<\/td>\n300 s<\/strong><\/td>\nidem<\/td>\n<\/tr>\n
chabod.eu<\/code><\/td>\n7 200 s<\/td>\n300 s<\/strong><\/td>\nidem<\/td>\n<\/tr>\n
kopains.fr<\/code> (OVH)<\/td>\n600 s<\/td>\n600 s<\/td>\nsuffisant<\/td>\n<\/tr>\n
chabod.lu<\/code> (OVH)<\/td>\n60 s<\/td>\n60 s<\/td>\nsuffisant<\/td>\n<\/tr>\n
bunzenthal.lu<\/code> (OVH)<\/td>\n3 600 s<\/td>\n600 s<\/strong><\/td>\nfait le 10\/09<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Google (8.8.8.8), Cloudflare (1.1.1.1) et Quad9 (9.9.9.9) renvoient tous 300 s, en 30 \u00e0 40 ms. La propagation est effective ; les caches encore porteurs de l’ancien TTL de 24 h se seront align\u00e9s au plus tard le 11\/09\/2026<\/strong>.<\/p>\n

Anomalie relev\u00e9e : deux serveurs de noms sur quatre refusent la zone<\/h3>\n

ns3.lwsdns.com<\/code> (91.216.107.20) et ns4.lwsdns.com<\/code> (91.107.253.2) r\u00e9pondent REFUSED<\/strong> pour chabod.eu<\/code>, alors qu’ils sont d\u00e9clar\u00e9s dans la zone. Seuls ns1<\/code> et ns2<\/code> la servent. C’est l’anomalie d\u00e9j\u00e0 not\u00e9e dans traefik-migration\/README.md<\/code>.<\/p>\n

Impact pratique faible<\/strong> : les r\u00e9solveurs apprennent vite quels serveurs r\u00e9pondent et privil\u00e9gient ns1<\/code>\/ns2<\/code> \u2014 d’o\u00f9 les 40 ms mesur\u00e9es. Mais la zone n’a en r\u00e9alit\u00e9 que deux<\/strong> serveurs au lieu de quatre, donc moins de redondance qu’annonc\u00e9. \u00c0 signaler \u00e0 LWS sans urgence.<\/p>\n

Urgent :<\/del> le TTL de kimsufi4.chabod.eu<\/code> \u00e9tait \u00e0 24 heures<\/h2>\n\n\n\n\n\n\n\n\n\n\n
Enregistrement<\/th>\nTTL actuel<\/th>\nCouvre<\/th>\n<\/tr>\n<\/thead>\n
kimsufi4.chabod.eu<\/code><\/strong><\/td>\n86 400 s \u2014 24 h<\/strong><\/td>\ncloud, music, note, films, git, ha, autoconfig<\/td>\n<\/tr>\n
mail.chabod.eu<\/code><\/td>\n21 600 s \u2014 6 h<\/td>\n\u2014<\/td>\n<\/tr>\n
chabod.eu<\/code><\/td>\n7 200 s \u2014 2 h<\/td>\n\u2014<\/td>\n<\/tr>\n
kopains.fr<\/code><\/td>\n600 s \u2014 10 min<\/td>\nwww.kopains.fr<\/code><\/td>\n<\/tr>\n
bunzenthal.lu<\/code><\/td>\n3 600 s \u2014 1 h<\/td>\nwww.bunzenthal.lu<\/code><\/td>\n<\/tr>\n
chabod.lu<\/code><\/td>\n60 s \u2014 1 min<\/td>\nfelix<\/code>, tim<\/code><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Une bascule faite aujourd’hui mettrait jusqu’\u00e0 24 heures \u00e0 \u00eatre visible partout<\/strong>, pas 30 minutes. L’enregistrement pivot est le pire des six.<\/p>\n

Le pi\u00e8ge : abaisser un TTL ne prend effet qu’apr\u00e8s son expiration<\/h3>\n

Un r\u00e9solveur qui a d\u00e9j\u00e0 kimsufi4.chabod.eu<\/code> en cache le garde 24 h<\/strong>, quelle que soit la nouvelle valeur publi\u00e9e entre-temps. Il faut donc abaisser les TTL au moins 24 h avant<\/strong> toute bascule, test compris.<\/p>\n

\n

Fait le 10\/09\/2026.<\/strong> C’\u00e9tait le geste le plus rentable du projet.<\/p>\n<\/blockquote>\n

Plafond de propagation : 10 minutes<\/h3>\n

Les six enregistrements sont abaiss\u00e9s. Le TTL le plus long est celui de kopains.fr<\/code> et bunzenthal.lu<\/code> (600 s) : c’est le plafond de propagation d’une bascule<\/strong>. Les noms les plus critiques \u2014 mail, cloud, ha, git, note, music, films, tous d\u00e9pendants du pivot kimsufi4.chabod.eu<\/code> \u2014 sont \u00e0 5 minutes.<\/p>\n

\n

Un d\u00e9lai de gr\u00e2ce reste \u00e0 respecter.<\/strong> L’ancien TTL de kimsufi4.chabod.eu<\/code> \u00e9tait de 24 h : les r\u00e9solveurs qui l’avaient encore en cache au moment du changement le conservent jusqu’\u00e0 24 h. Tous les caches seront align\u00e9s au plus tard le 11\/09\/2026<\/strong>. Aucune bascule, test compris, avant cette date.<\/p>\n<\/blockquote>\n

Pas besoin de toucher aux CNAME<\/h2>\n

Point subtil, qui \u00e9vite du travail inutile. Les CNAME ont des TTL tr\u00e8s vari\u00e9s (note<\/code> 813 s, music<\/code> et films<\/code> 21 600 s, cloud<\/code> et ha<\/code> ~7 100 s), mais ils n’entrent pas en jeu dans la bascule<\/strong> : ils continueront de pointer vers kimsufi4.chabod.eu<\/code>, ce qui reste correct.<\/p>\n

Un r\u00e9solveur ayant en cache cloud.chabod.eu CNAME kimsufi4.chabod.eu<\/code> refera de toute fa\u00e7on la requ\u00eate A<\/code> sur kimsufi4.chabod.eu<\/code> d\u00e8s que ce<\/strong> TTL expire, et obtiendra la nouvelle adresse. Seuls les 6 enregistrements A comptent.<\/strong><\/p>\n

RTO r\u00e9aliste avec un TTL de 300 s<\/h2>\n\n\n\n\n\n\n\n\n\n
\u00c9tape<\/th>\nDur\u00e9e<\/th>\n<\/tr>\n<\/thead>\n
D\u00e9cision et lancement<\/td>\n2 min<\/td>\n<\/tr>\n
Restauration des dumps + d\u00e9marrage des stacks sur k3 (Atom)<\/td>\n10-15 min<\/td>\n<\/tr>\n
Modification des 6 enregistrements<\/td>\n3 min<\/td>\n<\/tr>\n
Propagation DNS<\/td>\njusqu’\u00e0 5 min<\/strong><\/td>\n<\/tr>\n
Total<\/strong><\/td>\n~20-25 min<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

L’objectif de 30 minutes est d\u00e9pass\u00e9.<\/strong> Le facteur dominant n’est plus le DNS mais le d\u00e9marrage des conteneurs sur l’Atom<\/strong> \u2014 c’est d\u00e9sormais l\u00e0 qu’il faut chercher du temps si l’on veut descendre plus bas.<\/p>\n

Le mail est le cas le plus favorable<\/h3>\n

Un serveur distant qui ne joint pas mail.chabod.eu<\/code> r\u00e9essaie pendant plusieurs jours<\/strong> \u2014 c’est le fonctionnement normal de SMTP. Un courrier retard\u00e9 de 15 min n’est pas perdu, et il n’y a pas de rejet d\u00e9finitif sur un simple d\u00e9lai. Le RTO du mail est donc bien moins critique que celui du web.<\/p>\n

Option devenue peu utile : rapatrier chabod.eu<\/code> chez OVH<\/h2>\n

Tes trois autres domaines y sont d\u00e9j\u00e0. OVH offre un TTL minimum de 60 s<\/strong> et une API DNS<\/strong> qui rendrait la bascule scriptable de bout en bout \u2014 ce que tu souhaitais au d\u00e9part et que LWS ne permet pas.<\/p>\n

Gain d\u00e9sormais marginal sur le RTO<\/strong>, puisque LWS sert d\u00e9j\u00e0 du 300 s. Il resterait l’automatisation (plus de manipulation manuelle) et la correction de l’anomalie ns3<\/code>\/ns4<\/code>.<\/p>\n

Co\u00fbt : le transfert d’une zone qui porte du courrier (MX, SPF, DKIM, DMARC, autoconfig, autodiscover) est une op\u00e9ration d\u00e9licate, \u00e0 mener \u00e0 part et au calme. Ce n’est pas un pr\u00e9requis du projet, mais c’est le seul levier qui fasse r\u00e9ellement descendre le RTO.<\/p>\n

\n

Le MX secondaire LWS \u2014 tranch\u00e9 le 10\/09\/2026<\/h2>\n

chabod.eu<\/code> a un MX 50 91.216.107.237<\/code> = mail18.lwspanel.com<\/code>. La question restait ouverte depuis le d\u00e9but du projet ; la reponse est oui, LWS reprend le courrier<\/strong> quand k4 est injoignable.<\/p>\n

Cons\u00e9quence majeure : aucun courrier n’est perdu pendant une panne.<\/strong> Le seul point que INVENTAIRE-CRITICITE.md<\/code> mesure en minutes \u2014 la r\u00e9ception du courrier \u2014 est donc d\u00e9j\u00e0 couvert par un tiers, ind\u00e9pendamment de ce projet.<\/p>\n

La nuance qui reste \u00e0 v\u00e9rifier<\/h3>\n

\u00ab Repris dans le webmail LWS \u00bb n’est pas \u00ab spool\u00e9 puis relay\u00e9 \u00bb :<\/p>\n\n\n\n\n\n\n
Comportement<\/th>\nCons\u00e9quence<\/th>\n<\/tr>\n<\/thead>\n
spool + relais<\/td>\nlivr\u00e9 \u00e0 mail.chabod.eu<\/code> au retour, tout arrive dans SOGo, transparent<\/td>\n<\/tr>\n
livraison dans un webmail LWS<\/strong><\/td>\nbo\u00eete s\u00e9par\u00e9e<\/strong>, jamais livr\u00e9e \u00e0 mailcow<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Si c’est le second cas \u2014 ce que la formulation sugg\u00e8re \u2014 alors apr\u00e8s une panne le courrier vit \u00e0 deux endroits qui ne se r\u00e9concilient pas. Rien n’est perdu, mais il faut aller le chercher, et il n’appara\u00eetra jamais dans l’IMAP.<\/p>\n

\u00c0 v\u00e9rifier une fois, au calme<\/strong> : couper mailcow quelques minutes, s’envoyer un message, et regarder o\u00f9 il atterrit \u2014 et s’il finit par arriver dans SOGo.<\/p>\n

Ce que cela change pour le projet<\/h3>\n
    \n
  • Le RPO du courrier est sauv\u00e9<\/strong> par LWS : la bascule d’urgence n’a plus \u00e0 courir apr\u00e8s les minutes pour \u00e9viter une perte.<\/li>\n
  • Le RTO reste pertinent<\/strong> : les messages ne sont pas dans la bo\u00eete habituelle de l’utilisateur, et l’\u00e9mission depuis chabod.eu<\/code> reste indisponible.<\/li>\n
  • La bascule planifi\u00e9e<\/strong> (dist-upgrade) n’est pas concern\u00e9e : elle vise le RPO 0 et un arr\u00eat propre, pas le rattrapage d’une panne.<\/li>\n<\/ul>\n

    Autrement dit : le mode urgence devient moins urgent, le mode planifi\u00e9 reste la raison d’\u00eatre du dispositif.<\/p>","protected":false},"excerpt":{"rendered":"

    Document g\u00e9n\u00e9r\u00e9 automatiquement depuis \/home\/jerome\/pub\/docs\/04-dns-bascule.md sur kimsufi3, le 11 September 2026 \u00e0 14:03. Toute modification faite ici sera \u00e9cras\u00e9e \u00e0 la prochaine r\u00e9g\u00e9n\u00e9ration : \u00e9diter le fichier source. Relev\u00e9 du 10 septembre 2026, directement aupr\u00e8s des serveurs faisant autorit\u00e9. Le paysage r\u00e9el : deux h\u00e9bergeurs, pas un Domaine DNS TTL actuel TTL minimum Scriptable ? […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[2],"tags":[],"class_list":["post-9","post","type-post","status-publish","format-standard","hentry","category-exploitation-dockersync"],"_links":{"self":[{"href":"https:\/\/noteback.chabod.eu\/index.php?rest_route=\/wp\/v2\/posts\/9","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/noteback.chabod.eu\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/noteback.chabod.eu\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/noteback.chabod.eu\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/noteback.chabod.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=9"}],"version-history":[{"count":0,"href":"https:\/\/noteback.chabod.eu\/index.php?rest_route=\/wp\/v2\/posts\/9\/revisions"}],"wp:attachment":[{"href":"https:\/\/noteback.chabod.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=9"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/noteback.chabod.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=9"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/noteback.chabod.eu\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=9"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}