Lors de notre vérification du 12 octobre 2026, IANA indique que KSK-2024 est active et signe depuis le 11 octobre. Le changement est donc confirmé par la page de référence sur l’état des clés, et pas simplement déduit du calendrier. État IANA: https://www.iana.org/dnssec/files. L’article de Cloudflare du 6 octobre décrivait la préparation : il constitue un guide préalable, pas un bilan d’incidents après l’événement. Explication Cloudflare: https://blog.cloudflare.com/root-ksk-2024-rollover/. POURQUOI CETTE ACTUALITÉ CONCERNE LES ENTREPRISES Commencez par identifier qui exploite les résolveurs du bureau, des serveurs applicatifs et de la supervision. Il peut s’agir de trois équipes différentes. Demandez à chacune si elle a vérifié ses ancres de confiance racine. Un navigateur fonctionnel sur un ordinateur ne prouve pas que tous les environnements de production sont prêts. Inversement, cette mise à jour de l’état des clés ne prouve pas que votre propre site a subi une panne. Pour un propriétaire de domaine, l’évaluation pratique commence par les dépendances, pas par l’achat d’un autre nom. Notez le chemin DNS utilisé par la boutique, l’intégration de paiement et le serveur de courrier sortant. Attribuez à chacun un responsable et un résultat de test. C’est notre recommandation opérationnelle : une courte liste transforme une annonce d’infrastructure en actions concrètes sans en faire une urgence générale. QUE TESTER AUJOURD’HUI Choisissez trois tâches ordinaires : ouvrir le site depuis une connexion externe, envoyer un message de test avec le formulaire de contact et réaliser un contrôle sûr d’un service backend. Notez l’heure, le réseau et le résultat. En cas d’échec, recueillez l’erreur DNS exacte et comparez une autre connexion avant de modifier la zone. Une erreur générique du navigateur ne suffit pas à accuser DNSSEC. Des changements limités rendent l’enquête compréhensible. Si vous exploitez un résolveur validant, utilisez la procédure d’inspection et de mise à jour des ancres prise en charge par l’éditeur. L’apprentissage automatique des clés est normalisé par RFC 5011 ; ne présumez pas qu’une vieille image de machine virtuelle a conservé cet état. RFC 5011: https://www.rfc-editor.org/rfc/rfc5011.html. L’existence d’un mécanisme de mise à jour et la preuve d’une configuration correcte de l’instance actuelle sont deux contrôles différents. INTERPRÉTER LES TESTS DE PRÉPARATION Cloudflare propose un test de préparation à la clé racine ; RFC 8509 définit le mécanisme sentinel utilisé. Il faut interpréter le résultat en tenant compte de la prise en charge du mécanisme : un résultat indéterminé ne prouve pas qu’un domaine est en panne. Spécification sentinel: https://www.rfc-editor.org/rfc/rfc8509.html. Pour un résolveur interne, conservez la sortie de l’outil avec l’adresse du serveur et la version du logiciel, puis faites-la examiner par l’administrateur responsable. CE QUE CETTE MISE À JOUR NE CHANGE PAS Ne changez pas les clés de signature de votre domaine ou ses serveurs de noms uniquement parce que la clé racine a changé. Partezz des instructions du fournisseur et d’un symptôme réel. Une migration DNS et la maintenance des ancres racine sont deux opérations distinctes, avec des responsables différents. Ne les réunissez pas dans une même séance de diagnostic sauf si les preuves le justifient. Pour un achat de domaine, ajoutez la responsabilité DNS et la récupération des accès à la procédure de remise. Un nom mémorable n’est qu’un élément d’une adresse professionnelle utilisable. Consultez le catalogue DomainEvery: https://domainevery.com/fr/domains, puis documentez qui entretiendra le DNS et la messagerie. NOTE ÉDITORIALE ET SOURCES Il s’agit d’une analyse de l’état publié des clés et d’une proposition de contrôles pour les entreprises. Nous n’avons ni mesuré la disponibilité mondiale ni vérifié chaque résolveur. Sources primaires : IANA : ancres de confiance et état du changement: https://www.iana.org/dnssec/files, article préparatoire Cloudflare du 6 octobre: https://blog.cloudflare.com/root-ksk-2024-rollover/, RFC 5011: https://www.rfc-editor.org/rfc/rfc5011.html, RFC 8509: https://www.rfc-editor.org/rfc/rfc8509.html.