BIND : comprendre ce logiciel serveur DNS

Auteur : Rédaction Domeny.ForSale Publié le 22.10.2026

En bref : BIND (Berkeley Internet Name Domain) est un logiciel libre de serveur DNS, principalement utilisé sur les systèmes Linux et Unix. Il peut publier des informations sur les domaines ou rechercher des réponses DNS pour le compte des utilisateurs. Il est utile lorsque vous avez besoin de maîtriser le fonctionnement du DNS, mais un service DNS géré par un prestataire suffit généralement pour un site web classique.

À quoi sert BIND ?

Le DNS (Domain Name System) est le système de noms de domaine : il permet notamment de déterminer quelle adresse IP correspond au nom saisi dans le navigateur. Il conserve également d’autres informations, comme les serveurs de messagerie d’un domaine ou les données utilisées pour vérifier des services. BIND est l’un des logiciels qui font fonctionner ce système, et non le nom du DNS lui-même.

BIND est développé par l’organisation Internet Systems Consortium (ISC). La branche actuelle du logiciel est BIND 9, et son principal processus serveur porte le nom named. L’ensemble comprend aussi des outils d’administration, notamment pour vérifier la configuration et analyser les réponses DNS.

BIND ne stocke pas les fichiers d’un site et ne remplace pas un serveur web. Il n’enregistre pas non plus de noms de domaine. Son rôle est de fournir des réponses DNS qui permettent au navigateur ou à une autre application de déterminer où se connecter pour joindre le service voulu.

Deux rôles : serveur faisant autorité et résolveur

Un serveur faisant autorité fournit les données de référence des domaines dont il a la charge. L’administrateur les définit dans une zone DNS, c’est-à-dire une partie délimitée de l’espace de noms. Cette zone peut contenir des enregistrements A et AAAA indiquant des adresses IP, des enregistrements MX orientant l’acheminement des courriels et des enregistrements TXT stockant des informations textuelles.

Un résolveur récursif recherche les réponses pour le compte du client. Si l’information nécessaire n’est pas dans son cache, il interroge les serveurs DNS appropriés jusqu’à obtenir un résultat. Il peut ensuite conserver la réponse pendant la durée définie par le TTL, le paramètre qui fixe sa durée maximale de conservation en cache.

BIND peut remplir ces deux rôles, mais leurs exigences en matière d’accès diffèrent. Un serveur public faisant autorité doit répondre aux requêtes concernant les zones qu’il gère. Un résolveur d’entreprise, en revanche, ne doit accepter les requêtes récursives que des clients autorisés, par exemple des appareils du réseau local ou du VPN.

Dans les déploiements publics, il est généralement préférable de séparer ces rôles. Cela facilite l’application de règles de sécurité distinctes et limite les conséquences des erreurs de configuration.

Comment se passe la gestion d’un domaine en pratique ?

Supposons qu’une entreprise déplace son site vers un nouveau serveur, mais conserve sa messagerie chez son prestataire actuel. Si BIND gère sa zone, l’administrateur modifie l’enregistrement A et, si IPv6 est utilisé, l’enregistrement AAAA également. Les enregistrements MX restent inchangés, puisque l’acheminement des courriels ne change pas.

La mise à jour n’est pas nécessairement visible immédiatement pour tous les utilisateurs. Les résolveurs peuvent continuer à utiliser l’ancienne réponse jusqu’à l’expiration de son TTL. Avant une migration planifiée, il est possible de réduire suffisamment à l’avance le TTL des enregistrements concernés. Il faut toutefois garder à l’esprit que l’ancienne valeur, plus longue, reste applicable aux réponses déjà mises en cache.

BIND peut aussi fonctionner comme serveur primaire ou secondaire d’une zone. Le serveur primaire est la source des données de la zone, tandis que le secondaire en récupère une copie par transfert de zone. Il ne s’agit pas d’une répartition entre serveur « actif » et serveur « de secours » : les deux peuvent répondre normalement aux requêtes.

Le simple fait de démarrer BIND ne transfère pas la gestion du domaine vers votre propre infrastructure. Il faut aussi configurer correctement la délégation, c’est-à-dire indiquer les serveurs de noms dans la zone parente, généralement depuis le panneau de gestion du bureau d’enregistrement du domaine.

Que faut-il sécuriser et vérifier ?

Administrer BIND ne se limite pas à modifier des enregistrements. Les points suivants sont particulièrement importants :

Limiter la récursion. Un résolveur ouvert, accessible publiquement, peut être utilisé pour amplifier des attaques DDoS.
Contrôler les transferts de zone. Seuls les serveurs secondaires autorisés doivent pouvoir récupérer des copies des zones.
Mettre à jour le logiciel. La version ainsi que les informations sur le support et les correctifs doivent être vérifiées dans les annonces d’ISC et la documentation de la distribution utilisée.
Assurer la disponibilité de l’infrastructure. Les serveurs de noms doivent fonctionner dans des environnements indépendants afin qu’une seule panne ne mette pas hors service l’ensemble du DNS.

BIND prend en charge DNSSEC, un mécanisme de signature des données DNS et de vérification de leur authenticité. DNSSEC ne chiffre pas les requêtes et ne masque pas les noms consultés. Son déploiement exige une gestion correcte des clés et l’établissement d’un lien entre la zone signée et la zone parente.

Avant d’appliquer des modifications, vous pouvez vérifier la syntaxe de la configuration avec l’outil named-checkconf et le fichier de zone avec l’outil named-checkzone. Après le déploiement, l’outil dig permet de vérifier les réponses de chaque serveur. Une syntaxe correcte ne garantit toutefois ni une délégation correcte ni l’accessibilité du service depuis Internet.

Quand choisir BIND ou un service géré ?

BIND est pertinent lorsqu’une organisation a besoin de sa propre infrastructure DNS, de zones locales, d’un contrôle d’accès précis ou d’une intégration avec l’administration existante de ses systèmes. Il est également utile pour apprendre le DNS, car il permet de configurer soi-même une zone et d’observer les réponses du serveur.

Pour le propriétaire d’un site d’entreprise ou d’une boutique en ligne, un service géré sera souvent plus simple. Le prestataire assure la maintenance des serveurs DNS et de leurs logiciels, tandis que l’utilisateur modifie les enregistrements dans un panneau de gestion. Cela n’implique ni de renoncer à son propre nom de domaine ni de confier le site et le DNS à la même entreprise.

Avant l’installation, clarifiez donc un point : avez-vous seulement besoin de modifier les enregistrements du domaine, ou devez-vous réellement exploiter un serveur DNS ? S’il s’agit uniquement des enregistrements, commencez par examiner les possibilités de votre panneau de gestion DNS actuel : exploiter votre propre BIND implique des responsabilités supplémentaires en matière de disponibilité, de mises à jour et de sécurité.

À lire aussi : Qu’est-ce qu’Apache ?