Si votre DNS Cloudflare ne se met pas à jour, l'enregistrement a presque toujours déjà été modifié correctement côté Cloudflare : le délai que vous constatez vient d'un résolveur en aval qui sert encore une réponse en cache, ou bien vous examinez un enregistrement proxifié et confondez le comportement de la périphérie (edge) de Cloudflare avec une entrée DNS obsolète. Le réseau faisant autorité de Cloudflare propage les modifications dans le monde entier en quelques secondes. Ce qui traîne, c'est tout ce qui se trouve entre Cloudflare et votre écran : le cache de votre système d'exploitation, votre navigateur, le résolveur de votre FAI et tout résolveur public comme 8.8.8.8 qui a mis en cache l'ancien TTL (time to live, ou durée de vie).
Cet article passe en revue les causes réelles, par ordre de probabilité, et vous donne un moyen rapide de confirmer celle à laquelle vous avez affaire.
Pourquoi les modifications DNS semblent retardées alors qu'elles ne le sont pas
Chaque enregistrement DNS possède un TTL : un nombre de secondes pendant lequel un résolveur est autorisé à mettre la réponse en cache avant de revérifier auprès du serveur faisant autorité (RFC 1035). Si un enregistrement avait un TTL de 3600 secondes avant votre modification, tout résolveur ayant déjà mis en cache l'ancienne valeur peut légitimement continuer à la servir pendant une heure au maximum, même si la périphérie de Cloudflare dispose déjà de la nouvelle réponse.
Il s'agit du comportement standard du DNS, pas d'un bug de Cloudflare. Cela s'applique à tous les fournisseurs DNS ; Cloudflare est simplement celui sur lequel la plupart des gens le remarquent, car son tableau de bord donne l'impression que les modifications sont instantanées.
NoteLes réponses négatives (comme NXDOMAIN, lorsqu'un enregistrement n'existe pas encore) sont mises en cache selon la valeur MINIMUM du SOA de la zone, et non selon le TTL de l'enregistrement lui-même. Un enregistrement nouvellement créé peut donc parfois mettre plus de temps à apparaître qu'un enregistrement modifié.
TTL Cloudflare : ce que signifie réellement « Auto »
L'éditeur d'enregistrements DNS de Cloudflare propose une liste déroulante de TTL avec une option Auto ainsi que des valeurs fixes allant de 1 minute à une semaine. Auto confie le choix du TTL à Cloudflare, qui applique généralement un TTL court adapté à un basculement rapide ; mais du point de vue du résolveur, il s'agit toujours d'une valeur mise en cache.
Si vous vous apprêtez à effectuer une modification qui devra se propager rapidement (par exemple la migration d'un enregistrement A avant un basculement de serveur), abaissez le TTL à une valeur courte, comme 300 secondes, un ou deux jours avant la modification. Ainsi, au moment où vous changez réellement l'enregistrement, les résolveurs ne conservent qu'un cache vieux de 5 minutes au lieu d'une heure.
Le piège du proxy : nuage orange ou nuage gris
C'est de loin la source de confusion la plus fréquente autour d'un « DNS Cloudflare qui ne se met pas à jour ». Lorsqu'un enregistrement est proxifié (nuage orange), Cloudflare ne renvoie pas du tout l'IP de votre serveur d'origine dans les réponses DNS : il renvoie ses propres IP Anycast. Si vous modifiez l'adresse IP de votre origine sur un enregistrement proxifié puis vérifiez le DNS, vous ne verrez donc jamais la nouvelle IP, car Cloudflare ne l'affichait pas au départ.
Dans ce cas, ce que vous essayez réellement de diagnostiquer n'est souvent pas le DNS, mais plutôt :
- Cloudflare qui ne route pas encore vers la nouvelle origine (vérifiez l'IP d'origine de l'enregistrement dans le tableau de bord, pas via une requête DNS)
- La couche CDN/cache de Cloudflare qui sert une ancienne page en cache (il faut purger le cache, pas attendre le DNS)
- Une règle de pare-feu ou de sécurité qui bloque la nouvelle origine
Basculer un enregistrement entre Proxifié et DNS uniquement (nuage gris) modifie également ce que renvoie réellement une requête DNS, et ce changement est soumis à la mise en cache TTL habituelle en aval, comme toute autre modification d'enregistrement.
Comment vérifier ce qui se passe réellement
Avant de supposer que quelque chose est cassé, vérifiez l'enregistrement directement auprès d'un résolveur faisant autorité ou d'un résolveur public reconnu, plutôt que de vous fier à votre propre machine, dont le cache local peut être obsolète.
Utilisez notre outil de recherche DNS gratuit sur le domaine et le type d'enregistrement concernés : il interroge le DNS en direct et vous montre exactement ce qui est renvoyé à cet instant, en contournant le cache de votre appareil. Comparez ensuite avec ce qu'affiche le tableau de bord Cloudflare pour cet enregistrement.
| Ce que vous voyez | Ce que cela signifie |
|---|---|
| L'outil de recherche affiche la nouvelle valeur | Cloudflare est correct ; le cache de votre appareil ou navigateur est obsolète |
| L'outil de recherche affiche l'ancienne valeur, le tableau de bord la nouvelle | Un résolveur en aval respecte encore l'ancien TTL |
| L'outil de recherche n'affiche aucune des deux valeurs | Les serveurs de noms ne sont pas réellement délégués à Cloudflare, ou vous modifiez la mauvaise zone |
| L'enregistrement est proxifié et affiche une IP Cloudflare | Comportement attendu : vérifiez la configuration de l'origine, pas le DNS |
Si l'outil de recherche correspond au tableau de bord, la solution est entièrement locale : videz le cache DNS de votre système, effacez le cache du navigateur ou attendez simplement l'expiration du TTL. Ce n'est pas un problème Cloudflare.
Quand il s'agit d'un problème de délégation, pas de cache
Si une modification n'apparaît vraiment nulle part, quel que soit le temps d'attente, vérifiez que les serveurs de noms du domaine chez le registrar pointent bien vers Cloudflare. Il est courant de modifier des enregistrements dans une zone Cloudflare correctement configurée mais jamais entièrement activée : les enregistrements NS du domaine au niveau du registrar pointent toujours ailleurs, si bien que la périphérie de Cloudflare n'est jamais consultée.
Vérifiez également que vous modifiez bien la zone que vous pensez modifier. Si vous gérez plusieurs comptes Cloudflare, ou si le domaine a été ajouté deux fois, il est facile de mettre à jour par erreur une zone en pause ou inactive.
TipSi vous gérez le DNS de différents domaines entre Cloudflare et d'autres fournisseurs, tout regrouper dans un seul tableau de bord réduit fortement le risque d'erreur de zone. Notre fonctionnalité de gestion DNS et notre intégration Cloudflare vous permettent de consulter et de modifier les enregistrements de plusieurs fournisseurs sans jongler entre des connexions distinctes.
Checklist rapide avant de conclure que Cloudflare est en panne
- Vérifiez que l'enregistrement a bien été enregistré correctement dans le tableau de bord Cloudflare
- Vérifiez que les serveurs de noms du domaine sont délégués à Cloudflare chez le registrar
- Interrogez directement un résolveur public avec un outil de recherche DNS, pas seulement votre navigateur
- Souvenez-vous que les enregistrements proxifiés n'exposent jamais l'IP de votre origine via le DNS
- S'il s'agit d'un problème de cache CDN ou de pages, purgez le cache de Cloudflare au lieu d'attendre le DNS
- Abaissez le TTL à l'avance avant les basculements planifiés pour que les futures modifications se propagent plus vite
Pour comprendre plus généralement comment les enregistrements et les résolveurs interagissent, consultez notre guide sur le fonctionnement de la résolution DNS et la référence complète des types d'enregistrements DNS.
Si vous jonglez avec des modifications DNS entre Cloudflare et plusieurs autres fournisseurs, notre tableau de bord de gestion DNS vous offre un point unique pour vérifier, modifier et contrôler vos enregistrements sans changer d'outil.
Questions fréquentes
#Combien de temps faut-il pour que les modifications DNS Cloudflare prennent effet ?
Les serveurs faisant autorité de Cloudflare se mettent à jour presque immédiatement, généralement en quelques secondes. Ce qui prend plus de temps, c'est le rafraîchissement du cache des résolveurs en aval, qui peut durer jusqu'à l'ancien TTL de l'enregistrement, soit généralement de quelques minutes à une heure.
#Pourquoi mon outil de recherche DNS affiche-t-il un résultat différent du tableau de bord Cloudflare ?
Cela signifie presque toujours qu'un résolveur situé quelque part entre vous et Cloudflare sert encore une réponse mise en cache avant votre modification, en fonction du TTL de l'enregistrement au moment de la mise en cache.
#Purger le cache de Cloudflare corrige-t-il un enregistrement DNS qui ne se met pas à jour ?
Non : la purge du cache vide le cache CDN/de contenu de Cloudflare, qui est distinct du DNS. Si un enregistrement DNS ne reflète pas une modification, la cause est liée au TTL ou à un problème de délégation, et une purge du cache n'y changera rien.
#Un enregistrement proxifié peut-il afficher la véritable adresse IP de mon serveur ?
Non. Les enregistrements proxifiés (nuage orange) renvoient toujours les IP Anycast de Cloudflare dans les réponses DNS, quel que soit le TTL. Pour voir ou modifier l'IP de votre origine, consultez directement la configuration de l'enregistrement dans le tableau de bord Cloudflare.
Essayez avec un outil gratuit
Cet article vous a-t-il été utile ?
