La clé qui sécurise la racine du DNS change le 11 octobre : qui doit vérifier quoi

Le dimanche 11 octobre 2026, la clé cryptographique placée tout en haut de l’annuaire d’internet sera remplacée. C’est la deuxième fois seulement dans l’histoire du réseau, rappelle l’ICANN, l’organisme qui coordonne les noms de domaine. Pour l’immense majorité des internautes, rien ne se verra. Pour quelques administrateurs, et pour les bricoleurs qui font tourner leur propre résolveur à la maison, un oubli peut couper la résolution des noms.

À quoi sert cette clé

Le DNS traduit un nom comme lebienheureux.be en adresse de serveur. DNSSEC y ajoute des signatures, pour qu’on puisse vérifier qu’une réponse n’a pas été falsifiée en route. Chaque niveau signe le suivant, et tout en haut, la zone racine est signée par une clé maîtresse, la KSK (Key Signing Key). Les logiciels qui valident DNSSEC doivent la connaître d’avance : c’est leur point de confiance.

L’actuelle sert depuis octobre 2018. La nouvelle, baptisée KSK-2024, est publiée dans la zone racine depuis le 11 janvier 2025. À partir du 11 octobre, la racine n’utilisera plus qu’elle.

Qui n’a rien à faire

• Ceux qui utilisent le résolveur de leur fournisseur d’accès ou un résolveur public : c’est à l’opérateur de s’en occuper.
• Les propriétaires d’un nom de domaine, même signé avec DNSSEC : leurs propres clés ne changent pas.
• Les résolveurs qui ne valident pas DNSSEC, et les serveurs qui se contentent de transmettre les requêtes à un autre.

Cette liste est celle que dresse IT-Connect à partir des documents de l’ICANN.

Qui doit vérifier

Sont concernés ceux qui exploitent un résolveur récursif avec validation DNSSEC : serveurs d’entreprise, mais aussi installations domestiques, par exemple un Unbound placé derrière un bloqueur de publicité.

Les logiciels récents et laissés en service ont normalement appris la nouvelle clé tout seuls : un mécanisme automatique leur fait adopter une clé après l’avoir observée trente jours. Selon l’ICANN, plus de 95 % des résolveurs qui remontent des données reconnaissent déjà KSK-2024.

Le risque porte sur le reste : machine restée éteinte longtemps, image système ancienne, fichier de confiance figé ou en lecture seule. La vérification consiste à s’assurer que le point de confiance du résolveur contient la clé d’identifiant 38696 (KSK-2024), et pas seulement la 20326 (l’ancienne), d’après les identifiants relevés par IT-Connect. La commande exacte dépend du logiciel ; elle figure dans sa documentation. Cette procédure n’a pas été testée par le journal.

Si rien n’est fait

Un résolveur validant qui ignore la nouvelle clé rejettera les réponses signées : pour ses utilisateurs, les sites cesseront de répondre, comme lors d’une panne. Le correctif est simple, mais il faut savoir où chercher. L’ancienne clé sera retirée en janvier 2027 et le prochain changement est prévu pour 2029, rapporte IT-Connect.

L’ICANN a publié sa nouvelle clé 21 mois à l’avance. Elle bascule un dimanche. On ne pourra pas dire que personne n’a été prévenu, seulement que personne n’était au bureau.

Le Bien Heureux · Rédaction Capibara · Jeudi 8 octobre 2026