TXT : Enregistrement DNS de type TXT (texte)
Réseau
TXT : type d'enregistrement DNS destiné à publier du texte libre associé à un nom de domaine. « La case commentaires du DNS, devenue le guichet où chacun prouve au monde entier qu'il est bien chez lui », par analogie avec le panneau de liège d'un hall d'immeuble, prévu pour les petites annonces et où se règlent désormais les questions de propriété.
Origine : Défini en 1987 par la RFC 1035, un enregistrement TXT contient une ou plusieurs chaînes d'au plus 255 octets chacune, que le lecteur concatène. Rien n'en imposait l'usage, ce que les ingénieurs ont interprété comme une invitation.
Usages de sécurité : On y publie la politique SPF (Sender Policy Framework) d'un domaine, les clés publiques DKIM (DomainKeys Identified Mail), la politique DMARC (Domain-based Message Authentication, Reporting and Conformance), les jetons de vérification de propriété demandés par les services en ligne, et les défis ACME DNS-01 sous _acme-challenge pour obtenir un certificat.
Pourquoi c'est sensible : Quiconque peut écrire un TXT dans une zone peut obtenir un certificat pour ce domaine, y compris un certificat générique couvrant tous ses sous-domaines, ou faire valider le domaine auprès d'un service tiers. Un jeton d'API capable de modifier toute la zone vaut donc bien davantage que l'usage modeste qu'on lui prête.
Ce qui arrive si on s'en passe
Un identifiant d'API DNS qui peut écrire n'importe quel TXT dans la zone permet, s'il fuit, d'obtenir des certificats valides pour tout le domaine et de se faire passer pour lui auprès de fournisseurs de services. Des TXT de vérification oubliés après la fin d'un abonnement peuvent laisser un ancien prestataire considérer le domaine comme toujours vérifié. Une politique SPF ou DMARC absente ou trop permissive laisse usurper l'adresse du domaine dans des campagnes d'hameçonnage. Restreindre l'écriture à une sous-zone déléguée et inventorier régulièrement les TXT publiés évite ces découvertes tardives.
Explication de la marmotte
Le DNS est l'annuaire d'internet, qui associe des noms de domaine à des adresses. Un enregistrement TXT est une ligne de texte libre qu'on peut attacher à un nom de domaine dans cet annuaire. Il sert souvent à prouver qu'on contrôle un domaine : un service demande d'y publier un code précis, puis vérifie qu'il est bien là. Il sert aussi à publier les règles qui protègent les courriels du domaine contre les imposteurs.
Où ce terme est utilisé
- Sécuriser ACME wildcard et external account binding (5 occurrences)
- Sécuriser la validation de domaine HTTP-01 et DNS-01 (4 occurrences)
- STARTTLS : attaque par retrait, MTA-STS et TLS implicite (4 occurrences)
- Déployer DMARC de observation à reject (2 occurrences)
- Déployer SPF DKIM DMARC jusqu'à reject (2 occurrences)
- Captures, observabilité et diagnostic multi-couche (1 occurrence)
- Certificats de courte durée (1 occurrence)
- DNSSEC : chaîne de confiance, validation et exploitation des clés (1 occurrence)
- DNSSEC, DoH, DoT, ODoH et perte de visibilité pour la défense (1 occurrence)
- OSINT défensif : mesurer et réduire l'exposition publique (1 occurrence)