La clé KSK-2024 est désormais active pour la signature à la racine du DNS. L’IANA indique que le changement a eu lieu le 11 octobre 2026. Son identifiant, appelé key tag, est 38696. [1]
Le DNS, un service discret mais essentiel
Le DNS permet notamment de retrouver l’adresse IP correspondant à un nom de domaine. Lorsqu’une application cherche à joindre un site, elle s’appuie sur un résolveur qui recherche cette information auprès des serveurs compétents. Ce travail s’effectue généralement sans action visible de l’internaute. [4]
Le DNS d’origine ne fournissait pas une authentification cryptographique suffisante de ses réponses. Des données falsifiées peuvent ainsi conduire un utilisateur vers une mauvaise destination. Les extensions DNSSEC ajoutent des signatures aux données du DNS pour permettre de vérifier leur origine et leur intégrité. [4]
Cette protection repose sur des clés et sur une chaîne de confiance. Pour valider des informations signées, le résolveur part d’un élément qu’il considère déjà comme fiable : l’ancre de confiance. La clé de la racine joue ce rôle de point de départ. Changer cette clé exige donc de préparer les systèmes qui s’appuient sur elle. [3]
Une rotation préparée, pas une alerte de piratage
La FAQ de l’ICANN explique qu’une clé cryptographique ne doit pas être conservée indéfiniment. Une rotation organisée permet de renouveler les mécanismes pendant le fonctionnement normal du service, au lieu d’attendre une urgence. Il ne faut donc pas interpréter ce changement programmé comme l’annonce d’une compromission. [3]
L’ancienne clé KSK-2017 ne signe plus la zone, mais reste indiquée comme ancre de confiance valide dans l’état publié par l’IANA. Sa révocation est prévue le 11 janvier 2027, puis son retrait de la zone le 22 mars. Ces étapes futures sont distinctes du basculement effectué hier. [1]
Ce que les opérateurs doivent vérifier
Dans son rappel consacré au 11 octobre, l’ICANN demande aux responsables des résolveurs validant DNSSEC de vérifier la présence de KSK-2024, identifiant 38696, dans leur configuration d’ancres de confiance. L’organisme précise qu’il ne faut pas supposer qu’une mise à jour automatique a nécessairement réussi. [2]
Si la clé manque, il recommande de vérifier l’activation des mises à jour automatiques et de suivre les instructions du fournisseur du logiciel pour actualiser les ancres. Le point important est de contrôler l’état effectivement pris en compte par le résolveur, et non seulement l’existence théorique d’une fonction de mise à jour. [2]
Pour le public, normalement aucun changement visible
L’ICANN indique qu’une transition correctement réalisée ne doit pas modifier l’expérience de l’utilisateur final. En revanche, un résolveur validant qui n’a pas intégré la nouvelle clé risque de rejeter les réponses qu’il ne parvient plus à authentifier. Des erreurs de résolution peuvent alors empêcher l’accès à des services pourtant disponibles. [3]
Le mécanisme protège contre l’acceptation de données DNS modifiées : lorsqu’une signature ne peut pas être validée, le résolveur ne doit pas traiter ces données comme authentiques. Cela explique pourquoi la préparation des opérateurs est aussi importante que l’opération de signature elle-même. [4]
Le fait vérifié est l’activation de la nouvelle clé à la date indiquée par l’IANA. Les documents consultés ne constituent pas un bilan mondial d’incidents et ne permettent pas d’affirmer qu’un opérateur algérien particulier a subi une interruption. Cette distinction évite de transformer une évolution d’infrastructure en annonce de panne non établie.
Sources
[1] IANA — État des clés et calendrier, état opérationnel indiquant une activation le 11 octobre 2026.
[2] ICANN — Rappel aux opérateurs de résolveurs, section consacrée au 11 octobre 2026.
[3] ICANN — FAQ française sur la rotation, document de préparation 2026, contexte.
[4] ICANN — Comprendre DNSSEC, ressource pédagogique évolutive.
Sources consultées le 12 octobre 2026. Pour le statut actuel et les prochaines échéances, la page opérationnelle de l’IANA fait référence.
Crédit photographique
Photo d’illustration d’archive : « Real Estate », baies de serveurs, Carl Lender, 4 novembre 2015. Photographie originale sous licence CC BY 2.0. Version redimensionnée à 1 280 × 853 pixels, sans recadrage supplémentaire. Cette image ne représente pas une infrastructure identifiée de la racine du DNS ni la cérémonie de changement de clé.
.jpg){kind=link}