Comment trouver les CNAME orphelins avant qu'on ne prenne le contrôle de votre sous-domaine

Un CNAME orphelin est un enregistrement qui fait encore pointer l'un de vos sous-domaines vers un service que vous n'utilisez plus. Collez tous les noms d'hôte que vous connaissez dans la recherche CNAME en masse et filtrez les lignes marquées Dangling : ces CNAME pointent vers un nom qui ne se résout plus. Supprimez-les, ou faites-les pointer vers quelque chose que vous contrôlez.

Rechercher les CNAME d'une liste de noms d'hôte →

Les trouver en masse

1. Listez vos noms d'hôte : www, shop, blog, help, status, les domaines de suivi, les anciens sites de campagne. L'export de zone de votre hébergeur DNS est la source la plus complète.
2. Ouvrez la recherche CNAME en masse et collez-les, un par ligne : jusqu'à 100 par passage, ou 500 après une connexion Google gratuite. Les URL fonctionnent aussi.
3. Cliquez sur Look up CNAMEs (rechercher les CNAME). Chaque chaîne est suivie saut par saut, jusqu'à huit.
4. Lisez chaque ligne : Alias (se résout), Dangling (la cible ne se résout pas), No CNAME, Doesn't exist ou Loop.
5. Filtrez sur Dangling et Doesn't exist, et téléchargez le CSV avec la chaîne complète.

Le faire à la main

printf "www.github.com\nwww.mozilla.org\ndocs.github.com\nnope-1109.mozilla.org\n" > hosts.txt

while read -r h; do
  out=$(dig +noall +comments +answer "$h" a)
  st=$(echo "$out" | grep -o 'status: [A-Z]*' | cut -d' ' -f2)
  cn=$(echo "$out" | awk '$4=="CNAME"{print $5}' | tail -1)
  echo "$h,${cn:-no CNAME},$st"
done < hosts.txt
# www.github.com,github.com.,NOERROR
# www.mozilla.org,www-mozilla.fastly-edge.com.,NOERROR
# docs.github.com,no CNAME,NOERROR
# nope-1109.mozilla.org,no CNAME,NXDOMAIN

Nous avons lancé cette commande le 9 novembre 2026. Aucun de ces noms n'est orphelin, ce qu'on espère de sites publics. Une ligne orpheline afficherait un CNAME et NXDOMAIN : l'alias existe, sa cible non. Vous pouvez voir ce que répond une cible absente en interrogeant directement l'une d'elles :

dig +noall +comments sv-nonexistent-1109.azurewebsites.net | grep -o 'status: [A-Z]*'
# status: NXDOMAIN

Là où le DNS seul ne suffit pas

Certaines plateformes répondent pour tous les noms sous leur domaine. Le même jour, des noms inventés sous github.io et herokuapp.com ont tous deux renvoyé NOERROR avec des adresses, et https://sv-nonexistent-1109.github.io/ a répondu 404. Un CNAME qui pointe vers un site supprimé sur une telle plateforme se résout encore, donc ni une boucle dig ni la recherche CNAME en masse ne peuvent le déclarer orphelin.

Pour les noms d'hôte qui pointent vers une plateforme d'hébergement, ouvrez-les aussi en HTTPS. Une page « aucun site ici » ou 404 de la plateforme sur votre nom d'hôte signifie que la cible a disparu. Les limites de la recherche CNAME en masse disent la même chose : Dangling signifie que la cible ne se résout pas pour l'instant, et l'outil ne teste pas si quelqu'un d'autre peut la revendiquer.

Pourquoi c'est important, et comment l'éviter

La page de MDN sur la prise de contrôle de sous-domaine décrit le risque : si vous arrêtez un service mais "don't remove the DNS entry that points to the hosting provider, an attacker can now create their own virtual host with that provider, claim your subdomain, and host their own content under that subdomain." (ne supprimez pas l'entrée DNS qui pointe vers l'hébergeur, un attaquant peut créer son propre hôte virtuel chez cet hébergeur, revendiquer votre sous-domaine et y héberger son propre contenu).

Ses conseils de prévention portent sur l'ordre :

• Quand vous mettez en place un service, revendiquez-le d'abord chez le fournisseur et "create DNS records last" (créez les enregistrements DNS en dernier).
• Quand vous en arrêtez un, commencez par "removing DNS records first" (supprimer d'abord les enregistrements DNS).
• Tenez un inventaire de vos domaines et de leurs hébergeurs, pour que rien ne reste orphelin.

Côté email, le cas courant est un domaine de suivi personnalisé laissé en place après la résiliation d'un outil de cold email : chaque lien suivi dans les emails déjà envoyés est alors cassé. Voir les domaines de suivi personnalisés pour le cold email.

Étape suivante : vérifier les adresses de votre liste

Un DNS propre protège vos liens et votre marque. Les rebonds sur les adresses mortes sont un problème distinct qui nuit à votre réputation d'envoi. Importez votre liste sur /verify pour vérifier chaque boîte sans rien envoyer. Les 100 premières vérifications sont gratuites avec une connexion Google, sans carte.

Pro, 39 $ par mois : vérification d'emails illimitée.* Jamais décomptée, jamais coupée. Voir les tarifs.

*Usage raisonnable : les 100 000 premières vérifications du mois à pleine vitesse, puis plus lentement, jamais coupées.

À lire aussi : auditer tous les domaines que possède votre entreprise, savoir où modifier le DNS d'un domaine.