architecture

ce que la plateforme v2 implémente réellement

Périmètre : cette page décrit le code de la plateforme v2 inspectée. Elle ne prouve pas que cette version est déjà déployée sur tous les endpoints publics.

Lors du dernier instantané de production vérifié le 29 août 2026, les trois nœuds publics utilisaient encore la pile historique dnsdist, BIND et DNS secondaire. Cette preuve datée ne décrit pas nécessairement l’état actuel ; vérifiez à nouveau le service déployé avant toute affirmation actuelle. L’architecture ci-dessous est l’état cible v2, pas une preuve de bascule.

Vue d’ensemble

La plateforme sépare cinq responsabilités :

1. ledns, un même binaire Go exécuté en deux services séparés sur des jeux d’adresses IP distincts : ledns-auth pour l’autorité et ledns-resolver pour la récursion, sans dispatcher ni identifiants de base partagés ;
2. BIND, utilisé derrière l’edge pour la récursion publique et la validation DNSSEC ;
3. ledns-control, qui porte le portail, l’API, l’administration, les équipes et la facturation ;
4. ledns-signer, qui signe via PKCS#11 avec des clés stockées dans SoftHSM ;
5. ledns-analytics et ClickHouse, qui reçoivent les agrégats DNS éligibles.

ledns-probe exécute séparément les health checks. La sélection de réponses smart/actives est expérimentale et non disponible généralement ; seuls la lecture, la suppression et le retrait sûr d’objets existants restent permis.

Chemin des requêtes DNS

ledns-auth sert le DNS autoritatif UDP/TCP. ledns-resolver termine le DNS récursif UDP/TCP, DoT, DoQ et DoH et utilise BIND sans consulter l’inventaire des zones hébergées, même si une ancienne zone reste présente après un changement de propriétaire. La délégation publique normale peut toujours conduire BIND vers un serveur autoritatif. Le maintien des dernières données signées valides reste propre à l’autorité. Ces contrôles du code et du labo privé ne prouvent ni un déploiement public ni une transition de délégation réelle.

L’edge Go applique le cache, le service de réponses périmées, les limites par source, la détection de rafales, le contrôle NXDOMAIN et le blocage des requêtes ANY. Traefik termine et route le HTTPS/DoH ; il est donc incorrect de prétendre qu’aucun composant tiers ne se trouve devant le service HTTP.

BIND effectue une récursion complète à partir de la hiérarchie DNS, sans forwarding vers un autre résolveur public. Le fait d’utiliser BIND est un choix explicite ; le_dns ne prétend pas avoir réécrit un moteur récursif complet en Go.

DNS autoritatif

Les zones primaires vivent dans PostgreSQL. Le chemin autoritatif sert les enregistrements, DNSSEC et les mises à jour RFC 2136. Le code de réponses smart existe, mais reste expérimental, non disponible généralement et absent du lancement payant. Une future réactivation exige des signatures liées au contenu de chaque variante et une validation DNSSEC externe.

Les zones secondaires reçoivent NOTIFY puis AXFR/IXFR depuis le primaire du client. TSIG HMAC-SHA256 authentifie et protège l’intégrité de ces échanges ; il ne chiffre pas leur contenu.

Les quotas primaires/secondaires sont lus dans le même catalogue serveur que les droits des offres Free, Hobby, Pro et Enterprise.

Signature DNSSEC

ledns-signer expose une API authentifiée au composant autoritatif et utilise PKCS#11. Les clés sont marquées non extractibles dans SoftHSM.

SoftHSM est un HSM logiciel dont le stockage reste accessible à un administrateur root de l’hôte. Il ne doit pas être présenté comme un HSM matériel ou certifié. Le chemin BYOK Enterprise implémente l’acceptation d’une KSK RSA ou ECDSA P-256 selon le code inspecté, mais reste indisponible avant admission serveur et validation externe.

Lors du dernier instantané vérifié du 29 août 2026, les zones de service le_dns n’étaient pas signées. Cette preuve datée ne décrit pas nécessairement l’état actuel ; ne présentez pas leur validation DNSSEC comme active tant que le signer déployé et les DS parentes n’ont pas été vérifiés.

Contrôle, plans et paiement

ledns-control gère comptes, sessions, MFA, WebAuthn, clés API, zones, records, DDNS, équipes, approbations, SAML, probes et facturation.

Le catalogue serveur définit :

• Free : 2 zones primaires et 5 secondaires ;
• Hobby : 5 primaires et 10 secondaires à 2,39 € par mois TTC (base 1,99 € par mois hors taxes) ;
• Pro : 15 primaires et 30 secondaires à 5,99 € par mois TTC (base 4,99 € par mois hors taxes) ;
• Enterprise : zones primaires et secondaires illimitées à 35,99 € par mois TTC (base 29,99 € par mois hors taxes).

Référence consommateur en France (75001), en EUR, sans remise ni exonération professionnelle. Le total final dépend des informations de l’acheteur confirmées par Paddle avant le paiement. Estimer pour votre pays. Le paiement en production n’est pas ouvert pendant la qualification.

Les paiements récurrents sont en cours de qualification avec Paddle comme revendeur ; le paiement en production n’est pas ouvert. Paddle collecte les taxes applicables et affiche le total TTC avant le paiement. Un échec de paiement ouvre une grâce de sept jours. L’annulation conserve les droits jusqu’à la fin de la période. Le retour à Free ne supprime et ne redirige aucune zone existante ; il bloque les nouvelles créations au-delà des quotas et retire les fonctions payantes du plan de contrôle.

Le pilote Plesk porte un plafond de préversion à partir de Pro, mais reste indisponible avant admission serveur de l’installation et validation externe.

Analytics et rétention

Pour le résolveur ordinaire, l’IP complète reste en mémoire pendant le traitement immédiat. Les observations sont agrégées pendant une heure et exportées uniquement à partir d’un seuil minimal de 100. Le réseau source est limité à /24 IPv4 ou /48 IPv6 ; ODoH omet cette attribution.

Les agrégats horaires du résolveur public expirent après 30 jours et leurs agrégats journaliers après 90 jours. Les agrégats autoritatifs respectueux de la vie privée sont stockés séparément pour la capacité et la fiabilité : 180 jours en horaire et 730 jours en journalier. Les offres client n’exposent que la fenêtre analytics 7/30/90 jours du plan actuel du propriétaire canonique ; cette fenêtre n’est pas un calendrier de suppression. Les logs Loki expirent au plus tard après 31 jours dans la configuration inspectée.

Le plan de contrôle possède aussi des rétentions par lots : audits admin/DDNS 90 jours par défaut, artefacts d’authentification expirés 7 jours, credentials révoqués 90 jours, preuves de sonde 48 heures et certaines preuves de sécurité 365 jours.

zones_archive n’est pas couvert par ce sweeper : aucune purge automatique à 30 jours n’est actuellement implémentée.

Flotte et disponibilité

La configuration publique nomme trois sites : Gravelines, Limburg et Varsovie, chez OVHcloud et Scaleway. Les adresses sont publiées en DNS round-robin. Le code inspecté ne prouve ni anycast, ni sélection du nœud le plus proche, ni retrait DNS automatique d’un nœud défaillant.

La disponibilité réelle doit être mesurée sur la production et publiée séparément. Un objectif interne n’est pas un SLA.

Limites de cette description

Le code est publié sous AGPLv3, mais aucune certification ou revue indépendante n’est déduite de cette licence. Les garanties de chiffrement des volumes, de sauvegarde et de résidence des données doivent être vérifiées sur le déploiement réel avant d’être reprises dans un contrat.