Set-OPS-Public/roles/serveur_dns_public/meta/authentification.yml

---
# Position de ce role dans la directive d'authentification (D-38..D-41).
# Voir docs/authentification.md. Gardee par la preuve P29.
authentification:
  portee: sans-auth-humaine
  raison: >-
    Serveur DNS autoritatif public : il repond a qui le demande, et c'est son objet. Ce qui
    s'authentifie ici, ce sont les SERVEURS entre eux (TSIG sur le transfert), jamais un
    humain.
DNS public, phase 1 : le locataire ecrit, le site sert Role serveur_dns_public (secondaire public, transfert signe TSIG, aucune zone interne) ; serveur_powerdns exerce enfin autorite primaire-cache dans une instance pdns@public a part, pour que le site ne puisse jamais interroger la zone .internal. Relations derivees des plans des locataires, mots de flux dns_public_site et primaires_dns_locataires. Eprouve avant d ecrire : allow-axfr-ips et TSIG sont alternatifs, le primaire notifie aussi ses NS, le serial fige aurait gele le secondaire. P82 refuse l exposition sans DNSSEC. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> 2026-09-16 18:08:20 -04:00			`---`
			`# Position de ce role dans la directive d'authentification (D-38..D-41).`
			`# Voir docs/authentification.md. Gardee par la preuve P29.`
			`authentification:`
			`portee: sans-auth-humaine`
			`raison: >-`
			`Serveur DNS autoritatif public : il repond a qui le demande, et c'est son objet. Ce qui`
			`s'authentifie ici, ce sont les SERVEURS entre eux (TSIG sur le transfert), jamais un`
			`humain.`