Mon blog

Le site Web « MonLycée.net » a été souvent mentionné dans la presse française il y a deux semaines, suite à l'annonce que la région Île-de-France allait remplacer certains logiciels Microsoft par des logiciels français. Mais la communication était mal faite, seul http://monlycee.net/ marchait, pas http://monlycée.net/ (avec l'accent sur le E). C'est désormais réparé.

L'essentiel de la communication en français utilisait en effet le nom de domaine monlycée.net, ce qui est logique, le lycée prend en effet un accent. Mais, depuis très longtemps, le nom de domaine à utiliser était monlycee.net, le nom correct n'étant pas configuré.

Cette copie d'écran du site Web montre bien que l'orthographe correcte est utilisée depuis longtemps :

Mais, en septembre 2025, au moment où ce site était beaucoup mentionné dans les médias, le domaine monlycée.net existait bien mais n'était pas correctement configuré dans le DNS, aucun des deux serveurs de noms ne répondait. Voici ce qu'on voyait avec dig le 29 septembre (si vous utilisez un dig compilé sans IDN, vous devrez utiliser xn--monlyce-gya.net au lieu de monlycée.net) :

% dig @l.gtld-servers.net. monlycée.net NS
…
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 14466
;; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 4, ADDITIONAL: 1
…
;; AUTHORITY SECTION:
monlycée.net.		172800 IN NS dns1.namebay.com.
monlycée.net.		172800 IN NS dns2.namebay.com.

;; Query time: 41 msec
;; SERVER: 2001:500:d937::30#53(l.gtld-servers.net.) (UDP)
;; WHEN: Mon Sep 29 09:14:57 CEST 2025
;; MSG SIZE  rcvd: 244


% dig @dns1.namebay.com. monlycée.net. NS
…
;; ->>HEADER<<- opcode: QUERY, status: REFUSED, id: 32749
;; flags: qr rd; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1
…
; COOKIE: e359c164d9f8ced10100000068da31fe1b539adeb5eee54e (good)
; EDE: 18 (Prohibited)
; EDE: 20 (Not Authoritative): (recursion disabled)
…
;; Query time: 20 msec
;; SERVER: 2a01:c8:ff00:201::133#53(dns1.namebay.com.) (UDP)
;; WHEN: Mon Sep 29 09:15:09 CEST 2025
;; MSG SIZE  rcvd: 106

  

Le serveur faisant autorité pour .net annonce que les deux serveurs faisant autorité pour monlycée.net sont dns1.namebay.com et dns2.namebay.com mais aucun des deux ne veut répondre. (L'EDE - Extended DNS Error, cf. RFC 8914 indique que le serveur ne fait pas autorité pour ce nom.) Le domaine ne marche donc pas du tout.

De telles erreurs de communication et/ou de configuration avec les noms de domaine internationalisés sont hélas fréquentes.

Voulant signaler le problème, j'ai utilisé whois :

%  whois monlycée.net 
…
   Creation Date: 2016-06-27T11:07:12Z
…
Tech Name: Communication Direction
Tech Organization: CONSEIL REGIONAL ILE DE FRANCE
Tech Street: 2, rue Simone Veil Bon de commande 81236 Numero d'engagement Chorus 792650
Tech City: SAINT-OUEN
…
Tech Email: https://www.validname.com/whoiscontact/?id=4377E185-08DF-4351-91A9-D02B507D3806&c=T
  

Zut, on n'a pas l'adresse du contact technique, juste un formulaire Web pénible. Bon, j'ai écrit. Le message de confirmation disait « E-Mail routed to the contact. Thank you for using our services. Best regards. A-Bot, in charge of routing anonymous [sic] e-mails. ». Je n'ai évidemment jamais eu de réponse mais peut-être que quelqu'un a fait quelque chose puisque, le 1 octobre, un certificat Let's Encrypt a été obtenu pour ce nom, prouvant que le domaine remarchait. Bienvenue à https://monlycée.net.

Dans son effort louable de progression vers l'autonomie numérique, le Conseil régional a aussi installé un PeerTube, ce qui est une excellente idée. Mais il annonce « PeerTube de Monlycée.net » alors que seul https://peertube.monlycee.net/ fonctionne, pas https://peertube.monlycée.net/ (nom non existant). On retombe dans le problème de communication cité plus haut.

Et quelques petits détails techniques pour finir. D'abord, X.509 ne permettant pas apparemment l'Unicode (ou bien c'est l'AC qui ne le fait pas ?), le certificat utilise la forme Punycode, xn--monlyce-gya.net :

% gnutls-cli monlycée.net
…
Resolving 'xn--monlyce-gya.net:443'...
Connecting to '185.65.56.149:443'...
- Certificate type: X.509
…
 - subject `CN=xn--monlyce-gya.net', issuer `CN=E7,O=Let's Encrypt,C=US', serial 0x06f5adb213041273640f32f866068a400090, EC/ECDSA key 256 bits, signed using ECDSA-SHA384, activated `2025-10-01 09:39:17 UTC', expires `2025-12-30 09:39:16 UTC', pin-sha256="iDBvNYX0tCBtaAEMSv5m2AknA+bFcLX3WCWtCA33S0U="

J'ai vu que ce certificat du 1 octobre est le plus ancien, par une recherche sur crt.sh. Ce service, par ailleurs très utile, ne permet pas de recherche sur le nom en Unicode, mais je crois que c'est une limite de X.509.

Enfin, monlycée.net est signé avec DNSSEC mais n'a pas (encore ?) publié de lien dans le domaine parent.