Dossier BIND 9 : rôle, branches 9.18 / 9.20 / 9.22, support ISC et paquets Debian 12 et 13

À quoi sert BIND 9 ?

BIND 9 (named), édité par l'Internet Systems Consortium (ISC), est un serveur DNS libre qui peut jouer deux rôles : serveur autoritaire (il répond pour les zones que nous hébergeons) et résolveur récursif (il résout les noms pour nos serveurs et clients). Pour un hébergeur, c'est souvent le DNS des domaines clients ; Plesk peut s'appuyer sur lui pour la gestion des zones. Séparer les deux rôles sur des machines différentes reste la bonne pratique.

Branches et politique de support (source ISC, mise à jour du 19/10/2026)

Règles ISC : les branches paires sont stables, les impaires sont de développement ; une branche stable vit 4 ans (fonctionnalités environ 12 mois, puis correctifs critiques, puis sécurité seule). Des versions hors calendrier sortent en cas de faille critique.

Ce qui change entre 9.18 et 9.20

Les notes de version détaillées de 9.20 n'ont pas été relues sur la source pour ce dossier : les différences de fonctionnalités sont à confirmer dans le BIND ARM et les release notes de l'ISC. Ce qui est établi : 9.18 est hors support ISC, 9.20 reçoit les correctifs de sécurité (derniers lots : 9.20.29 le 16/09/2026 avec 14 failles, 9.20.30 le 21/10/2026 avec 4 failles).

Disponibilité chez Debian (tracker Debian, 26/10/2026)

Point d'attention : Debian 12 reste sur la branche 9.18, que l'ISC ne maintient plus. Les correctifs dépendent donc des rétroportages de l'équipe Debian (LTS). Sur nos serveurs encore en Debian 12, surveiller les DLA bind9 et prévoir le passage à Debian 13 (BIND 9.20) pour les DNS exposés. Voir aussi nos articles sur les failles BIND du 16/09 et du 21/10.

Autres distributions

• AlmaLinux : version de BIND par défaut selon la version majeure à confirmer (dnf info bind).
• Plesk : s'appuie sur le paquet bind / bind9 de la distribution ; pas de version propre à Plesk à notre connaissance (à confirmer).
• ISC propose des dépôts et paquets (Debian, Ubuntu, Fedora) construits après la publication des sources, parfois avec retard.

BIND, PowerDNS ou Unbound ?

• BIND 9 : polyvalent (autoritaire et récursif), configuration par fichiers, très répandu ; surface d'attaque large, beaucoup de failles DoS corrigées chaque trimestre.
• PowerDNS : produits séparés (Authoritative, Recursor, dnsdist), zones stockées en base possible ; cycle de versions propre (voir notre article PowerDNS).
• Unbound : résolveur récursif uniquement, léger ; pas de rôle autoritaire (voir notre article Unbound).

Que faire ?

1. Inventorier les serveurs DNS et leur rôle (autoritaire, récursif, les deux).
2. Limiter la récursion aux réseaux internes (allow-recursion), ne jamais ouvrir un résolveur à Internet.
3. Sur Debian 12 : appliquer les DLA dès leur parution ; planifier Debian 13.
4. Sur Debian 13 : rester sur le paquet de sécurité 9.20.

Vérifier

named -v
dpkg -l bind9 | tail -1
apt-cache policy bind9
named-checkconf && echo "configuration OK"
rndc status

Prix : BIND est libre (licence MPL 2.0, à confirmer sur le site ISC) ; le support commercial ISC est payant, tarifs non consultés.