Dossier PowerDNS : Authoritative, Recursor et dnsdist, branches supportées, dépôts et paquets Debian 12 et 13
PowerDNS regroupe trois logiciels DNS : Authoritative (zones), Recursor (résolveur) et dnsdist (répartiteur). Ce dossier résume les branches supportées, les paquets de Debian 12 et 13 (anciens et partiellement vulnérables), le dépôt de l'éditeur et la comparaison avec BIND.
par Frédéric Vagner · publié le
- Produits
- DebianBindPowerDNS
- Source
- repo.powerdns.com ↗
PowerDNS est une famille de logiciels DNS libres : Authoritative Server (serveur de zones, avec des bases SQL, LMDB ou fichiers de zone BIND), Recursor (résolveur récursif avec cache) et dnsdist (répartiteur de charge et filtre DNS devant les deux autres). Pour un hébergeur, c'est l'alternative la plus courante à BIND pour héberger beaucoup de zones pilotées par une base de données ou une API HTTP. Licence et offres de support commercial : à confirmer sur powerdns.com (non lues par notre outil de veille).
Branches supportées (dépôt de l'éditeur, 27/10/2026)
| Logiciel | Stable | Correctifs critiques seulement | Fin de vie | Dernières versions |
|---|---|---|---|---|
| Authoritative | 5.1.x | 5.0.x et 4.9.x | 4.8.x et antérieures | 5.1.5, 5.0.8, 4.9.18 |
| Recursor | 5.4.x (5.5.x en pré-version : 5.5.0-alpha1 du 13/08/2026) | 5.3.x et 5.2.x | 5.1.x et antérieures | 5.4.8, 5.3.12 |
| dnsdist | 2.1.x | 2.0.x et 1.9.x | 1.8.x et antérieures | 2.1.3 (version de Debian testing) |
Disponibilité chez Debian (tracker du 27/10/2026)
| Paquet | Debian 12 (bookworm) | Debian 13 (trixie) | forky / sid |
|---|---|---|---|
| pdns (Authoritative) | 4.7.3-2 (hors support amont) | 4.9.17-0+deb13u1 | 5.1.5-1 |
| pdns-recursor | 4.8.8-1+deb12u1 (hors support amont) | 5.2.13-0+deb13u1 | 5.4.8-1 / 5.4.9-1 |
| dnsdist | 1.7.3-2 (hors support amont) | 1.9.16-0+deb13u1 | 2.1.3-1 |
Les paquets Debian 12 et 13 sont anciens et portent des correctifs rétroportés ; plusieurs CVE restent ouvertes : CVE-2026-73206 (paquet DNS piégé, déni de service) sur pdns en Debian 12 et 13 ; CVE-2026-52682 et CVE-2026-42396 sur pdns Debian 12 ; CVE-2026-85559, -85558 et -85557 sur pdns-recursor Debian 12 et 13 ; CVE-2026-52682, -42005 et -42004 sur dnsdist Debian 12 (détail dans les articles sur les failles PowerDNS). Pour obtenir les versions supportées, le dépôt de l'éditeur est la voie recommandée.
Dépôt de l'éditeur
repo.powerdns.com propose des dépôts par distribution, produit et branche, nommés « distribution-produit-branche » (exemple de la documentation : buster-rec-45 pour le Recursor 4.5 sur Debian Buster). Les instructions exactes (clé de signature, fichier sources.list, dépôt EL) sont sur la page du dépôt. Exemple de forme pour Debian 12 et l'Authoritative 5.1 :
# Forme du nom de dépôt (voir repo.powerdns.com pour la clé et les lignes exactes)
bookworm-auth-51 # Authoritative 5.1 pour Debian 12
bookworm-rec-54 # Recursor 5.4 pour Debian 12
bookworm-dnsdist-21 # dnsdist 2.1 pour Debian 12Différences entre versions
- Authoritative 4.9 vers 5.0 : réorganisation du backend LMDB (vues, mise à jour DNS, recherche), analyse des enregistrements LOC, enregistrements LUA, IPv6 pour ixfrdist, changements de syntaxe de
pdnsutil. - Authoritative 5.0 vers 5.1 : requêtes interdomaines de l'API, affichage des zones, mise à jour de clés TSIG avec PostgreSQL, mises à jour d'enregistrements LUA interdites par défaut.
- Authoritative 5.1 vers la prochaine version (« master ») : exigences sur les bibliothèques cryptographiques, nouvelle requête TSIG pour les bases SQL, réponses additionnelles NAPTR, PKCS#11 sous option.
- Recursor 5.4 vers 5.5 : en pré-version ; nouveautés annoncées dans le changelog 5.5.0-alpha1 (lecture d'un fichier PKCS12 chiffré pour le serveur web intégré, compilateur Rust 1.93).
PowerDNS ou BIND ?
BIND (voir le dossier BIND 9) sert à la fois de serveur autoritaire et de résolveur dans un seul binaire, avec des fichiers de zone. PowerDNS sépare les rôles (Authoritative, Recursor, dnsdist), s'appuie sur une base de données ou une API pour gérer de nombreuses zones, mais impose de suivre trois cycles de versions. Intégration à Plesk (DNS par défaut, extension PowerDNS éventuelle) : à confirmer.
Sécurité en 2026
Avis publiés par l'éditeur : 2026-05, 2026-06, 2026-07 (validation d'entrée du serveur web interne), 2026-11 (paquet DNS piégé, Authoritative, Recursor et dnsdist) et 2026-13 (pointeurs de compression piégés, déni de service). Voir aussi l'article sur les failles PowerDNS d'octobre.
Que faire ?
- Recenser les serveurs qui exécutent pdns, pdns-recursor et dnsdist et leur version (commandes ci-dessous).
- Pour Debian 12 : planifier la migration vers le dépôt de l'éditeur ou vers Debian 13 + dépôt, car les versions 4.7 / 4.8 / 1.7 ne sont plus suivies par l'amont.
- Restreindre le serveur web et l'API de PowerDNS (adresse d'écoute locale, mot de passe fort) et limiter les requêtes récursives aux clients autorisés.
# Versions installées
pdns_server --version 2>&1 | head -1
rec_control version
dnsdist --version | head -1
dpkg -l 'pdns*' dnsdist | grep ^ii
apt-cache policy pdns-server pdns-recursor dnsdist
# Tester la résolution
dig @127.0.0.1 example.org SOA +shortSources : repo.powerdns.com, avis de sécurité, changelog Recursor 5.5, tracker Debian.