Ça fait un moment que je n'avais pas utilisé dig pour vérifier la bonne configuration d'un transfert de zone + TSIG.

J'avais oublié la syntaxe :
dig @<master> <nom_zone> axfr -y '<algo>:<nom_clé>:<base64_clé>'

L'algo est facultatif si hmac-md5 est utilisé (ce qui est mal !).

Source : ftp://ftp.isc.org/isc/bind9/cur/9.9/doc/arm/man.dig.html ;)