Je me note ça ici : j'ignorais (ou j'ai zappé) que, par défaut et sans rien d'explicite dans la conf, bind9 est un serveur qui fait autorité ouvert à tous les Internets (jusque là, c'est normal) ET un serveur récursif-cache ouvert sur localhost.

Donc BIND est un fourre-tout monolithique qui mélange les rôles (serveur récursif-cache et serveur qui fait autorité) alors que ce n'est pas sain et déconseillé mais en plus il le fait par défaut sans que ça soit explicite dans la conf'.

Il est encore temps d'avoir un bon template ou de migrer vers NSD / Unbound (en fonction des besoins).

Petite fierté : le template que j'utilise depuis des années est fiable : mes serveurs qui font autorité ne font que ça, même sur lo.