DNS sur HTTPS (DoH)

DNS sur HTTPS (DoH) encapsule vos requêtes DNS dans une connexion HTTPS ordinaire afin que quiconque entre vous et le résolveur — votre FAI, un opérateur de réseau, un espion sur un Wi-Fi public — ne puisse les lire ou les modifier. Le DNS traditionnel est envoyé en clair, exposant chaque domaine que vous recherchez ; le DoH comble cette lacune. Comme il utilise le même port et le même format que le trafic web normal, il est également difficile à isoler et à bloquer. Son homologue DNS sur TLS atteint le même niveau de cryptage mais sur un port dédié.

DoH protège la confidentialité et l'intégrité des requêtes, ce qui est un véritable gain en matière de confidentialité, mais ce n'est pas la même chose que de router le DNS à travers un tunnel. Si vous utilisez un VPN, envoyer le DNS à travers le tunnel est ce qui empêche une fuite DNS ; DoH complète cela en chiffrant les requêtes elles-mêmes, ce qui est particulièrement utile lorsque vous n'êtes pas sur un VPN. Notez que le résolveur DoH voit toujours vos requêtes, donc choisir un résolveur de confiance est important. Associez le DNS chiffré avec le routage par tunnel pour une défense en profondeur plutôt que de considérer l'un ou l'autre comme une solution complète à lui seul.

Choisissez un résolveur en qui vous avez confiance, car il voit toujours vos requêtes, et rappelez-vous que DoH protège la recherche, pas votre IP. Sur un VPN, la principale défense contre une fuite DNS est de router le DNS à travers le tunnel ; superposez DoH pour la confidentialité, et combinez-le avec SNI chiffré pour supprimer le signal du nom d'hôte dans le handshake. Considérez le DNS chiffré comme une couche dans une pile plutôt que comme une solution de confidentialité autonome.