DNS sur TLS (DoT)

DNS sur TLS (DoT) crypte vos requêtes DNS en les encapsulant dans TLS, de sorte que personne sur le chemin réseau ne puisse voir ou modifier les domaines que vous résolvez. Il fait le même travail que DNS sur HTTPS mais sur un port dédié (853) plutôt que de se fondre dans le trafic web. Cela rend DoT facile à identifier et à gérer pour un administrateur réseau — un avantage pour la politique d'entreprise, un inconvénient si vous souhaitez que les requêtes soient indiscernables de l'HTTPS ordinaire, où DoH a l'avantage.

Comme DoH, DoT protège la recherche elle-même mais ne cache pas votre IP ni ne tunnelise le reste de votre trafic — c'est une couche, pas un ensemble complet de protections de la vie privée. Si vous utilisez un VPN, la protection clé contre une fuite DNS est de router le DNS à travers le tunnel ; le DNS chiffré ajoute ensuite de la confidentialité en plus. Le choix entre DoT et DoH concerne principalement le port et la visibilité du trafic sur le réseau. Quel que soit votre choix, rappelez-vous que le résolveur voit toujours vos requêtes, donc faire confiance à l'opérateur auquel vous les envoyez reste une partie de la décision.

Peu importe la variante de DNS chiffré que vous choisissez, le résolveur voit toujours vos requêtes, donc l'opérateur en qui vous avez confiance est important. Sur un VPN, faites d'abord passer le DNS par le tunnel pour éviter une fuite, puis utilisez DoT ou DoH pour la confidentialité en plus. Choisissez DoT lorsque un réseau doit gérer le trafic sur son port dédié, et DoH lorsque vous voulez que les requêtes se fondent dans le HTTPS ordinaire et résistent au blocage — la sécurité est identique dans les deux cas.