DNS sur HTTPS et TLS : Configuration dans chaque navigateur et système d'exploitation

Avant que votre navigateur puisse charger un site, il demande à un résolveur DNS de transformer un domaine comme example.com en une adresse IP. Traditionnellement, cette recherche se fait en texte clair, donc votre FAI, opérateur de réseau, ou quiconque surveillant la connexion peut lire chaque domaine que vous visitez — même lorsque la page elle-même est en HTTPS. Le DNS est l'une des plus grandes fuites de confidentialité restantes dans la navigation ordinaire.

DNS sur HTTPS (DoH) et DNS sur TLS (DoT) corrigent cela en chiffrant la requête entre vous et le résolveur. La différence pratique : DoH envoie le DNS à l'intérieur du HTTPS normal sur le port 443, donc il se fond dans le trafic web et est difficile à bloquer ou à distinguer ; DoT utilise un port dédié (853), qui est plus propre architecturément mais plus facile à repérer et à bloquer pour un réseau. Les navigateurs privilégient DoH ; les systèmes d'exploitation prennent en charge les deux. Vous pouvez tester ce que votre résolveur voit sur l'outil DNS.

Le DNS chiffré cache les domaines que vous consultez à votre FAI et aux observateurs en chemin, et empêche la manipulation basée sur le DNS. C'est un véritable gain en matière de confidentialité et d'intégrité. Mais soyez clair sur ses limites : votre résolveur choisi voit toujours vos requêtes, donc vous transférez votre confiance de votre FAI à ce fournisseur — choisissez-en un avec une politique de confidentialité solide. Il ne cache pas non plus l'adresse IP de destination à laquelle vous vous connectez, et le SNI TLS peut toujours révéler le nom d'hôte à moins que le Encrypted Client Hello ne soit en jeu.

Comment cela se rapporte à un VPN : un VPN correctement configuré a déjàchemine votre DNS via son propre résolveur à l'intérieur du tunnel chiffré, donc votre FAI ne voit ni votre DNS ni votre trafic. C'est pourquoi il est important de vérifier une fuite DNS — si les requêtes échappent au tunnel vers le résolveur de votre FAI, le chiffrement du reste de votre trafic est compromis. DoH/DoT et un VPN sont complémentaires : le DNS chiffré protège les requêtes sur n'importe quel réseau ; un VPN protège l'ensemble de la connexion et son DNS ensemble.