DNS chiffré : DoH, DoT ou DoQ, comment choisir
DNS chiffré : DoH, DoT et DoQ protègent vos requêtes DNS contre l'écoute. Fonctionnement, ports, forces et limites de chaque protocole.
Chaque fois que vous ouvrez un site ou qu'une application contacte un serveur, une requête DNS part sur le réseau pour traduire un nom de domaine en adresse IP. Par défaut, cette requête circule en clair : l'opérateur, le gestionnaire du Wi-Fi public ou toute personne placée sur le trajet peut la lire, voire la modifier. Le DNS chiffré corrige ce défaut. Trois protocoles normalisés par l'IETF coexistent aujourd'hui : DNS over TLS (DoT), DNS over HTTPS (DoH) et DNS over QUIC (DoQ).
Le problème du DNS classique
Le DNS historique transporte questions et réponses sans chiffrement, principalement en UDP sur le port 53. Il expose ainsi la liste des domaines consultés, très révélatrice des habitudes d'un utilisateur. Il laisse aussi la porte ouverte à la falsification de réponses sur un réseau hostile. Le DNS chiffré protège le trajet entre votre appareil et le résolveur, c'est-à-dire le serveur qui effectue les recherches pour vous.
DoT : le DNS dans un tunnel TLS
Normalisé en mai 2016 par la RFC 7858, DNS over TLS encapsule les requêtes DNS dans une connexion TLS, sur un port dédié : le 853 en TCP. La norme prévoit deux profils, l'un opportuniste, qui chiffre quand il le peut, l'autre plus strict, qui exige d'authentifier le serveur.
Son port dédié est à la fois une force et une faiblesse : il est facile à identifier pour un administrateur réseau, qui peut l'autoriser, le superviser ou le bloquer. C'est ce protocole qu'utilise le réglage « DNS privé » d'Android.
DoH : le DNS déguisé en trafic web
Publiée en octobre 2018, la RFC 8484, rédigée par Paul Hoffman (ICANN) et Patrick McManus (Mozilla), définit DNS over HTTPS. Chaque paire question-réponse DNS devient un échange HTTP, transporté en HTTPS sur le port 443, celui du web.
Résultat : les requêtes DNS se fondent dans le reste du trafic chiffré et sont difficiles à distinguer, donc à bloquer sélectivement. C'est un atout sur un réseau public ou censuré ; les principaux navigateurs le proposent d'ailleurs dans leurs réglages. C'est aussi un casse-tête pour les entreprises qui s'appuient sur le DNS pour filtrer les domaines malveillants : un navigateur configuré en DoH peut contourner le résolveur interne.
DoQ : la latence en ligne de mire
Le plus récent, DNS over QUIC, a été normalisé en 2022 par la RFC 9250. Il s'appuie sur QUIC, le protocole de transport de HTTP/3, sur le port 853 en UDP. Selon la RFC, il offre une confidentialité proche de DoT et une latence proche du DNS classique en UDP, tout en évitant le blocage en tête de ligne de TCP. Sa prise en charge reste toutefois moins répandue que celle de DoT et DoH.
Lequel choisir ?
- Particulier : activer le DNS chiffré dans le navigateur (DoH) ou le système (DoT sur Android) est simple et améliore la confidentialité, notamment sur les Wi-Fi publics.
- Entreprise : DoT, plus visible, ou un résolveur DoH interne, permettent de chiffrer sans perdre la maîtrise du filtrage. Il faut alors encadrer le DoH des navigateurs par les stratégies de groupe.
Les limites à connaître
Chiffrer le DNS ne rend pas anonyme. Le résolveur choisi voit toujours l'ensemble de vos requêtes : changer de résolveur revient à déplacer sa confiance, pas à la supprimer. L'adresse IP contactée reste visible sur le réseau. Enfin, le chiffrement ne garantit pas l'authenticité des données DNS elles-mêmes, rôle dévolu à DNSSEC. Pour les autres maillons de la chaîne, voir notre guide Fibre, 5G, Wi-Fi 7 : comprendre votre connexion.