Chapitre 6.15Les DNS alternatifs

Par défaut, tu utilises le résolveur DNS de ton fournisseur d'accès. Tu ne l'as pas choisi, il t'a été attribué automatiquement par ta box au moment où tu t'es connecté, via le protocole DHCP. Et comme nous l'avons vu dans le chapitre sur le DNS, c'est lui qui voit passer la totalité des noms de domaine que tu consultes.

Pourquoi changer de résolveur

Que tu sois sur Mac, Windows, Linux, Android ou iOS, tu as la possibilité d'utiliser un autre serveur DNS que celui de ton FAI. Tu trouveras ça dans les paramètres réseau de ta connexion Wi-Fi ou Ethernet, ou directement dans les réglages de ta box pour couvrir tout le foyer d'un coup.

Plusieurs raisons peuvent te pousser à faire ça.

• La rapidité : certains résolveurs publics répondent plus vite et disposent d'un cache mieux garni que celui d'un petit opérateur.
• La sécurité : plusieurs d'entre eux refusent de résoudre les domaines connus pour héberger du phishing ou des malwares, ce qui coupe l'attaque avant même le premier clic.
• Le filtrage : blocage des publicités, des traqueurs, ou contrôle parental à l'échelle de toute la maison, sans rien installer sur les appareils.
• La censure : les gouvernements, pour des raisons de lutte contre le piratage ou d'oppression politique, peuvent forcer les FAI à bloquer certains sites. C'est beaucoup plus dur pour eux d'imposer leur volonté à des résolveurs étrangers.

En France, c'est très concret. Le blocage des sites de streaming illégal ou des sites pornographiques sans vérification d'âge passe le plus souvent par une injonction faite aux FAI de ne plus résoudre ces noms de domaine. Le site n'est pas supprimé, il devient juste introuvable pour ceux qui utilisent l'annuaire officiel.

Ne compte pas trop sur un résolveur étranger pour y échapper durablement. En 2024, la justice française a ordonné à Google, Cloudflare et Cisco de bloquer eux aussi des sites de streaming sportif illégal sur leurs résolveurs publics, à la demande de Canal+. Changer de DNS complique le blocage, ça ne le rend pas impossible.

Les principaux résolveurs publics

• Cloudflare : 1.1.1.1, orienté vitesse et confidentialité.
• Google Public DNS : 8.8.8.8, le plus utilisé au monde.
• Quad9 : 9.9.9.9, fondation suisse à but non lucratif, filtre les domaines malveillants.
• OpenDNS (Cisco) : 208.67.222.222, historique, très utilisé en entreprise pour ses options de filtrage.
• AdGuard DNS : 94.140.14.14, spécialisé dans le blocage des publicités et des traqueurs.
• NextDNS : pas d'adresse fixe unique, chaque compte reçoit sa propre configuration avec des règles de filtrage et des statistiques personnalisées.

Le DNS chiffré, DoH et DoT

Changer de résolveur règle la question de savoir qui répond. Ça ne règle pas celle de savoir qui écoute, car une requête DNS classique circule en clair sur le réseau. N'importe qui sur le chemin, à commencer par ton FAI, peut lire la liste des sites que tu demandes, même quand tu navigues ensuite en HTTPS.

Deux protocoles corrigent ça. DoT (DNS over TLS) fait voyager les requêtes dans un tunnel chiffré dédié, sur un port réservé. DoH (DNS over HTTPS) les déguise en trafic web ordinaire, ce qui les rend indiscernables du reste de ta navigation et donc beaucoup plus difficiles à bloquer.

Firefox, Chrome et les systèmes mobiles récents savent activer le DNS chiffré en quelques clics, souvent sous le nom "DNS sécurisé" ou "DNS privé". C'est le moyen le plus simple d'en profiter sans toucher aux réglages réseau de la machine.

Les contreparties

Je ne vais pas te vendre la solution miracle, changer de DNS déplace le problème autant qu'il le résout.

• Tu changes de confident : ton FAI ne voit plus tes requêtes, mais le nouveau résolveur les voit toutes. Ces services appartiennent parfois à de grands groupes dont le modèle économique repose sur la donnée. Regarde la politique de rétention avant de choisir.
• Tu peux perdre en performance : les CDN s'appuient sur la position géographique du résolveur pour te renvoyer vers le serveur le plus proche. Un résolveur mal localisé peut te faire télécharger une vidéo depuis l'autre bout du continent.
• Tu ne deviens pas anonyme : le DNS n'est qu'une étape. Ton adresse IP reste visible du site que tu visites, et ton FAI voit toujours vers quelles adresses tu te connectes. Pour aller plus loin, il faut un VPN.
• Tu peux casser ton réseau d'entreprise : beaucoup d'organisations utilisent leur DNS interne pour résoudre des noms de machines privées. Forcer un résolveur public sur un poste professionnel, c'est généralement rendre l'intranet inaccessible.