DNS chiffré : DoH et DoT expliqués simplement

Chaque site ouvert commence par une demande d'adresse au DNS, l'annuaire d'Internet (voir c'est quoi un DNS). Pendant longtemps, ces demandes ont circulé en clair. Le DNS chiffré, sous ses deux formes DoH et DoT, les met à l'abri en chemin.

Le DNS chiffré, en une phrase

Le DNS chiffré protège la demande d'adresse pendant son trajet entre votre appareil et le service DNS. Sans chiffrement, ces demandes peuvent être facilement surveillées et modifiées en route, rappelle Privacy Guides.

Avec le chiffrement, quelqu'un sur le même Wi-Fi, ou entre vous et le service DNS, ne peut plus lire « cet appareil a demandé tel site », ni remplacer la réponse par une fausse adresse.

DoH et DoT en un coup d'œil

DoT et DoH chiffrent la même chose ; ils diffèrent par le chemin qu'ils empruntent.

Les ports, les normes et le comportement sur le réseau viennent de Privacy Guides.

DoT : un canal réservé au DNS

DoT enveloppe la demande DNS dans une connexion chiffrée, sur un canal à part. C'est simple et propre, mais ce canal se repère : un réseau d'entreprise ou d'école peut le bloquer facilement.

Sur Android, le réglage « DNS privé » utilise DoT depuis Android 9. Il suffit d'y saisir le nom d'un fournisseur, par exemple child.joindns4.eu pour DNS4EU.

DoH : le DNS caché dans le trafic web

DoH envoie la demande DNS comme une page web chiffrée, dans le même canal que le reste de la navigation. Pour le réseau, elle ressemble à n'importe quelle connexion à un site.

C'est plus difficile à bloquer, et c'est pour cela que les navigateurs l'ont adopté : Firefox à partir de la version 60 et Chrome à partir de la version 83, selon Privacy Guides. Le service se règle par une adresse web, par exemple https://child.joindns4.eu/dns-query.

Où le régler, appareil par appareil

Les systèmes récents gèrent le DNS chiffré sans logiciel à ajouter. Voici ce qu'indique Privacy Guides.

Sur iPhone et Mac, un profil créé par un outil non officiel n'est pas signé : préférez celui fourni par le service DNS lui-même.

Ce que le DNS chiffré ne cache pas

Le DNS chiffré protège le trajet, pas la destination. Trois choses restent visibles, selon Privacy Guides :

• Le service DNS lui-même reçoit toutes vos demandes, en clair de son côté. Choisir un DNS chiffré, c'est surtout choisir à qui confier cette liste.
• Le nom du site part souvent en clair au début de la connexion au site (le « SNI »), sauf quand le site et le navigateur utilisent une extension plus récente, Encrypted Client Hello.
• L'adresse du serveur contacté reste visible sur le réseau, et peut suffire à deviner le site quand il n'en héberge qu'un.

Pour être anonyme sur un réseau, le DNS chiffré ne suffit pas.

DNS chiffré et contrôle parental

Le DNS chiffré a deux effets opposés pour un filtre. Il empêche quiconque de modifier les réponses du filtre en chemin, mais il permet aussi à une appli ou à un navigateur de passer par un autre service DNS, invisible pour le réseau.

C'est pourquoi un navigateur réglé sur son propre « DNS sécurisé » peut contourner le filtre installé sur l'appareil. Les solutions sont dans mon enfant contourne le contrôle parental, et le fonctionnement d'un filtre dans c'est quoi un filtre DNS.

Ce que ça ne fait pas

• Le DNS chiffré ne bloque rien tout seul : il protège le trajet, quel que soit le service choisi.
• Il ne cache pas les sites visités au service DNS, ni l'adresse du serveur contacté au réseau.
• Il ne remplace pas un VPN : le reste de la connexion suit son chemin habituel.
• Tamewall ne bloque pas les pubs dans les vidéos YouTube, Twitch ni Spotify, en DNS chiffré ou non.

Avec Tamewall

Tamewall Solo est un service DNS chiffré qui filtre pour vous :

• Installé sur chaque appareil, en DoH ou DoT, actif en Wi-Fi comme en 4G.
• Pubs et traqueurs bloqués, avec trois niveaux : léger, normal, strict.
• Sites d'hameçonnage et de logiciels malveillants connus bloqués en permanence.
• Serveurs en France ; le journal détaillé est désactivé par défaut.