Ton resolveur DNS, c'est le gardien de ton accès internet — choisis-le intelligemment

Chaque fois que tu tapes une URL dans ton navigateur, une conversation silencieuse se joue en quelques millisecondes : ton appareil demande à un resolveur DNS récursif l'adresse IP derrière ce nom de domaine lisible. La plupart des gens ne se posent jamais de questions sur ce resolveur — c'est généralement celui que ton FAI attribue par défaut. Mais ce choix compte plus qu'on ne le pense.

Ton resolveur DNS voit absolutely tous les domaines que tu interroges. Il peut logger ton historique de navigation, filtrer ce à quoi tu peux accéder ou pas, et — si la sécurité n'est pas au rendez-vous — laisser tes requêtes se faire intercepter ou modifier. Pour les développeurs, les startups, et tous ceux qui prennent la vie privée au sérieux, choisir un resolveur DNS public, c'est une de ces décisions d'infrastructure "mets en place et oublie" qui paie des dividendes sur le long terme.

Décortiquons ce que la recherche nous dit et comment choisir le bon resolveur selon ton modèle de menace.

C'est quoi exactement un resolveur DNS public ?

Un resolveur DNS public, c'est un service que n'importe qui peut utiliser à la place du resolveur par défaut de son FAI. Des entreprises comme Cloudflare (1.1.1.1), Google (8.8.8.8) et Quad9 proposent des services DNS récursifs gratuits qui promettent des recherches plus rapides, meilleure vie privée, et des fonctionnalités de sécurité en prime.

Quand tu passes à un resolveur public, tu fais un choix sur :

• Qui voit tes requêtes — ton FAI perd la visibilité, mais l'opérateur du resolveur y gagne
• Quel filtrage a lieu — certains resolveurs bloquent les domaines malveillants ou le contenu pour adultes
• Si tes requêtes sont chiffrées — le DNS en clair peut être surveillé en transit
• Sous quelle juridiction tombent tes données — les règles légales varient selon les pays

Le bon choix dépend entièrement de tes priorités. Regardons ce que la recherche dit sur chaque facteur.

La question vitesse : est-ce que le DNS chiffré ralentit ?

Une des premières préoccupations des devs sur le DNS chiffré, c'est la latence. Les transports chiffrés comme DNS-over-HTTPS (DoH) et DNS-over-TLS (DoT) ajoutent un overhead cryptographique à chaque requête, donc en théorie ils devraient être plus lents que le DNS classique (port 53).

Les recherches issues d'études DNS peer-reviewed montrent un tableau plus nuancé. Le DNS chiffré ajoute de la latence par requête, mais les temps de chargement de page entière finissent souvent proches du DNS classique. L'overhead est plus petit en pratique que ce que le coût théorique suggère, et pour la plupart des utilisateurs, la différence est imperceptible.

Par contre, sur des réseaux avec pertes ou connexions à haute latence (pense à l'internet par satellite ou les réseaux mobiles congestionnés), le DNS classique gagne sans discussion. Si tu optimises pour la performance brute dans ces scénarios, le DNS non chiffré reste l'option la plus rapide.

La performance varie aussi beaucoup selon la région géographique et le fournisseur. Un resolveur ultra-rapide depuis un data center à Francfort peut être poussif depuis un serveur à São Paulo. Le resolveur "le plus rapide" dépend vraiment de ta localisation, donc ça vaut le coup d'en tester plusieurs selon tes conditions réseau réelles.

Le DNS chiffré : bien plus que la protection contre les espions

Beaucoup d'utilisateurs думают que le DNS chiffré sert principalement à cacher leurs requêtes aux observateurs réseau — espions WiFi, surveillance FAI, hotspots malveillants. C'est vrai, mais les bénéfices vont plus loin.

La plus grande étude de bout en bout sur le DNS chiffré a montré que les requêtes transmises en DoH et DoT sont significativement moins susceptibles d'être interceptées ou modifiées en transit comparé au DNS en texte clair. Cette résistance à la manipulation compte pour la sécurité, pas juste pour la vie privée. Avec du DNS en texte clair, un attaquant man-in-the-middle peut empoisonner ton cache avec de fausses réponses DNS et te rediriger vers des sites malveillants sans que tu t'en rendes compte.

Par contre, tous les resolveurs chiffrés ne se valent pas. Cette même étude a trouvé qu'environ 25% des fournisseurs DoT servaient des certificats TLS invalides — une erreur de config sérieuse qui sabote les bénéfices sécurité. Quand tu fais confiance à un resolveur pour ton DNS, la qualité opérationnelle compte. Reste avec des fournisseurs bien gérés qui ont leurs chaînes de certificats correctement configurées.

La réalité vie privée : ton resolveur voit quand même tout

Point crucial qu'on occulte souvent : le chiffrement cache tes requêtes du réseau, pas de l'opérateur du resolveur. Celui qui gère ton resolveur DNS voit quand même chaque domaine que tu consultes, un point c'est tout.

Si ça te préoccupe, cherche deux choses :

Politiques no-logging : Certains resolveurs s'engagent explicitement à ne pas stocker de logs de requêtes. Quad9 par exemple supprime toutes les données sous 24h et n'associe pas les requêtes aux utilisateurs. Le 1.1.1.1 de Cloudflare pour les consommateurs a aussi un engagement no-logging pour usage résidentiel.

Oblivious DNS over HTTPS (ODoH) : Ce design plus récent introduit un proxy entre toi et le resolveur, donc le proxy connaît ton IP mais pas ce que tu requêtes, tandis que le resolveur sait ce que tu requêtes mais pas ton IP. Aucune partie ne voit les deux. Cloudflare et Apple ont tous deux déployé de l'infrastructure ODoH. C'est un bond significatif en vie privée si c'est ta priorité.

DNSSEC : la validation qui arrête vraiment la falsification

DNSSEC (DNS Security Extensions) ajoute des signatures cryptographiques aux enregistrements DNS, permettant aux resolveurs de vérifier que les réponses n'ont pas été manipulées. Sans validation DNSSEC, un attaquant suffisamment bien positionné peut falsifier les réponses DNS et rediriger le trafic.

Seuls les resolveurs validants vérifient ces signatures. La plupart des grands resolveurs publics valident DNSSEC — Google Public DNS, Cloudflare et Quad9 le font tous — et ils ont géré le roulement critique de 2018 de la clé root (KSK) sans casser les utilisateurs. Si l'intégrité des données compte pour toi, la validation DNSSEC devrait être une case à cocher quand tu évalues les resolveurs.

ECS : le compromis vitesse-vie privée à comprendre

EDNS Client Subnet (ECS) est une extension de protocole qui envoie une partie de ton IP aux serveurs DNS autoritaires (et parfois aux resolveurs) pour que les CDNs puissent retourner des adresses géographiquement appropriées et accélérer la livraison de contenu.

Le compromis : ECS améliore la précision de routage CDN mais partage plus de ton identité réseau avec plus de parties. Google's Public DNS et OpenDNS envoient les données ECS par défaut. Cloudflare et Quad9 standard non. Aucun choix n'est objectivement meilleur — ça dépend de whether you value CDN performance optimization or keeping your information private.

DNS-over-QUIC : le nouveau champion vitesse

DNS-over-QUIC (DoQ) est le transport DNS chiffré le plus récent, et les premières données sont prometteuses. Une étude de mesure de 2022 a trouvé que DoQ surpasse déjà DoT et DoH sur les temps de réponse dans beaucoup de scénarios. La gestion des connexions de QUIC et la réduction de l'overhead du handshake contribuent à des échanges plus rapides.

Il y a un bémol : environ 40% des handshakes étaient ralentis par le mécanisme de validation d'adresse de QUIC, qui protège contre les attaques par amplification mais ajoute de la latence sur les connexions initiales. Still, là où client et resolveur supportent tous deux DoQ, c'est l'option chiffrée à privilégier.

Supportant actuellement DoQ : Quad9, AdGuard, NextDNS, Control D, Mullvad DNS, UncensoredDNS, et plusieurs autres. Si tes applications ou ton infrastructure peuvent exploiter DoQ, les bénéfices performance sont réels.

DNSCrypt : le protocole de chiffrement vétéran

DNSCrypt précède DoH et DoT — la version 2 est sortie en 2013. Il chiffre les requêtes DNS dès le premier paquet en utilisant des clés publiques pré-partagées du resolveur, ce qui veut dire qu'il n'y a pas de recherche de hostname en texte clair (contrairement à DoH qui peut parfois être détecté comme du trafic HTTPS vers un fournisseur DoH connu) et pas de dépendance au système Certificate Authority.

DNSCrypt a aussi introduit le mode Anonymized DNS en 2019, qui route les requêtes via des serveurs relais pour cacher les IPs clients du resolveur — similaire en esprit à ODoH mais implémenté différemment. Parmi les resolveurs publics, Quad9, OpenDNS, AdGuard, NextDNS, Control D et Yandex DNS proposent le support DNSCrypt.

Ce n'est pas aussi largement déployé que DoH, mais pour certains modèles de menace, les propriétés que DNSCrypt offre sont vraiment précieuses.

Analyse de trafic : même le DNS chiffré n'est pas invisible

Voilà une découverte qui refroidit de la recherche : même en DoH, l'analyse de trafic peut identifier les domaines que tu visites avec une bonne précision. Le padding EDNS standard aide un peu mais n'empêche pas complètement le fingerprinting.

Si tu es dans une situation où l'analyse de trafic sophistiquée est une vraie menace — disons que tu es journaliste opérant dans un environnement réseau hostile — ne compte pas seulement sur le DNS chiffré. Combine avec Tor ou utilise les designs oblivieux comme ODoH pour une protection significative contre ce vecteur d'attaque.

La juridiction compte — plus qu'on ne le pense

Le foyer légal de ton opérateur de resolveur détermine quelles données peuvent être forcées, combien de temps elles doivent être conservées, et dans quelles circonstances les forces de l'ordre peuvent accéder à ton historique de requêtes. Ce n'est pas abstract — c'est une vraie surface de risque.

Une poignée de fournisseurs gèrent maintenant une part significative du trafic DNS récursif mondial, ce qui soulève des préoccupations légitimes sur la centralisation. Le NSA américain a aussi explicitement prévenu que l'utilisation de resolveurs externes contourne les contrôles de filtrage et inspection DNS internes dont les organisations dépendent pour leur surveillance sécurité.

Pour les entreprises, ce n'est pas juste une question de vie privée — c'est une question de gouvernance. Ton RSSI peut avoir des raisons légitimes d'exiger une résolution DNS interne, même si c'est plus lent ou moins privé.

Faire son choix : un cadre pratique

Avec tous ces facteurs, comment décider concrètement ? Voici un cadre pratique :

Si la vie privée est primordiale : choisis un resolveur no-logging dans une juridiction favorable, active ODoH si disponible, et combine avec Tor pour la navigation sensible. Quad9 est un candidat solide ici.

Si la vitesse est tout : teste les resolveurs depuis ta localisation réelle, et n'écarte pas le DNS classique sur les réseaux avec pertes. Pour les options chiffrées, privilégie DoQ où supporté.

Si tu as besoin de filtrage : beaucoup de resolveurs proposent des niveaux filtrés qui bloquent malware, pubs ou contenu adultes. AdGuard, NextDNS, Control D et CleanBrowsing proposent des options de filtrage granulaires.

Si tu es une entreprise : considère le tableau complet de la gouvernance — juridiction, politiques de logging, intégration avec les outils de sécurité internes, et les avertissements du NSA sur le contournement des contrôles internes.

Si tu veux juste "suffisamment bien" : Cloudflare 1.1.1.1, Google Public DNS et Quad9 sont tous des choix solides, bien opérés, avec support large des protocoles et politiques vie privée raisonnables. Tu ne te tromperas avec aucun des trois pour un usage général.

Le mot de la fin

Ton resolveur DNS, c'est de l'infrastructure fondamentale. Il est toujours là, toujours en train de traiter chaque domaine que tu touches, et le choix de qui l'opère a vraiment des conséquences. La bonne nouvelle, c'est que l'écosystème des resolveurs publics a mûri significativement — le transport chiffré est maintenant la norme plutôt que l'exception, la validation DNSSEC est largement disponible, et des options respectueuses de la vie privée existent pour chaque modèle de menace.

Passe 30 minutes à évaluer tes options, configure tes appareils ou réseau en conséquence, et tu obtiens des bénéfices permanents sans maintenance continue. C'est une des décisions d'infrastructure à plus fort impact que tu puisse prendre avec un effort minimal.

Ton expérience internet passe par ce resolveur. Assure-toi que c'est un que tu choisis.

NameOcean propose Vibe Hosting avec des outils alimentés par l'IA qui s'intègrent parfaitement à ta configuration domaine et DNS. Configure tes préférences de resolveur personnalisé aux côtés de la gestion de ton domaine dans un tableau de bord unifié.