Dans cet article, nous abordons les recherches DNS : ce qu’elles sont, comment elles fonctionnent et leur impact sur le respect de la vie privée en ligne et la censure.

Une recherche DNS fait référence au processus consistant à associer l’URL que vous saisissez dans la barre d’adresse de votre navigateur (le nom de domaine lisible) à son adresse IP correspondante.

Tous les appareils qui se connectent directement à internet sont identifiés par un identifiant numérique appelé adresse IP. Pour faciliter les choses pour nous, humains, cette adresse peut également être identifiée à l’aide de noms de domaine plus lisibles et faciles à mémoriser. Le Domain Name System (DNS) associe ces noms de domaine à leurs adresses IP correspondantes.

En savoir plus sur les adresses IP

Par exemple, le site internet de Proton VPN utilise le nom de domaine protonvpn.com, qui correspond à l’adresse IP 185.159.159.140. Lorsque vous saisissez www.protonvpn.com dans la barre d’URL de votre navigateur, le nom de domaine doit être converti en son adresse IP correspondante pour que les ordinateurs puissent le comprendre.

Cette conversion est effectuée à l’aide du DNS. Ainsi, lorsque vous saisissez protonvpn.com, le DNS convertit le nom de domaine en l’adresse IP : 185.159.159.140. Cela permet à votre navigateur de localiser le bon site internet et de s’y connecter.

Les noms de domaine existent uniquement pour le confort des humains et ne sont pas nécessaires au fonctionnement d’internet. Si vous pouviez mémoriser les adresses IP, vous pourriez les saisir directement. Pour voir cela en action, saisissez simplement 185.159.159.140 dans la barre d’URL de votre navigateur, et cela vous mènera au site internet de Proton VPN.

Comment fonctionne une recherche DNS

Le DNS est souvent comparé à un annuaire téléphonique qui associe les noms de domaine à leurs adresses IP correspondantes. C’est une analogie utile pour comprendre le rôle du DNS, mais la réalité de son fonctionnement est plus complexe.

Résolveur DNS

Lorsque vous saisissez un nom de domaine dans la barre d’URL de votre navigateur, une requête DNS est envoyée à un serveur spécial appelé résolveur DNS (également appelé serveur récursif DNS ou simplement serveur DNS).

Comme son nom l’indique, le résolveur DNS « résout » la requête DNS en récupérant l’adresse IP correspondante du domaine et en la renvoyant à votre navigateur. Maintenant qu’il connaît l’adresse IP du site internet que vous souhaitez visiter, votre navigateur peut s’y connecter.

Jusqu’ici, rien de bien compliqué. Mais comment le résolveur DNS récupère-t-il l’adresse DNS correcte d’un domaine (un processus compliqué par le fait que de nouveaux domaines sont créés en permanence, et que les adresses IP sont souvent attribuées de manière dynamique aux domaines et changent donc régulièrement) ?

Comment un domaine est résolu à l’aide du DNS

Une recherche DNS pour un domaine de premier niveau(nouvelle fenêtre) (TLD) comprend généralement les étapes suivantes :

1. Vous saisissez protonvpn.com dans la barre d’URL de votre navigateur. Votre navigateur envoie cette requête sur internet à un résolveur DNS.

2. Le résolveur DNS envoie une requête à un serveur de noms racine DNS. Il s’agit d’un serveur qui stocke des informations sur les TLD (tels que .com ou .net, ou les TLD de code pays comme .ch ou .uk). Pour notre requête (protonvpn.com), le serveur de noms racine DNS renverrait vers le résolveur DNS pour les TLD « .com ».

3. Muni de ces informations, le résolveur DNS interroge ensuite le serveur de noms de TLD .com, qui gère une liste de tous les domaines en .com. Le serveur de noms de TLD répond avec l’adresse IP du serveur de noms faisant autorité pour ce domaine.

4. Le résolveur DNS peut maintenant interroger le serveur de noms faisant autorité du domaine. Celui-ci est généralement géré par un gestionnaire de nom de domaine(nouvelle fenêtre), une entreprise qui loue et gère des noms de domaine (comme GoDaddy ou Namecheap). Le serveur de noms faisant autorité est la source de référence ultime pour le domaine et peut renvoyer son adresse IP au résolveur DNS (dans notre cas, il s’agira de 185.159.159.140).

5. Le résolveur DNS envoie la bonne adresse IP à votre navigateur, qui peut maintenant se connecter à l’adresse 185.159.159.140.

Comment fonctionne le DNS

En réalité, la situation est un peu plus complexe. Par exemple, de nombreux domaines sont associés à plusieurs adresses IP (y compris les adresses IPv4 et IPv6), et des étapes supplémentaires sont nécessaires si vous visitez un sous-domaine (comme blog.protonvpn.com).

Les informations sont également régulièrement mises en cache (stockées localement) à toutes les étapes du processus : par votre navigateur, par le résolveur DNS et par les différents serveurs de noms. Si les informations requises se trouvent dans un cache, aucune requête n’est envoyée, ce qui évite certaines étapes.

Cependant, dans l’ensemble, c’est ainsi que le DNS fonctionne pour une visite standard sur un site internet.

DNS, censure et surveillance gouvernementale

Par défaut, votre navigateur envoie vos requêtes DNS à un résolveur DNS géré par votre fournisseur d’accès internet (FAI). Votre FAI peut utiliser différentes méthodes pour voir ce que vous faites sur internet, mais la plus simple (et la plus économique) consiste tout simplement à surveiller vos requêtes DNS.

La plupart des programmes gouvernementaux de surveillance de masse exigent des FAI qu’ils conservent des journaux de l’historique de navigation de leurs clients. Et, comme cela est simple et peu coûteux, la plupart des FAI respectent ces obligations légales en ne conservant que les journaux DNS.

De même, lorsque les gouvernements souhaitent censurer des contenus sur internet pour des motifs sociaux, religieux, politiques ou « moraux », ils demandent aux FAI locaux d’appliquer ces blocages. Et le moyen le plus simple d’y parvenir est de bloquer les requêtes DNS vers les sites internet et les applications concernés.

Services DNS tiers

L’un des moyens d’éviter au moins une partie de cette censure et de cette surveillance consiste à utiliser un résolveur DNS tiers, tel que Cloudflare 1.1.1.1 ou OpenNIC.

Certains de ces services peuvent avoir de bonnes politiques de confidentialité, mais à moins que les connexions aux serveurs du résolveur DNS ne soient chiffrées à l’aide du DNS over TLS (DoT) ou DNS over HTTPS (DoH), votre FAI peut voir les requêtes en texte brut s’il choisit de les surveiller.

Le chiffrement des requêtes DNS rend plus difficile (et donc plus coûteuse) la surveillance de votre historique de navigation par un FAI, mais ce dernier peut toujours assez facilement identifier les sites internet et les applications auxquels vous vous connectez s’il le souhaite.

Obtenez Proton VPN !

DNS et VPN

Lorsque vous utilisez un VPN (comme Proton VPN), votre connexion au serveur VPN est chiffrée. Avec un certain effort, votre FAI peut voir que vous vous êtes connecté à une adresse IP appartenant au serveur VPN, mais c’est tout.

Les requêtes DNS sont envoyées via le tunnel VPN et résolues par le fournisseur de VPN, qui peut exploiter son propre résolveur DNS ou utiliser un résolveur VPN tiers. Cela n’a aucune incidence sur le respect de la vie privée, puisque les requêtes DNS semblent provenir du serveur VPN, et non de l’utilisateur du VPN.

Découvrez comment fonctionne un VPN

Il convient de noter qu’il n’est pas nécessaire de chiffrer le DNS lorsque vous utilisez un VPN, car toutes les requêtes DNS sont de toute façon envoyées via le tunnel VPN chiffré.

Il n’est pas non plus recommandé d’utiliser un résolveur DNS tiers en même temps qu’un VPN. Configurer votre système de cette manière peut entraîner l’envoi de vos requêtes DNS en dehors du tunnel VPN vers le résolveur DNS tiers.

En savoir plus sur les fuites DNS

NetShield Ad-blocker

Proton VPN propose NetShield Ad-blocker dans toutes nos applications. Il s’agit d’une fonctionnalité de filtrage DNS qui bloque les requêtes DNS vers les domaines connus pour appartenir à des régies publicitaires, des traqueurs en ligne et des logiciels malveillants. Cette fonctionnalité (ainsi que d’autres services de filtrage DNS similaires) fonctionne au niveau du résolveur DNS en refusant simplement de résoudre les requêtes DNS vers les domaines sur liste noire.

En savoir plus sur NetShield Ad-blocker

Techniquement, cela constitue une fuite DNS (voir ci-dessous). Cela peut ne pas être un problème majeur si la requête DNS est chiffrée et que vous faites confiance au résolveur DNS, mais cela introduit un tiers inutile (et donc un point de faiblesse potentiel) dans l’équation.

Fuites DNS

Lorsque vous utilisez un VPN, toutes les requêtes DNS doivent être envoyées à travers le tunnel VPN pour être résolues par le fournisseur de VPN. Si, pour une raison quelconque, la requête DNS est envoyée en dehors du tunnel VPN à un résolveur DNS tiers, une fuite DNS s’est produite. L’échec du routage correct des requêtes DNS IPv6 à travers le tunnel VPN est une cause fréquente de fuites DNS.

Puisque ce tiers serait probablement votre FAI, les fuites DNS constituent un grave problème de respect de la vie privée. Il va sans dire que toutes les applications Proton VPN disposent d’une solide protection intégrée contre les fuites DNS.

Obtenir Proton VPN Plus

Types d’enregistrements DNS courants

Voici quelques-uns des principaux types d’enregistrements DNS qui peuvent être consultés :

  • Enregistrement A (adresse) : associe un nom de domaine à une adresse IPv4. Exemple : example.com → 192.0.2.1
  • Enregistrement AAAA (Quad A) : associe un nom de domaine à une adresse IPv6. Exemple : example.com → 2001:0db8:85a3:0000:0000:8a2e:0370:7334
  • Enregistrement CNAME (nom canonique) : associe un nom de domaine à un autre nom de domaine, créant ainsi un alias d’un nom vers un autre. Exemple : www.example.com → example.com
  • Enregistrement MX (Mail Exchange) : spécifie les serveurs de messagerie chargés de recevoir les e-mails pour le compte d’un domaine. Exemple : example.com → mail.example.com (priorité 10 — le numéro de priorité indique la préférence, les requêtes à priorité plus basse étant préférées).
  • Enregistrement PTR (pointeur) : associe une adresse IP à un nom de domaine, principalement utilisé pour les requêtes DNS inversées. Exemple : 192.0.2.1 → example.com
  • Enregistrement NS (serveur de noms) : spécifie les serveurs de noms faisant autorité pour un domaine. Exemple : example.com → ns1.example.com, ns2.example.com
  • Enregistrement SOA (Start of Authority) : fournit des informations importantes sur le domaine, notamment le serveur de noms principal, l’e-mail de l’administrateur du domaine, le numéro de série du domaine (qui aide à gérer et synchroniser les données DNS sur plusieurs serveurs DNS), ainsi que les délais d’actualisation, de nouvelle tentative et d’expiration (Exemple : example.com → ns1.example.com, admin.example.com, 2024041501)
  • Enregistrement TXT (texte) : contient des données textuelles arbitraires, souvent utilisées pour la validation d’e-mails (comme SPF ou DKIM) et d’autres fins de vérification. Exemple : example.com → “v=spf1 include:example.com ~all”
  • Enregistrement SRV (service) : spécifie l’emplacement des serveurs pour des services spécifiques, tels que le protocole de téléphonie internet SIP(nouvelle fenêtre), le protocole de messagerie XMPP(nouvelle fenêtre), etc. Exemple : _sip._tcp.example.com → 0 5 5060 sipserver.example.com
  • Enregistrement CAA (Certification Authority Authorization) : spécifie quelles autorités de certification (CA) sont autorisées à émettre des certificats pour un domaine. Exemple : example.com → 0 issue “letsencrypt.org”
  • Enregistrement NAPTR (Naming Authority Pointer) : utilisé pour la résolution d’URL et pour définir des règles de réécriture pour divers services comme la VoIP. Exemple : example.com → 100 50 “s” “SIP+D2U” “” _sip._udp.example.com
  • DNSKEY : contient la clé de signature publique utilisée dans DNSSEC (suite de spécifications conçues pour ajouter une couche de sécurité supplémentaire au DNS).
  • . Exemple : example.com → 256 3 13 …
  • Enregistrement DS (Delegation Signer) : contient le hachage d’un enregistrement DNSKEY pour sécuriser les délégations dans DNSSEC. Exemple : example.com → 12345 13 2 …
  • Enregistrement SPF (Sender Policy Framework) : utilisé pour définir quelles adresses IP sont autorisées à envoyer des e-mails pour le compte d’un domaine. Exemple : example.com → “v=spf1 ip4:192.0.2.0/24 -all”

Commandes de recherche DNS

Les commandes DNS sont utilisées pour interroger, tester et dépanner les serveurs et enregistrements DNS. Ces commandes sont essentielles pour les administrateurs réseau afin de s’assurer que les services DNS fonctionnent correctement, car le DNS est crucial pour la résolution des noms de domaine en adresses IP.

Vous trouverez ci-dessous quelques commandes DNS couramment utilisées. Vous pouvez exécuter ces commandes dans une fenêtre de terminal (Linux), Terminal (macOS), Invite de commandes (cmd) ou PowerShell (Windows), ou même dans une application d’émulation de terminal sur votre appareil mobile. Ces commandes ne sont pas toutes disponibles par défaut sur votre plateforme, mais dans presque tous les cas, elles sont faciles à installer.

nslookup

La commande nslookup est un outil permettant d’interroger le DNS pour obtenir l’association d’un nom de domaine ou d’une adresse IP. Vous pouvez également spécifier un serveur DNS particulier à utiliser et effectuer une recherche DNS inversée.

nslookup

dig

La commande dig (Domain Information Groper) est un outil de recherche d’adresse IP DNS plus puissant et plus flexible que nslookup. Les administrateurs réseau la préfèrent souvent pour ses résultats détaillés et ses options avancées.

dig

Avec dig, vous pouvez également interroger un type d’enregistrement DNS spécifique, interroger un serveur DNS spécifique et effectuer une recherche DNS inversée.

host

La commande host est un autre outil permettant d’effectuer des recherches DNS. Elle est plus simple que dig mais fournit des informations suffisantes pour les tâches de base, notamment l’interrogation d’un serveur DNS spécifique et l’exécution de recherches DNS inversées.

host

ping

La commande ping est principalement utilisée pour vérifier l’accessibilité d’un hôte sur un réseau IP, mais elle effectue également une résolution DNS dans le cadre de son fonctionnement.

ping

traceroute / tracert

Les commandes traceroute (sur Linux et macOS) et tracert (sur Windows) sont utilisées pour suivre le chemin d’un paquet, de sa source à sa destination. Elles résolvent le nom de domaine en une adresse IP et affichent chaque saut sur le chemin vers la destination.

traceroute

ipconfig / ifconfig

Les commandes ifconfig (sur Linux et macOS) et ipconfig (sur Windows) peuvent être utilisées pour afficher la configuration réseau, y compris les serveurs DNS que le système utilise. Utilisée seule, la commande n’affiche que les interfaces actives. Pour voir toutes les interfaces sur Windows, utilisez ipconfig /all.

ipconfig

Outils de recherche DNS

En plus des outils en ligne de commande tels que ceux présentés ci-dessus, il existe de nombreux outils de recherche DNS en ligne qui offrent une interface utilisateur graphique (GUI) pour interroger le DNS. Un bon exemple est notre scanner d’IP sécurisé gratuit, qui vous permet d’effectuer des recherches DNS standard, ainsi que des recherches MX, NS, CNAME et TXT.

Recherche DNS

Il peut également effectuer des recherches DNS inversées (recherche d’IP).

Recherche DNS inversée

Pour conclure

Au fond, le DNS n’est qu’un annuaire téléphonique automatisé et complexe. Il rend l’internet utilisable pour les humains, mais il peut être (et est) utilisé de manière abusive par les gouvernements pour espionner leurs citoyens et censurer ce qu’ils voient. Le meilleur moyen de contourner ces abus du DNS est d’utiliser un service VPN tel que Proton VPN.

Un service VPN résout vos requêtes DNS de manière sécurisée à la place de votre FAI, et la plupart des services VPN réputés se font un devoir de protéger votre vie privée.

Bien sûr, un VPN offre également de nombreux autres avantages, tels que le masquage de votre adresse IP réelle aux sites internet que vous visitez, une protection renforcée pour empêcher les FAI de surveiller ou de censurer votre activité sur internet, la possibilité de regarder vos contenus préférés en streaming lors de vos déplacements, et bien plus encore.

En savoir plus sur les avantages de l’utilisation d’un VPN