DNS chiffré : ce que changent DoH et DoT
Chiffrer la requête cache le nom cherché de qui partage le réseau. Elle ne le cache ni du serveur qui répond, ni de qui contrôle l'appareil.
Ce que le chiffrement du DNS cache
Sur un réseau ouvert comme celui d'un café ou d'un hôtel, qui observe le trafic voit les noms que cherchent les appareils : les sites visités, les services utilisés par les applications, les mises à jour téléchargées. Avec le DNS sur TLS ou sur HTTPS, la requête voyage chiffrée jusqu'au résolveur et le réseau ne voit plus qu'une connexion vers ce serveur.
L'effet est plus net sur les réseaux partagés et sur les appareils mobiles, où l'opérateur du réseau a de bonnes raisons de cataloguer ce que cherche chaque personne. Ce n'est pas un bouclier absolu : le résolveur voit toujours tout et la première connexion peut encore être interceptée par qui contrôle le réseau.
Qui continue de voir
Si le résolveur est celui de votre fournisseur, chiffrer le trajet ne change rien pour lui : il est le destinataire de la requête. Dès qu'un résolveur vous appartient, la question utile n'est plus qui voit la requête en chemin mais qui répond au bout.
C'est là qu'apparaît l'autre point de vigilance. Concentrer les requêtes sur un seul serveur augmente la dépendance : si le service tombe, la navigation s'arrête ; s'il est compromis, tout le trafic de noms passe par un seul endroit. Un résolveur bien configuré compense avec des journaux de requêtes par appareil, une conservation courte et la possibilité de relire l'historique.
Quand le navigateur décide seul
Des navigateurs comme Chrome et Firefox proposent une option de DNS sécurisé qui utilise le serveur du navigateur au lieu de celui du réseau. Cela évite l'interception locale, mais cela veut dire que le serveur retenu est celui du navigateur, et pas le vôtre.
Dans les environnements gérés par une entreprise, le choix est souvent imposé par la politique de l'appareil, et l'utilisateur ne s'en aperçoit pas. Il existe aussi des applications livrées avec le DNS chiffré déjà actif qui ignorent le réglage de l'appareil. Savoir quel serveur a répondu est donc une information utile.