Sécuriser son DNS : pourquoi et comment
Avant chaque visite d'un site, votre appareil interroge un annuaire, le DNS. Choisir un résolveur qui filtre les domaines dangereux et chiffre les requêtes est l'une des protections les plus simples à mettre en place.
Équipe éditoriale Kayzen Security4 min de lecture
Le DNS en deux phrases
Quand vous tapez le nom d'un site, votre ordinateur demande à un serveur appelé résolveur DNS l'adresse IP correspondante. Par défaut, ce résolveur est souvent celui de votre fournisseur d'accès, et les échanges circulent en clair.
Comme cette étape précède toute connexion, c'est un point de contrôle idéal : un résolveur qui connaît les domaines d'hameçonnage ou de logiciels malveillants peut empêcher la connexion avant même qu'elle ait lieu.
Ce que le filtrage DNS bloque, et ce qu'il ne bloque pas
Un résolveur filtrant compare chaque domaine demandé à des listes de menaces mises à jour en continu. Si le domaine est connu comme dangereux, il renvoie une réponse de blocage ou une page explicative.
- Il bloque : les domaines d'hameçonnage déjà répertoriés, les serveurs de commande de logiciels malveillants connus, les catégories que vous choisissez (contenus pour adultes pour un foyer, par exemple).
- Il ne bloque pas : un site piégé tout juste créé et encore inconnu des listes, un fichier malveillant reçu par clé USB, une arnaque par téléphone.
- Il peut être contourné : un utilisateur averti peut changer de résolveur, sauf si l'appareil est géré et que le réglage est verrouillé.
Chiffrer les requêtes : DoH et DoT
Deux standards publics chiffrent les échanges avec le résolveur : DNS over HTTPS (RFC 8484) et DNS over TLS (RFC 7858). Sur un Wi-Fi public, ils empêchent un tiers de voir les sites demandés ou de falsifier les réponses.
Les systèmes récents (Windows 11, macOS, iOS, Android) et les principaux navigateurs savent utiliser un résolveur chiffré. Attention : un navigateur réglé sur son propre résolveur ignore le filtrage configuré sur le système.
Mettre en place un DNS protecteur : les étapes
- Foyer : configurez un résolveur filtrant dans votre box si elle le permet, ou sur chaque appareil (réglage « DNS privé » sur Android, profil de configuration sur iPhone et Mac).
- TPE : préférez une solution gérée de façon centralisée, qui applique la même politique à tous les postes, y compris hors du bureau, et qui signale les tentatives de contournement.
- Vérifiez le résultat : un domaine de test fourni par votre résolveur doit être bloqué ; les sites habituels doivent fonctionner normalement.
- Documentez le choix (quel résolveur, quelles catégories bloquées) : en entreprise, informez les salariés, le filtrage relevant de la charte informatique.
Questions de confidentialité
Le résolveur voit la liste des domaines consultés. Choisissez un service qui publie sa politique de conservation des journaux, sa localisation et ses sous-traitants. En entreprise, le filtrage et ses journaux doivent respecter le droit du travail et le RGPD : information préalable des salariés, durée de conservation limitée, accès restreint.
Sources officielles
- ANSSI (nouvel onglet) — Agence nationale de la sécurité des systèmes d'information — guides et publications
- IETF (nouvel onglet) — RFC 8484 — DNS Queries over HTTPS (DoH)
- IETF (nouvel onglet) — RFC 7858 — DNS over Transport Layer Security (DoT)
- CNIL (nouvel onglet) — Commission nationale de l'informatique et des libertés
Les ressources citées sont publiées par leurs auteurs, dans leur langue d'origine. Kayzen n'est affilié à aucun de ces organismes.
Ce guide est informatif et général. Il ne remplace ni un conseil juridique ni l'intervention d'un professionnel de la sécurité informatique.