Leçon 2 sur 4 · 6 min

Qui voit vos recherches DNS

Une recherche DNS classique voyage sans chiffrement. Voici exactement qui est en mesure de la lire, et pourquoi cela compte même sur un site HTTPS.

La leçon précédente a suivi une recherche DNS de votre Mac vers un résolveur puis en retour. Ce trajet n’est pas privé par défaut. Le centre d’apprentissage de Cloudflare est direct à ce sujet : « par défaut, les requêtes et réponses DNS sont envoyées en clair (via UDP), ce qui signifie qu’elles peuvent être lues par des réseaux, des FAI, ou quiconque capable de surveiller les transmissions. Même si un site utilise HTTPS, la requête DNS nécessaire pour y naviguer est exposée. »

Pensez à une requête DNS normale et non chiffrée comme à une carte postale envoyée par la poste : quiconque manipule le courrier peut par hasard apercevoir le texte écrit au dos.
Centre d’apprentissage de Cloudflare

Qui est en mesure de lire cette carte postale

Une recherche DNS classique, sans chiffrement. La leçon suivante traite de ce que change son chiffrement.
Qui	Ce qu’ils peuvent généralement voir	Pourquoi
Quiconque gère le Wi-Fi ou le réseau local (un café, un bureau, un aéroport)	Les noms des sites que votre appareil recherche pendant la connexion	Une requête DNS classique n’est pas chiffrée, donc tout ce qui observe le réseau local peut la lire
Votre fournisseur d’accès à Internet (FAI), si vous utilisez son résolveur par défaut	Chaque nom de site recherché par votre appareil, lié à votre compte	Le résolveur du FAI répond directement à la requête
Un résolveur tiers (par exemple un service DNS public), si vous en avez adopté un	Les mêmes recherches, à la place de votre FAI	Quelqu’un répond toujours à la requête ; changer de résolveur déplace la visibilité, il ne la supprime pas

Cette dernière ligne compte et est souvent négligée : abandonner le résolveur d’un FAI ne rend pas le DNS privé, cela déplace la visibilité. L’Electronic Frontier Foundation le dit clairement à propos du blocage basé sur le DNS : « votre nouveau fournisseur DNS obtiendra les informations sur votre activité de navigation que votre FAI possédait autrefois, ce qui peut poser un problème de confidentialité. » Quelqu’un répond à chaque recherche ; la question est qui, et ce qu’il fait de cet enregistrement.

Pourquoi une recherche de nom compte même avec HTTPS

HTTPS chiffre le contenu d’une page et le chemin exact que vous demandez sur un site, mais il ne chiffre pas la recherche DNS qui a lieu d’abord, pour trouver l’adresse de ce site. Ainsi, même sur une connexion entièrement chiffrée, la séquence des noms de sites recherchés par votre appareil, et à quel moment, est souvent visible pour quiconque surveille le réseau ou gère le résolveur — exactement le genre de métadonnée que décrit le cours d’introduction de cette université : non pas le contenu de ce que vous lisez, mais un enregistrement de l’endroit où vous êtes allé.

Vérifier quel résolveur un Mac est configuré pour utiliser

$ scutil --dns
DNS configuration

resolver #1
  nameserver[0] : 127.0.2.2
  nameserver[1] : 127.0.2.3
  ...

scutil --dns liste le ou les résolveurs auxquels votre Mac envoie actuellement ses recherches pour chaque type de réseau sur lequel il se trouve. C’est une vérification préalable utile avant de supposer qui peut voir vos recherches : la réponse dépend entièrement du résolveur configuré, et les connexions FAI, Wi-Fi et VPN peuvent le changer sans que vous le remarquiez.

À retenir

Une recherche DNS classique voyage sans chiffrement, donc quiconque peut observer le chemin réseau, le propriétaire du Wi-Fi, le FAI, peut la lire.
HTTPS chiffre le contenu et les chemins des pages, mais pas la recherche DNS qui trouve d’abord l’adresse du site.
Changer de résolveur DNS déplace qui voit vos recherches ; cela ne rend pas la recherche elle-même privée.
L’enregistrement des sites que vous avez recherchés, et à quel moment, est une métadonnée qui peut compter même sans le contenu de ce que vous lisez.
Vous pouvez vérifier quel résolveur votre Mac utilise avec `scutil --dns`.

Vérifiez vos connaissances

1. Pourquoi le gérant d’un réseau Wi-Fi de café peut-il généralement voir quels sites vous avez recherchés ?
- Parce qu’il possède votre appareil
- Parce qu’une requête DNS classique voyage en clair sur le réseau local par défaut — Exact.
- Parce que HTTPS partage cette information avec les gérants de Wi-Fi
- Il ne peut jamais voir cela
Cloudflare note que les requêtes DNS sont envoyées en clair par défaut, lisibles par « des réseaux, des FAI, ou quiconque capable de surveiller les transmissions ».
2. Visiter un site HTTPS cache-t-il la recherche DNS qui trouve son adresse ?
- Oui, HTTPS chiffre aussi la recherche DNS
- Non, la recherche DNS qui a lieu en premier est exposée même quand le site lui-même utilise HTTPS — Exact.
- Seulement pour les domaines .com
- Seulement si un VPN est aussi utilisé
Cloudflare affirme clairement que « même si un site utilise HTTPS, la requête DNS nécessaire pour y naviguer est exposée ».
3. Si vous passez du résolveur de votre FAI à un autre résolveur DNS public, que change-t-il pour la confidentialité ?
- Vos recherches deviennent totalement privées pour tout le monde
- La visibilité se déplace vers l’opérateur du nouveau résolveur au lieu de disparaître — Exact.
- Rien ne change du tout
- Votre FAI ne peut plus voir aucun de vos trafics
L’EFF note qu’un nouveau fournisseur DNS « obtiendra les informations sur votre activité de navigation que votre FAI possédait autrefois » — la visibilité se déplace plutôt qu’elle ne disparaît.

À vous de jouer avec FireAI

Mettez cette leçon en pratique sur votre propre Mac.

Sources

Mettez-le en pratique sur votre Mac

Essayez toutes les fonctionnalités gratuitement pendant 17 jours, sans carte bancaire.

Télécharger pour Mac Docs