DNS over HTTPS (DoH) chiffre les requêtes DNS en les tunnelisant via HTTPS, empêchant les opérateurs réseau, les FAI et les écouteurs de voir les domaines que vous demandez.
Avec le DNS traditionnel, les requêtes voyagent sous forme de paquets UDP en clair. N'importe qui sur votre chemin réseau — votre FAI, votre routeur WiFi ou l'administrateur réseau — peut voir chaque domaine que vous visitez. DoH encapsule les requêtes DNS dans le trafic HTTPS chiffré, le même protocole qui sécurise les sites web. Votre point de terminaison du résolveur apparaît comme une connexion HTTPS ordinaire, rendant les recherches DNS indistinguibles de la navigation web.
Les clients DoH (intégrés aux navigateurs modernes comme Firefox, Chrome et Edge) redirigent automatiquement les requêtes DNS vers un résolveur DoH — généralement le résolveur de votre FAI, un résolveur public comme 1.1.1.1, ou une alternative axée sur la confidentialité. La requête est chiffrée de bout en bout jusqu'à ce qu'elle atteigne le résolveur.
Fonctionnement :
- Le navigateur envoie une requête DNS chiffrée via HTTPS à un résolveur DoH
- Le résolveur déchiffre et effectue une recherche DNS standard
- La réponse est chiffrée et retournée via HTTPS
- Le navigateur déchiffre et utilise la réponse
Exemple : Au lieu d'une requête UDP en clair pour example.com, la requête est POSTée vers https://resolver.example.com/dns-query avec la requête DNS encodée en base64 à l'intérieur.
DoH complète mais diffère de DNSSEC, qui valide l'authenticité des réponses DNS et non la confidentialité. Il fonctionne également indépendamment de la Poignée de main TLS, bien que les deux utilisent l'infrastructure HTTPS.
TipDoH peut masquer le DNS aux administrateurs réseau mais pas à votre fournisseur de résolveur DoH ou à votre FAI (ils voient le trafic HTTPS vers le résolveur). Pour une confidentialité maximale, utilisez un résolveur en qui vous avez confiance.