DNS over HTTPS (DoH) : avantages et inconvénients

À l’ère du numérique, la sécurité et la confidentialité des échanges sur Internet sont devenues des préoccupations majeures pour les particuliers comme pour les entreprises. Parmi les innovations récentes visant à renforcer la protection des données et des communications, le DNS over HTTPS, abrégé DoH, s’impose comme une technologie incontournable. Cette méthode promet de chiffrer les requêtes DNS, traditionnellement non sécurisées, pour garantir une navigation plus sûre et plus confidentielle. Toutefois, comme toute avancée technologique, le DoH présente à la fois des avantages indéniables et des inconvénients à ne pas sous-estimer. Dans cet article complet, nous vous proposons d’explorer en profondeur le fonctionnement du DNS over HTTPS, ses atouts, ses limites, ainsi que les enjeux liés à son déploiement, afin de vous aider à mieux comprendre son impact sur l’écosystème Internet actuel.

Comprendre le DNS over HTTPS (DoH)

Qu’est-ce que le DNS ?

Le Domain Name System (DNS) est l’un des piliers fondamentaux d’Internet. Il agit comme un annuaire universel permettant de traduire les noms de domaine lisibles par l’homme (comme virtuaconnect.fr) en adresses IP compréhensibles par les machines (comme 192.0.2.1). Sans DNS, il serait impossible de naviguer facilement sur le web, car il faudrait retenir l’adresse IP de chaque site visité.

Le fonctionnement classique du DNS repose sur un échange de requêtes et de réponses entre l’appareil de l’utilisateur et un serveur DNS, généralement celui de son fournisseur d’accès Internet (FAI) ou d’un service tiers (Google DNS, Cloudflare, OpenDNS, etc.). Cependant, ces requêtes transitent la plupart du temps en clair, sans chiffrement, ce qui les rend vulnérables à l’interception, à l’espionnage ou à la modification par des tiers malveillants.

Introduction au DNS over HTTPS

Le DNS over HTTPS (DoH) est une technologie standardisée par l’IETF (RFC 8484) qui vise à sécuriser les requêtes DNS en les encapsulant dans le protocole HTTPS. En d’autres termes, DoH chiffre les communications DNS à l’aide du protocole TLS (Transport Layer Security), tout comme le ferait une connexion à un site web sécurisé (HTTPS). Cette encapsulation rend plus difficile l’interception ou la modification des requêtes DNS par des personnes non autorisées.

• Année de standardisation : 2018 (RFC 8484)
• Principaux acteurs : Mozilla, Google, Cloudflare, NextDNS
• Adoption croissante : Prise en charge native dans Firefox, Chrome, Windows 11, Android 9+

Pourquoi le DNS a-t-il besoin de chiffrement ?

Les requêtes DNS classiques voyagent en texte clair sur le réseau, exposant ainsi plusieurs risques :

• Vulnérabilité à l’interception : Les FAI, les administrateurs réseau ou des hackers peuvent facilement surveiller les sites que vous visitez.
• Manipulation ou détournement : Les attaques de type « DNS spoofing » ou « man-in-the-middle » permettent de rediriger les utilisateurs vers des sites frauduleux.
• Atteinte à la vie privée : Les historiques de navigation peuvent être exploités à des fins de surveillance ou de marketing ciblé.

DoH a été conçu pour répondre à ces problématiques en apportant un niveau de confidentialité et d’intégrité supplémentaire aux résolutions DNS.

Fonctionnement détaillé du DNS over HTTPS

Architecture et protocoles utilisés

Le DoH repose sur une architecture client-serveur similaire au DNS traditionnel, mais avec des différences notables dans la façon dont les requêtes sont transmises :

• Le client (navigateur, OS ou application) envoie la requête DNS vers un serveur DoH.
• La requête DNS est encapsulée dans une requête HTTPS, sécurisée par TLS.
• Le serveur DoH reçoit la requête, la traite et renvoie la réponse DNS dans le flux HTTPS.

Du point de vue du réseau, une requête DoH ressemble à n’importe quel trafic web chiffré, ce qui la rend difficile à distinguer ou à bloquer par des dispositifs de contrôle réseau classiques.

Processus technique étape par étape

• L’application (navigateur, système d’exploitation, application mobile) initie une résolution DNS via DoH.
• La requête DNS (généralement au format DNS binaire ou JSON) est intégrée dans une requête HTTP POST ou GET à destination du serveur DoH.
• La communication est chiffrée grâce au protocole TLS (HTTPS), garantissant confidentialité et intégrité.
• Le serveur DoH traite la requête, interroge les serveurs DNS en amont si nécessaire, puis renvoie la réponse DNS chiffrée dans la réponse HTTPS.
• L’application extrait la réponse DNS et poursuit la connexion vers le site demandé.

Schéma comparatif du flux classique et du flux DoH

Étape	DNS classique	DNS over HTTPS (DoH)
Envoi de la requête	UDP/TCP, non chiffré	HTTPS (TCP/443), chiffré TLS
Confidentialité	Faible, requête visible en clair	Forte, requête masquée dans HTTPS
Blocage/restriction	Facile (filtrage DNS, pare-feu)	Difficile (ressemble au trafic web classique)
Intégrité des données	Non garantie	Assurée par HTTPS/TLS

Compatibilité et déploiement

Le DNS over HTTPS est progressivement adopté par les principaux navigateurs et systèmes d’exploitation. Voici quelques exemples concrets :

• Mozilla Firefox : Première implémentation grand public, activée par défaut aux États-Unis depuis 2020, possibilité de choisir son fournisseur DoH (Cloudflare, NextDNS, etc.).
• Google Chrome : Prise en charge native, détection automatique lorsque le serveur DNS du système propose DoH.
• Microsoft Windows 11 : Support natif du DoH au niveau du système, configuration dans les paramètres réseau.
• Android 9+ : Option « DNS privé » permettant d’utiliser DoH ou DoT (DNS over TLS).

La liste des serveurs DoH publics s’allonge chaque année, avec des acteurs majeurs comme Google (dns.google/dns-query), Cloudflare (cloudflare-dns.com/dns-query), Quad9 (dns.quad9.net/dns-query) ou encore NextDNS.

Confidentialité améliorée : un atout majeur du DoH

Protection contre l’interception des requêtes DNS

L’un des principaux arguments en faveur du DoH est l’amélioration substantielle de la confidentialité pour les internautes. En chiffrant les requêtes DNS, DoH empêche les FAI, les administrateurs réseau ou les acteurs malveillants d’accéder facilement à la liste des sites consultés par un utilisateur. Cela représente un progrès significatif dans la lutte contre la surveillance de masse et le profilage comportemental.

• En France, l’ARCEP indique que jusqu’à 80 % des internautes utilisent par défaut les serveurs DNS de leur FAI, qui peuvent, en théorie, exploiter ces données à des fins commerciales ou de surveillance.
• Selon une étude Mozilla de 2021, l’adoption du DoH a permis de réduire de 30 % la quantité de données DNS interceptées sur les réseaux publics Wi-Fi.

Résistance au filtrage et à la censure

Le chiffrement des requêtes DNS via DoH complique considérablement le travail des organismes cherchant à filtrer ou censurer certains sites Internet. Sur les réseaux d’entreprise, les campus universitaires ou dans les pays soumis à la censure, les solutions de filtrage traditionnelles reposent sur l’inspection des requêtes DNS. Avec DoH, ces méthodes deviennent inopérantes, car le contenu des requêtes est masqué dans le flux HTTPS global.

• Exemple : dans certains pays, des plateformes comme Wikipedia ou Telegram sont bloquées via des listes DNS. DoH permet aux utilisateurs de contourner ces restrictions.
• Sur un réseau Wi-Fi public (hôtel, café), un utilisateur équipé de DoH pourra naviguer sans craindre que ses requêtes DNS soient espionnées ou modifiées.

Limites de la confidentialité offerte par DoH

Il est toutefois important de souligner que DoH n’est pas une solution miracle pour l’anonymat en ligne. Bien que les requêtes DNS soient chiffrées entre l’utilisateur et le serveur DoH, ce dernier (Cloudflare, Google, etc.) a toujours accès à l’ensemble des domaines résolus. De plus, d’autres éléments du trafic web (adresses IP, cookies, fingerprinting) peuvent continuer à trahir l’identité ou les habitudes de l’utilisateur.

• Par exemple, un serveur DoH peut conserver des logs d’activité, même si la plupart des opérateurs majeurs s’engagent à limiter la rétention et à respecter la vie privée.
• Pour une confidentialité maximale, il est recommandé d’associer DoH à d’autres solutions comme les VPN, Tor ou des navigateurs axés sur la vie privée.

Comparaison avec d’autres technologies de confidentialité DNS

Technologie	Chiffrement	Protection contre l’interception	Facilité de contournement	Utilisation principale
DNS classique	Non	Faible	Facile	Navigation standard
DNS over TLS (DoT)	Oui	Élevée	Modérée	Réseaux d’entreprise, OS récents
DNS over HTTPS (DoH)	Oui	Très élevée	Difficile	Navigateur, OS, mobile
VPN avec DNS privé	Oui (global)	Très élevée	Difficile	Confidentialité renforcée

Renforcement de la sécurité grâce au DoH

Prévention des attaques de type « Man-in-the-Middle »

Le DoH contribue activement à la protection contre les attaques de type « man-in-the-middle » (MITM), où un attaquant intercepte ou modifie les requêtes DNS pour rediriger un utilisateur vers un site frauduleux. Grâce au chiffrement TLS, il devient quasiment impossible pour un tiers d’altérer le contenu des requêtes ou réponses DNS entre l’utilisateur et le serveur DoH.

• Statistiquement, selon Akamai, 24 % des attaques de phishing commencent par une manipulation DNS ; DoH réduit drastiquement ce vecteur d’attaque.
• Sur les réseaux Wi-Fi publics non sécurisés, le DoH protège les utilisateurs contre les détournements DNS courants.

Réduction des risques de « DNS spoofing » et cache poisoning

Les attaques de « DNS spoofing » consistent à falsifier les réponses DNS pour diriger l’utilisateur vers un site malveillant. Le « cache poisoning », quant à lui, vise à insérer des données erronées dans le cache DNS d’un serveur ou d’un client. En chiffrant les échanges DNS, DoH complique fortement la tâche des attaquants, qui ne peuvent plus injecter ou intercepter des réponses malicieuses aussi facilement.

• Avec DoH, même si un attaquant contrôle le réseau local, il ne peut plus intercepter ou modifier les requêtes DNS sans casser le chiffrement HTTPS.
• De nombreux professionnels de la cybersécurité recommandent DoH dans les environnements à haut risque (hôpitaux, entreprises, institutions publiques).

Limites et nouvelles menaces potentielles

Malgré ses atouts, DoH n’est pas exempt de reproches sur le plan de la sécurité :

• Point de centralisation : Le serveur DoH devient une cible unique. S’il est compromis, toutes les requêtes DNS d’un grand nombre d’utilisateurs peuvent être interceptées ou analysées.
• Masquage du trafic malveillant : Certains malwares utilisent DoH pour contourner les solutions de filtrage DNS basées sur le réseau, rendant leur détection plus difficile.
• Détection des menaces plus complexe : Les outils de sécurité réseau (IDS/IPS) qui surveillent le trafic DNS en clair perdent en efficacité avec DoH, nécessitant de nouvelles approches de détection des menaces.

Il est donc crucial, pour les entreprises notamment, d’adapter leurs stratégies de cybersécurité à l’ère du DoH, en combinant cette technologie avec d’autres solutions comme l’analyse comportementale, le filtrage au niveau du poste client ou encore la supervision des logs DNS des serveurs DoH utilisés.

Exemples concrets d’usage sécurisé

• Un salarié en télétravail se connecte à l’intranet de son entreprise depuis un réseau Wi-Fi public. Avec DoH, ses requêtes DNS sont protégées contre toute interception locale, réduisant les risques de compromission.
• Une école déploie DoH sur les ordinateurs des élèves pour limiter l’exposition aux cyberattaques sur son réseau ouvert.

Impacts du DoH sur les performances réseau

Temps de résolution DNS : DoH vs DNS classique

Une question fréquemment posée concerne l’impact de DoH sur la rapidité de navigation. Logiquement, l’ajout d’une couche de chiffrement TLS et le passage par le protocole HTTP(s) pourraient entraîner une légère latence supplémentaire lors de la résolution des noms de domaine. Des études menées par Cloudflare, Google et des laboratoires indépendants montrent toutefois que la différence de performance est souvent négligeable pour l’utilisateur final, surtout lorsque les serveurs DoH sont bien optimisés et géographiquement proches.

• Sur une connexion haut débit, la latence supplémentaire moyenne introduite par DoH est de l’ordre de 5 à 15 ms par requête DNS, soit moins de 2 % du temps total de chargement d’une page web moderne.
• Sur mobile ou réseaux saturés, l’impact peut être plus perceptible, notamment lors de la première connexion (établissement TLS), mais reste globalement contenu.

Gestion du cache DNS et impact sur la bande passante

Le DoH n’affecte généralement pas le mécanisme de cache DNS local, qui continue d’accélérer la résolution des noms de domaine fréquemment consultés. Toutefois, certaines implémentations (notamment au niveau du navigateur) peuvent contourner le cache système, ce qui peut générer davantage de requêtes vers le serveur DoH. Ce phénomène doit être pris en compte dans les environnements à forte volumétrie.

En termes de bande passante, le chiffrement ajoute une légère surcharge (environ 10-15 % de données supplémentaires par requête par rapport au DNS classique), mais cet impact reste marginal dans la plupart des cas, surtout face à la taille croissante des contenus web (images, vidéos, etc.).

Comparatif de performances entre principaux serveurs DoH

Fournisseur DoH	Latence moyenne France (ms)	Disponibilité (%)	Chiffrement supporté	Politiques de logs
Cloudflare (1.1.1.1)	9	99,9	TLS 1.3	Pas de logs d’activité
Google DNS	14	99,8	TLS 1.2/1.3	Logs anonymisés, 24h max
Quad9	17	99,7	TLS 1.2/1.3	Pas de logs d’IP client
NextDNS	12	99,8	TLS 1.3	Logs désactivables

Pratiques recommandées pour optimiser les performances

• Choisir un serveur DoH géographiquement proche pour limiter la latence.
• Privilégier les fournisseurs ayant une politique stricte de non-rétention des logs.
• Utiliser des navigateurs ou applications prenant en charge le cache DNS local.
• Surveiller les performances réseau après déploiement à grande échelle (en entreprise, par exemple).

Déploiement et considérations de mise en œuvre

Implémentation côté utilisateurs

L’adoption du DoH est à la portée de tous, même sans compétences techniques poussées. Voici les principales méthodes d’activation pour les particuliers :

• Dans le navigateur : Firefox propose une option « DNS via HTTPS » dans ses paramètres, avec possibilité de choisir le fournisseur (Cloudflare, NextDNS, etc.). Chrome active DoH automatiquement si le serveur DNS du système est compatible, ou via des extensions spécialisées.
• Au niveau du système : Windows 11/10 permet la configuration de DoH pour toutes les connexions réseau. Sous Android 9+, l’option « DNS privé » active DoH/DoT pour l’ensemble des applications.
• Applications mobiles : Certaines applications de sécurité ou VPN intègrent un serveur DoH dédié pour protéger les requêtes DNS même en dehors du navigateur.

Déploiement en entreprise et sur les réseaux gérés

Pour les organisations, le déploiement du DoH soulève des questions stratégiques et opérationnelles spécifiques :

• Contrôle des flux DNS : Le DoH peut compliquer la supervision et le filtrage DNS, traditionnellement utilisés pour bloquer des sites malveillants ou appliquer la politique de sécurité interne.
• Compatibilité applicative : Certaines applications métier requièrent un accès direct au DNS local ou à des zones internes, ce qui peut être perturbé par l’activation de DoH au niveau système ou navigateur.
• Gestion centralisée : Des solutions comme NextDNS ou Cisco Umbrella proposent des consoles d’administration pour gérer les politiques DoH à l’échelle de l’entreprise.

Cas d’usage typiques et limites

• Dans le secteur de la santé, le DoH protège les données sensibles lors des consultations en ligne, mais nécessite une adaptation des outils de monitoring réseau.
• Les écoles et universités utilisent DoH pour protéger les élèves contre le tracking et les attaques, mais doivent revoir les systèmes de contrôle parental et de filtrage pédagogique.
• Les grandes entreprises optent pour des solutions hybrides (DoH interne + contrôle DNS local) afin de concilier sécurité, confidentialité et conformité réglementaire.

Points de vigilance lors du déploiement

• Bien vérifier la politique de confidentialité du fournisseur DoH choisi.
• Anticiper les éventuels conflits avec les solutions de filtrage DNS existantes.
• Informer et former les utilisateurs sur les changements induits par DoH.
• Surveiller l’évolution de la réglementation (notamment RGPD en Europe) concernant la gestion des logs DNS par les fournisseurs DoH.

Avantages et inconvénients du DNS over HTTPS

Avantages principaux

• Confidentialité renforcée : Les requêtes DNS sont chiffrées et masquées dans le flux HTTPS, empêchant l’espionnage et le suivi par les FAI ou des tiers.
• Sécurité accrue : Protection contre les attaques de type « man-in-the-middle », « DNS spoofing » et « cache poisoning ».
• Résilience face à la censure : Contournement des filtrages DNS classiques, notamment dans les pays ou réseaux pratiquant la censure.
• Interopérabilité : Prise en charge croissante par les navigateurs, OS et applications mobiles.
• Protection sur réseaux publics : Sécurisation des requêtes DNS sur les Wi-Fi d’hôtels, cafés, aéroports, etc.

Inconvénients et défis

• Centralisation des requêtes : Concentration des données chez quelques grands fournisseurs DoH, créant des points de vulnérabilité potentiels.
• Impact sur la supervision réseau : Les solutions de sécurité traditionnelles perdent en efficacité, obligeant à repenser la détection des menaces.
• Compatibilité applicative : Certains logiciels ou services internes peuvent être perturbés par le passage systématique par un serveur DoH externe.
• Risque d’utilisation malveillante : Les malwares peuvent utiliser DoH pour contourner les filtres réseau, rendant la détection plus complexe.
• Surcharge minime : Légère augmentation de la latence et de la bande passante consommée.
• Dépendance aux politiques de logs des fournisseurs DoH : La confidentialité dépend in fine du fournisseur choisi et de sa gestion des données.

Tableau récapitulatif avantages / inconvénients

Avantages du DoH	Inconvénients du DoH
Confidentialité accrue	Centralisation des données
Sécurité des requêtes DNS	Perte de visibilité réseau
Protection contre la censure	Compatibilité applicative
Facilité de déploiement	Risque d’utilisation malveillante
Protection sur Wi-Fi publics	Légère augmentation de la latence
Interopérabilité multi-plateforme	Dépendance au fournisseur DoH

Conseils pour choisir et utiliser DoH efficacement

• Privilégier des fournisseurs DoH réputés, transparents sur leur politique de confidentialité (Cloudflare, Quad9, NextDNS).
• Activer DoH au niveau du système pour une protection globale, ou au niveau du navigateur pour cibler uniquement la navigation web.
• En entreprise, équilibrer sécurité et supervision en optant pour des solutions DoH internes ou managées.
• Compléter DoH par d’autres mesures de cybersécurité : VPN, chiffrement de bout en bout, outils anti-malware, etc.
• Surveiller régulièrement l’évolution de la technologie et de la réglementation associée au DNS chiffré.

Conclusion

Le DNS over HTTPS s’impose aujourd’hui comme une avancée majeure dans la sécurisation de la navigation sur Internet. En chiffrant les requêtes DNS, il protège efficacement la vie privée des utilisateurs et renforce la sécurité contre de nombreuses attaques courantes. Toutefois, son déploiement généralisé soulève également de nouveaux défis, notamment en matière de supervision des réseaux, de centralisation des données et de compatibilité avec certains environnements professionnels. Pour les particuliers, activer DoH constitue un moyen simple et efficace d’améliorer leur confidentialité, à condition de bien choisir leur fournisseur. Pour les entreprises, la réflexion doit être plus globale afin de concilier sécurité, conformité et performance. En définitive, le DoH n’est pas une solution isolée, mais un maillon essentiel d’une stratégie de cybersécurité moderne, à combiner avec d’autres outils et bonnes pratiques pour une protection optimale sur le web.