DNS sur HTTPS (DoH) : ce que c'est et comment le tester

Ce que fait réellement DoH

DoH envoie les requêtes et réponses DNS à l'intérieur du HTTPS, le même protocole utilisé pour la navigation web classique, au lieu du traditionnel UDP ou TCP en clair sur le port 53. Pour un observateur sur le réseau, une requête DoH est indiscernable de n'importe quelle autre requête HTTPS vers ce serveur.

Pourquoi cela compte

Une requête DNS en clair révèle à quiconque sur le chemin — votre fournisseur d'accès, l'opérateur d'un Wi-Fi public, ou un attaquant sur le chemin — chaque domaine que vous consultez, même si le site lui-même est ensuite chargé en HTTPS. DoH chiffre la requête elle-même, comblant cette lacune précise.

DoH face au DNS sur TLS (DoT)

DoT chiffre le DNS de la même manière, mais via son propre port dédié, le 853. Cela le rend tout aussi facile à bloquer que le DNS classique — un opérateur réseau n'a qu'à bloquer un seul port. DoH partage délibérément le port 443 avec le trafic HTTPS ordinaire, ce qui rend son blocage, sans bloquer aussi la majeure partie du web, bien plus difficile.

Le compromis

Cette même propriété est ce qui rend DoH réellement controversé : il peut contourner le filtrage basé sur le DNS mis en place au niveau du réseau — par un employeur, une école ou un logiciel de contrôle parental —, puisque le trafic ne ressemble plus à du DNS pour tout ce qui surveille le port 53. C'est un compromis réel, activement débattu, entre vie privée individuelle et application de politiques réseau, pas une note technique tranchée.

Vérifier si DoH est actif

Tester directement le point de terminaison DoH d'un résolveur confirme s'il répond correctement en HTTPS, indépendamment du fait que votre navigateur ou système soit réellement configuré pour l'utiliser au quotidien.