// CLUBIC — CYBERSECURITY
DNS chiffré, VPN, ECH… jusqu’où peut-on vraiment cacher sa navigation ?
Changer de DNS, chiffrer les requêtes, masquer les destinations derrière un VPN… Les solutions ne manquent pas pour réduire l’exposition de notre navigation. Leur efficacité se joue pourtant dans les détails, entre ce qu’elles protègent réellement, ce qu’elles laissent passer et à quel moment.
Ouvrir un site web commence souvent avant même la connexion au serveur qui l’héberge. Pour savoir vers quelle adresse acheminer le trafic, votre appareil doit d’abord résoudre son nom de domaine. Cette étape discrète passe par le DNS et produit des informations qui intéressent directement notre vie privée. HTTPS protège désormais l’essentiel du contenu échangé avec les sites, mais les requêtes DNS peuvent encore révéler les services que nous cherchons à joindre. On peut alors être tenté d’agir sur cette résolution pour mieux protéger sa navigation. Mais entre le choix du résolveur et la manière dont les requêtes lui sont envoyées, il s’agit souvent moins de les rendre invisibles que de décider qui pourra encore les lire.
Lorsque vous saisissez une adresse dans votre navigateur ou qu’une application contacte un service en ligne, votre appareil a besoin de convertir son nom de domaine en adresse IP, utilisée par le réseau pour acheminer les communications jusqu’à leur destination.
Ce travail repose sur le DNS, pour Domain Name System, un annuaire distribué qui permet par exemple d’associer clubic.com à l’adresse d’un serveur capable de répondre à la requête. Votre appareil ne parcourt pas lui-même cet annuaire. Il interroge généralement un résolveur DNS, chargé d’effectuer les recherches nécessaires puis de lui retourner la réponse.
À la maison, ce résolveur est souvent fourni par le FAI. Il n’accède ni au contenu protégé par HTTPS ni à l’URL complète de la page consultée. En revanche, il voit les noms de domaine et sous-domaines que votre appareil lui demande de résoudre, et à quel moment.
Ces informations ne constituent pas une copie exacte de votre historique de navigation. Une seule page peut déclencher des requêtes vers de nombreux domaines tiers pour charger des images, des scripts ou d’autres ressources, tandis que le navigateur peut lui-même résoudre à l’avance le domaine de certains liens avant que vous ne cliquiez dessus. Une messagerie ou un service de synchronisation peut aussi automatiquement solliciter le DNS en arrière-plan, sans intervention de votre part. À l’inverse, la consultation d’un site peut ne provoquer aucune nouvelle requête DNS si l’adresse correspondante est déjà conservée dans le cache du navigateur ou du système.
Un résolveur n’observe donc pas toutes vos visites, et toutes les requêtes qu’il reçoit ne correspondent pas à une action explicite de votre part. Sur la durée, elles sont pourtant très révélatrices. La répétition de requêtes vers des domaines liés à une banque, un média, une messagerie, une plateforme vidéo ou un service de santé permet déjà de reconstituer une partie des usages d’une connexion, même sans avoir accès au contenu des échanges.
Ce rôle d’intermédiaire donne aussi au résolveur un pouvoir sur la réponse qu’il renvoie. Des services spécialisés peuvent ainsi refuser de résoudre des domaines associés au phishing ou aux logiciels malveillants, tandis que les FAI peuvent employer le DNS pour appliquer des décisions de blocage ciblant, par exemple, des sites de streaming ou de téléchargement illégal.
Rien n’oblige toutefois à s’en remettre au résolveur de son opérateur. On peut confier cette tâche à un service tiers que l’on juge plus intéressant pour ses engagements en matière de confidentialité, comme Cloudflare, ses protections contre les domaines malveillants, comme Quad9 (également réputé pour son approche respectueuse de la vie privée), ou ses performances, comme le DNS public de Google.
Changer de résolveur ne fait cependant pas disparaître l’intermédiaire chargé de traiter les requêtes. Même Quad9, qui affirme ne pas enregistrer les adresses IP de ses utilisateurs, doit briève