Que révèle le DNS sur vous ? Explications simples

Le DNS, c'est l'annuaire d'Internet. Votre téléphone connaît des noms comme banque.example, mais le réseau transporte les données entre des adresses numériques. Avant qu'un site, une appli ou une notification ne se charge, le téléphone demande donc à un résolveur : « où se trouve ce nom ? ». Cela arrive des centaines de fois par jour sans que vous le remarquiez.

Chaque question est minuscule. Ensemble, elles forment un journal étonnamment précis. Voici ce qu'il contient, qui peut le lire et ce qui change vraiment quand vous activez le DNS chiffré ou un VPN.

Ce que révèlent vos requêtes DNS

Une requête contient un nom, pas une page. Elle dit « sante.example », pas quel article vous y avez lu. Cette limite compte, et c'est déjà beaucoup :

L'IETF, l'organisme qui rédige les standards d'Internet, le dit sans détour dans la RFC 9076 : votre résolveur « en sait long sur vous ».

Qui peut voir une requête

Une requête fait plusieurs étapes, et chacune voit quelque chose de différent.

1. Le réseau sur lequel vous êtes. Le DNS classique circule en clair sur le port 53. Qui gère le Wi-Fi (un café, un hôtel, votre employeur, la personne qui a la box chez elle) et votre fournisseur d'accès peuvent lire chaque nom. Qui contrôle un point d'accès peut aussi modifier les réponses et vous envoyer ailleurs ; notre article sur les faux Wi-Fi publics montre comment les faux points d'accès s'en servent. Pour le voir sur votre propre connexion, essayez notre outil Ce que voit votre réseau Wi-Fi.
2. Le résolveur. Par défaut, c'est celui de votre fournisseur d'accès ou celui que distribue le Wi-Fi. Il voit chaque nom demandé et l'adresse d'où vient la question. Ce qu'il conserve, et combien de temps, dépend de celui qui le gère.
3. Les serveurs DNS. Le résolveur interroge les serveurs responsables de la racine, de .example et de banque.example. Ils voient l'adresse du résolveur, pas la vôtre. Deux standards fixent ce qu'ils apprennent : la minimisation du nom demandé (RFC 9156) n'envoie à chaque serveur que la partie du nom dont il a besoin, et l'option sous-réseau du client (RFC 7871) permet à certains résolveurs de transmettre une partie de votre IP pour que le site choisisse un serveur proche.

Ce que change le DNS chiffré

Trois standards chiffrent le trajet entre votre téléphone et le résolveur :

Avec n'importe lequel, le Wi-Fi et votre fournisseur d'accès ne peuvent plus lire ni réécrire les noms. Deux choses ne changent pas :

• Le résolveur voit toujours tout. Le chiffrement protège le trajet, pas la destination. Vous avez déplacé votre confiance du réseau vers celui qui gère le résolveur.
• Le réseau voit toujours où vous vous connectez. Après la requête, votre téléphone se connecte à l'adresse IP du site, et la plupart des connexions HTTPS annoncent encore le nom du site dans le premier message TLS (l'indication du nom du serveur, SNI). Encrypted Client Hello (RFC 9849) masque ce nom, mais seulement quand le navigateur et le site le prennent en charge.

Le DNS chiffré est donc un vrai progrès, mais seul il ne vous rend pas discret face au réseau. Le DNS privé d'Android propose trois modes (désactivé, automatique et un nom de fournisseur choisi), comme Google l'a expliqué au lancement de la fonction ; notre article DNS privé ou VPN explique lequel choisir.

Ce que change un VPN

Un VPN chiffre tout, pas seulement le DNS. Le réseau ne voit qu'une connexion chiffrée vers le serveur VPN ; les requêtes, les adresses IP auxquelles vous vous connectez et les noms des sites dans TLS passent à l'intérieur. Un VPN bien conçu répond aussi lui-même à vos requêtes, dans le tunnel, pour qu'elles ne passent jamais par le résolveur du Wi-Fi ou du fournisseur d'accès.

Tout se retrouve alors au même endroit : c'est le résolveur du VPN qui voit chaque nom. Que ce soit un progrès dépend entièrement de ce que le fournisseur conserve, et c'est pourquoi la politique de journaux d'un VPN n'est pas un détail. La nôtre est détaillée ligne par ligne dans ce que nous gardons et qui paie.

Ce que le DNS ne révèle pas

Pour garder le sens de la mesure :

• Ni la page ni le contenu. Avec HTTPS, une requête vers actu.example ne dit pas quel article vous avez lu, ce que vous avez tapé ni ce que vous avez acheté.
• Ni vos messages. Les applis chiffrées de bout en bout laissent voir le nom de leurs serveurs, pas ce que vous dites.
• Pas toujours votre identité. Le résolveur voit une adresse IP, pas un nom. Mais une adresse et une série de requêtes peuvent suffire à reconnaître un foyer.

La navigation privée n'y change rien : elle empêche seulement votre navigateur d'enregistrer l'historique sur votre propre appareil.

Comment PryVPN gère le DNS

Le DNS de PryVPN est construit autour de ce dernier point :

• Chaque serveur PryVPN a son propre résolveur, joignable uniquement dans le tunnel, pour que vos requêtes ne traversent jamais le Wi-Fi en clair.
• Le résolveur vérifie les signatures DNSSEC et rejette les réponses falsifiées.
• Il répond depuis la mémoire et n'enregistre pas vos requêtes ; seuls des totaux sans identifiant sont conservés.
• Les filtres sont facultatifs et par catégorie (traceurs et logiciels malveillants activés par défaut, publicités seulement si vous les activez). Ils fonctionnent parce que le résolveur vérifie des noms, jamais parce qu'il note qui a demandé. L'article d'aide sur les filtres DNS donne les détails.
• Le test de fuite de l'appli montre quel serveur DNS votre téléphone utilise réellement et vous prévient si le DNS privé d'Android envoie les requêtes ailleurs.

La liste des cinq minutes

1. Sur un Wi-Fi public ou partagé, évitez le DNS classique. Activez le DNS privé (Paramètres › Réseau et Internet › DNS privé) ou utilisez un VPN.
2. Choisissez votre résolveur en connaissance de cause. Cherchez une liste publiée de ce qu'il conserve et pendant combien de temps.
3. N'empilez pas les réglages à l'aveugle. Si un VPN gère votre DNS, un nom fixe dans le DNS privé peut sortir les requêtes du tunnel et désactiver ses filtres. VPN activé, « Automatique » est en général le bon choix.
4. Vérifiez au lieu de supposer. Un test de fuite DNS montre quel résolveur vous utilisez vraiment.
5. Pensez à HTTPS. Il protège le contenu ; la confidentialité du DNS protège la liste des lieux.

Questions fréquentes

Le propriétaire du Wi-Fi voit-il mes requêtes DNS en navigation privée ?

Oui. La navigation privée ne concerne que ce que votre navigateur enregistre sur le téléphone. Les requêtes traversent le réseau de la même façon.

Le DNS montre-t-il les pages exactes que je visite ?

Non. Il montre des noms comme forum.example, pas l'adresse de la page ni son contenu. En HTTP non chiffré (rare aujourd'hui), le réseau en verrait plus, mais ce n'est plus le DNS.

Le DNS sur HTTPS suffit-il ?

Il empêche le réseau de lire et de modifier vos requêtes. Il ne cache pas les adresses IP auxquelles vous vous connectez, et la plupart des sites révèlent encore leur nom à l'ouverture de TLS. C'est un bon pas, pas une solution complète.

Un VPN voit-il mon DNS ?

Son résolveur, oui, si le VPN gère le DNS, ce qu'il devrait faire. C'est pourquoi la politique de journaux du fournisseur compte autant que le chiffrement.

Le résolveur de PryVPN est conçu pour que la réponse à « qu'avez-vous gardé ? » soit courte. Si vous voulez l'essayer, vous pouvez rejoindre la bêta.

Vous avez repéré une erreur ? Écrivez-nous à support@pryvpn.com : nous la corrigeons et mettons la date à jour.