Qu’est-ce que le DNS et comment fonctionne-t-il ?

L’affichage d’un site web semble instantané, mais elle est précédée d’une recherche rapide. Avant qu’une page ne puisse se charger, votre appareil doit localiser le serveur sur lequel ce site est hébergé – et c’est là que le DNS entre en jeu.

Ce guide donne une définition DNS claire et explique comment fonctionne le processus de résolution, pourquoi il est important et comment il influe sur la vitesse et la sécurité.

Qu’est-ce que le DNS, et pourquoi est-ce important ?

Le système de noms de domaine (DNS) est le système qui traduit les noms de sites web, lisibles par les humains, en adresses IP numériques que les ordinateurs utilisent pour se localiser mutuellement en ligne.

Sans le DNS, vous devriez mémoriser de longues chaînes de chiffres (adresses IP) chaque fois que vous souhaitez consulter un site – par exemple 192.0.2.1 au lieu de privateinternetaccess.com. Le DNS rend la navigation sur Internet rapide et fluide.

Le DNS n’est pas un serveur unique. Mais alors, qu’est-ce qu’un serveur DNS ? Il s’agit d’un réseau distribué de résolveurs et de serveurs de noms qui fonctionnent ensemble pour répondre aux requêtes de résolution et assurer la fluidité des connexions.

Comment fonctionne le DNS ? Une explication étape par étape

Voici ce qui se passe lorsque vous consultez un site web.

1. Vous saisissez le nom d’un site web dans votre navigateur : par exemple, un nom de domaine comme example.com. Pour charger le site, votre appareil a besoin de l’adresse IP du serveur qui l’héberge.
2. Votre appareil consulte son cache DNS local : la première chose que fait votre navigateur ou votre système d’exploitation est de vérifier si vous avez récemment visité ce site. Si c’est le cas, il se peut que l’adresse IP soit déjà enregistrée en mémoire et que votre appareil s’y connecte directement.
3. Il interroge un résolveur DNS récursif : si la réponse ne se trouve pas dans votre cache, votre appareil envoie la requête à un résolveur récursif – généralement géré par votre fournisseur d’accès à Internet (FAI) ou un fournisseur DNS tel que Google ou Cloudflare. Dès lors, le résolveur se charge de la recherche à votre place.
4. Le résolveur vérifie son propre cache : s’il a récemment recherché l’adresse de ce site, il dispose peut-être déjà de la réponse. Sinon, il poursuit la recherche.
5. Le résolveur demande au serveur DNS racine où poursuivre la recherche : ce serveur fait office d’annuaire pour le système DNS d’Internet ; il indique au résolveur le serveur de domaine de premier niveau (TLD) approprié (dans ce cas, .com) auquel s’adresser ensuite.
6. Le résolveur contacte le serveur de noms TLD : ce serveur gère tous les domaines partageant la même extension (comme .com ou .net), selon la requête, et répond en indiquant l’adresse du serveur faisant autorité pour example.com.
7. Le résolveur contacte le serveur de noms faisant autorité : ce serveur détient les informations dont votre appareil a besoin. Il détient l’adresse IP du site et la communique au résolveur.
8. Le résolveur renvoie l’adresse IP à votre navigateur : votre appareil sait désormais à quelle adresse se connecter. Il peut alors se connecter directement au serveur du site web et commencer à charger la page.
9. L’adresse est mise en cache : pour accélérer le processus la prochaine fois, votre appareil et le résolveur conservent tous deux cette adresse en mémoire pendant une durée déterminée (appelée TTL pour Time To Live).

C’est un système complexe, mais en pratique, toutes ces étapes ne prennent que quelques millisecondes. Du point de vue de l’utilisateur, on a simplement l’impression que le site s’affiche instantanément.

Types de serveurs DNS

• Résolveur DNS récursif : il s’agit du premier serveur que votre appareil contacte directement. Il se charge essentiellement de trouver la bonne adresse IP – notamment en interrogeant d’autres serveurs – et renvoie la réponse à votre navigateur.
• Serveur de noms racine : le serveur de noms racine ne connaît pas la réponse (l’adresse IP dont vous avez besoin), mais il sait où le résolveur doit commencer ses recherches. Il indique le serveur TLD approprié en fonction de l’extension du domaine (comme .com, .net ou .org).
• Serveur de noms TLD : le serveur TLD gère un groupe spécifique de domaines, comme .com ou .org. Il ne peut pas fournir l’adresse IP au résolveur (car il ne la possède pas), mais il sait où trouver le serveur faisant autorité pour le domaine ciblé.
• Serveur de noms faisant autorité : ce serveur contient les véritables enregistrements DNS du domaine, y compris l’adresse IP. Il existe deux types de serveurs de noms faisant autorité : le serveur primaire (qui stocke les enregistrements d’origine) et le serveur secondaire (qui contient une copie de sauvegarde pour garantir la fiabilité).

Types de requêtes DNS

Toutes les requêtes DNS ne suivent pas nécessairement l’ensemble du processus décrit ci-dessus. En fonction des informations déjà connues ou mises en cache, votre système peut effectuer différents types de requêtes DNS. Ensemble, ces types de requêtes permettent au DNS de trouver le juste équilibre entre rapidité et précision, afin de vous garantir la réponse adéquate le plus rapidement possible.

Requête récursive

Une requête récursive se produit lorsque votre appareil demande à un résolveur DNS de lui fournir la réponse finale, quel que soit le nombre de serveurs qu’il doit contacter. Il s’agit du processus de résolution complet, de bout en bout, et c’est le résolveur qui se charge de tout le travail.

Requête itérative

Lors d’une requête itérative, le résolveur interroge chaque serveur DNS de la chaîne afin d’obtenir la meilleure réponse possible. Si un serveur ne dispose pas de la réponse finale, il redirige le résolveur vers le serveur suivant. Ce processus se poursuit jusqu’à ce que le résolveur interroge le serveur faisant autorité et obtienne l’adresse IP.

Requête non récursive

Une requête non récursive est la plus rapide : elle se produit lorsque le résolveur dispose déjà de l’adresse IP dans son cache, prête à être utilisée. Il n’est pas nécessaire de contacter d’autres serveurs ; la réponse est fournie instantanément.

Le DNS peut-il avoir une incidence sur la vitesse de navigation ?

Oui, et son rôle est plus important que vous ne le pensez.

Comme nous l’avons mentionné, chaque fois que vous accédez à un site web, votre navigateur doit convertir le nom de domaine en adresse IP. Il effectue cette conversion via un processus appelé « recherche DNS » ; même si cela ne devrait pas prendre plus de quelques millisecondes, cela peut ralentir l’ensemble du processus si votre service DNS est lent ou peu fiable.

Si le serveur DNS lui-même est physiquement éloigné, surchargé de requêtes ou lent pour résoudre les noms de domaine, vous constaterez un ralentissement ou un délai avant que la page ne commence à se charger. Votre débit Internet n’a ici aucune importance : que vous disposiez d’une connexion haut débit par fibre optique ou d’une connexion ADSL lente, une recherche DNS inefficace entraînera tout de même un chargement lent du site web.

En revanche, le recours à un fournisseur DNS rapide et bien optimisé garantit que vos requêtes sont traitées rapidement et efficacement. Les sites web se chargent plus vite et votre expérience en ligne est nettement plus fluide. C’est particulièrement perceptible si vous passez beaucoup de temps à naviguer sur Internet ou si vous travaillez en ligne toute la journée.

La plupart des internautes ne modifient pas les serveurs DNS par défaut de son FAI, peut-être parce qu’il n’a pas conscience qu’il a le choix. Opter pour un résolveur plus rapide ou respectueux de la vie privée, tel que le DNS du VPN PIA, Cloudflare (1.1.1.1), Google Public DNS (8.8.8.8) ou Quad9, peut faire une différence notable.

Il convient de souligner que votre navigateur et le système d’exploitation de votre appareil disposent d’un cache DNS. Si vous avez récemment consulté un site, votre système peut utiliser l’adresse IP enregistrée au lieu de refaire la recherche, ce qui permet de gagner du temps et de réduire le trafic. C’est l’une des raisons pour lesquelles les sites fréquemment consultés se chargent plus rapidement.

Comment effectuer une recherche DNS

Vérifier les informations DNS associées à un domaine s’appelle une « résolution DNS ». Windows, macOS et Linux disposent d’un outil intégré appelé « nslookup » qui permet de vérifier et d’afficher toutes les données issues des enregistrements DNS du site. C’est un moyen simple d’obtenir des informations telles que les adresses IP, les enregistrements des serveurs de messagerie, etc. Voici comment procéder :

1. Ouvrez l’application Terminal ou l’invite de commandes sur votre ordinateur. (Sous Windows, cliquez sur Démarrer, puis tapez « Invite de commandes » ou « cmd » puis lancez l’application.)
2. Tapez « nslookup » et appuyez sur Entrée. Cela définit le serveur DNS actuel de votre système comme serveur par défaut.
3. Si vous souhaitez vérifier un type d’enregistrement spécifique tel que A (adresse IP), MX (Mail Exchange) ou NS (enregistrement de serveur de noms), tapez « set type=type_d’enregistrement » (par exemple, « set type=A ») puis appuyez sur Entrée.
4. Saisissez le nom de domaine que vous souhaitez interroger (par exemple, privateinternetaccess.com) puis appuyez sur Entrée.

Les informations relatives à l’enregistrement s’afficheront alors directement dans votre terminal.

C’est un outil pratique pour résoudre les problèmes liés au DNS ou pour vérifier si un nom de domaine est correctement résolu.

Attaques DNS courantes : ce qu’il faut surveiller

Le DNS n’est pas, par nature, un outil de sécurité en ligne. Il est conçu pour être rapide et flexible, mais pas pour garantir la confidentialité ni pour être inviolable. Cela ouvre la voie à des vulnérabilités que des cybercriminels peuvent exploiter pour mener diverses cyberattaques.

Voici quelques-uns des types d’attaques DNS les plus courants :

• Détournement DNS : également appelé « redirection DNS », cette attaque redirige les utilisateurs vers des sites malveillants en modifiant la manière dont les requêtes DNS sont résolues. Les pirates peuvent prendre le contrôle des paramètres DNS via des logiciels malveillants, des routeurs compromis ou l’interception de trafic.
• Usurpation DNS : dans cette attaque, les pirates remplacent l’adresse IP correcte contenue dans les réponses DNS par une fausse adresse, incitant ainsi les utilisateurs à se rendre sur de faux sites web. Ces sites peuvent voler des mots de passe, infecter des appareils ou imiter des sites légitimes à l’insu de l’utilisateur.
• Empoisonnement du cache DNS : les attaquants injectent de fausses informations dans un cache DNS. Une fois empoisonné, le cache renvoie l’adresse IP de sites web malveillants, même lorsqu’ils saisissent le nom de domaine correct. Cela peut affecter aussi bien les appareils individuels que les serveurs DNS.
• Attaques par réflexion (amplification) DNS : il s’agit d’un type d’attaque DDoS dans laquelle les attaquants envoient de fausses requêtes DNS avec une adresse IP usurpée. Les serveurs DNS ouverts répondent à cette adresse usurpée en envoyant d’importants paquets de données, inondant ainsi le réseau de la victime et provoquant des interruptions de service.
• Tunneling DNS : cette technique consiste à dissimuler des données malveillantes à l’intérieur de requêtes DNS afin de contourner les outils de sécurité. Elle est souvent utilisée pour exfiltrer des données du réseau d’une victime ou pour établir une communication clandestine avec un serveur de commande et de contrôle (C2).
• Attaque par rebond (Rebinding DNS) : cette attaque force votre navigateur à se connecter à des appareils de votre réseau privé, tels que votre routeur ou votre serveur domestique, en lui envoyant de fausses informations DNS. Elle peut permettre à un site web malveillant de tenter d’accéder à des systèmes internes qui seraient normalement inaccessibles.

Fonctionnement de la sécurité DNS et comment protéger vos requêtes DNS

Voici quelques conseils pour protéger votre trafic DNS et réduire les risques d’exposition :

Utilisez le protocole DNSSEC pour garantir l’authenticité des réponses

Le protocole DNSSEC (Domain Name System Security Extensions) permet de vérifier que les réponses DNS n’ont pas été altérées. Il fonctionne comme une signature numérique qui confirme que la réponse provient d’une source légitime.

Chiffrez vos requêtes DNS

Des protocoles tels que le DNS over HTTPS (DoH) et le DNS over TLS (DoT) chiffrent votre trafic DNS, ce qui permet d’empêcher l’espionnage et les attaques de l’homme du milieu (MitM) sur les réseaux publics ou non sécurisés.

Configurez le filtrage DNS

Grâce au filtrage DNS, vous pouvez bloquer l’accès à des domaines malveillants connus avant même que la connexion ne soit établie. Les établissements scolaires, les entreprises et même les parents ont couramment recours à cette méthode pour faire respecter des règles de navigation plus sûres. Il vous suffit de choisir un service et de saisir ses adresses DNS dans les paramètres de votre appareil ou de votre routeur.

Utilisez un trou noir (ou « sinkhole ») DNS ou une liste blanche

Un « sinkhole » DNS redirige les requêtes ciblant des domaines malveillants connus vers une adresse IP inoffensive, tandis que les listes blanches n’autorisent que les sites préalablement approuvés. Ces approches s’avèrent particulièrement utiles dans les environnements d’entreprise où un contrôle strict est nécessaire.

Testez régulièrement s’il y a des fuites DNS

Même si vous utilisez des outils de sécurité, il est recommandé d’effectuer des tests de fuite DNS afin de vous assurer que vos requêtes ne sont pas accidentellement acheminées via des serveurs DNS non sécurisés ou indésirables. Par exemple, si vous utilisez Cloudflare, le test devrait afficher 1.1.1.1 ou one.one.one.one – et non le nom de votre FAI ni d’autres adresses IP.

Choisissez un fournisseur DNS fiable

Votre FAI est, par défaut, votre fournisseur DNS, mais vous pouvez tout à fait opter pour un fournisseur DNS privé afin de bénéficier de temps de réponse plus rapides, d’une meilleure confidentialité et d’une sécurité renforcée. Cependant, tous les services DNS ne se valent pas. Privilégiez les fournisseurs qui prennent en charge le protocole DNSSEC, qui disposent de mesures de protection contre les attaques DDoS ou les pannes, et qui appliquent une politique stricte sans journaux (no-logs) et ne vendent pas vos données.

FAQ