C'est quoi le DNS ?

DNS
Publié par

Chaque fois que vous tapez une adresse dans votre navigateur, quelque chose se passe en arrière-plan que la plupart des gens ne remarquent jamais. Votre ordinateur ne sait pas où se trouve "google.com", il ne comprend que les adresses IP, ces suites de chiffres comme 142.250.74.46. Le DNS est le système qui fait la traduction. Sans lui, vous devriez mémoriser des dizaines d'adresses IP pour naviguer sur le web.

Le DNS, un annuaire mondial distribué

DNS signifie Domain Name System. C'est un système hiérarchique qui associe des noms de domaine lisibles par des humains à des adresses IP lisibles par des machines. Quand vous tapez "wikipedia.org", une requête DNS part immédiatement pour trouver l'adresse IP correspondante, tout ça en quelques dizaines de millisecondes, avant même que votre navigateur ne commence à charger la page.

Ce qui rend le DNS remarquable, c'est son échelle. Il gère des milliards de requêtes par jour sur des milliers de serveurs répartis dans le monde entier, sans point de défaillance unique. C'est l'une des infrastructures les plus critiques et les moins visibles d'internet.

Comment fonctionne une résolution DNS

Quand vous tapez une URL, voici ce qui se passe réellement :

Votre appareil vérifie d'abord son cache local, si vous avez visité ce site récemment, la réponse est peut-être déjà mémorisée. Sinon, la requête part vers votre résolveur DNS, généralement fourni par votre opérateur (Orange, SFR, Free) ou un service tiers comme Google (8.8.8.8) ou Cloudflare (1.1.1.1).

Si le résolveur n'a pas la réponse en cache, il interroge un serveur racine, il en existe 13 clusters dans le monde, gérés par des organisations comme l'ICANN, Verisign ou la NASA. Le serveur racine indique quel serveur TLD (Top Level Domain) consulter pour ".com", ".fr", ".org", etc. Ce serveur TLD renvoie ensuite vers le serveur autoritaire du domaine, celui qui détient la vraie réponse. C'est là que sont stockés les enregistrements DNS du site.

Toute cette chaîne prend généralement entre 20 et 120 millisecondes. Les réponses sont ensuite mises en cache à chaque étape pour accélérer les requêtes futures.

Les types d'enregistrements DNS

Un domaine ne se résout pas seulement en une adresse IP. Il peut contenir plusieurs types d'enregistrements selon l'usage :

  • A : associe un nom de domaine à une adresse IPv4 (ex : example.com vers 93.184.216.34)
  • AAAA : même chose pour IPv6
  • CNAME : alias vers un autre nom de domaine (www.example.com vers example.com)
  • MX : indique les serveurs de messagerie du domaine, essentiel pour recevoir des emails
  • TXT : texte libre, utilisé pour la vérification de domaine (Google, SPF, DKIM) et d'autres usages
  • NS : indique quels serveurs DNS font autorité pour ce domaine
  • TTL : Time To Live, durée pendant laquelle la réponse peut être mise en cache, exprimée en secondes

Pourquoi le DNS peut poser des problèmes

Un site qui ne s'affiche pas n'est pas forcément en panne, c'est souvent un problème DNS. Les causes les plus fréquentes :

  • Un TTL trop long après un changement d'hébergeur : les anciennes adresses IP restent en cache pendant des heures, parfois 24 à 48h
  • Un résolveur DNS de votre opérateur qui est lent ou en panne : changer pour 1.1.1.1 (Cloudflare) ou 8.8.8.8 (Google) règle souvent le problème instantanément
  • Un empoisonnement DNS (DNS spoofing) : un attaquant modifie les réponses pour rediriger vers un faux site, c'est pour ça que DNSSEC a été créé

Pour diagnostiquer un problème DNS sur Windows, la commande nslookup example.com vous donne la réponse de votre résolveur actuel. Sur Linux et macOS, dig example.com est plus complet et indique aussi le temps de réponse et le serveur interrogé.

DNS et vie privée

Par défaut, les requêtes DNS transitent en clair sur le réseau, votre opérateur, et n'importe qui entre votre appareil et le résolveur, peut voir quels sites vous visitez. C'est une fuite de confidentialité importante que beaucoup ignorent.

Deux solutions existent pour chiffrer ces requêtes : DNS over HTTPS (DoH) et DNS over TLS (DoT). Les deux encapsulent les requêtes DNS dans des connexions chiffrées. Firefox active DoH par défaut depuis 2019, et Windows 11 supporte DoT nativement. Cloudflare (1.1.1.1), NextDNS et Quad9 proposent tous des résolveurs compatibles DoH et DoT.

Changer votre résolveur DNS pour 1.1.1.1 (Cloudflare) ou 9.9.9.9 (Quad9) est l'une des modifications les plus simples que vous pouvez faire pour améliorer à la fois la vitesse et la confidentialité de votre navigation, ça prend deux minutes et ne coûte rien.