Comment empêcher votre FAI de voir les sites que vous visitez

Votre fournisseur d'accès à internet sait quels sites vous visitez. Pas le contenu exact des pages (si le site utilise HTTPS), mais les noms de domaine : il sait que vous avez visité tel site de santé, tel forum, tel service de streaming, à quelle heure et pendant combien de temps. Ces informations passent par ses serveurs DNS et par les métadonnées de vos connexions. Dans la plupart des pays, les FAI sont même légalement tenus de conserver ces données pendant une durée définie. En France, c'est un an.

Ce n'est pas de la paranoïa, c'est le fonctionnement normal du réseau. Quand vous tapez une adresse dans votre navigateur, votre appareil envoie une requête DNS au serveur de votre FAI pour traduire le nom de domaine en adresse IP. Cette requête passe en clair, sans chiffrement, et votre FAI l'enregistre. Même si le contenu de la page est chiffré via HTTPS, le FAI voit le nom du site que vous demandez. C'est comme envoyer une lettre dans une enveloppe opaque : le facteur ne peut pas lire le contenu, mais il voit l'adresse du destinataire.

Ce que votre FAI voit exactement

Pour bien se protéger, il faut d'abord comprendre ce que le FAI peut et ne peut pas voir :

Ce qu'il voit : les noms de domaine que vous visitez (via les requêtes DNS), les adresses IP des serveurs auxquels vous vous connectez, les horodatages de chaque connexion, le volume de données échangé, et dans certains cas le SNI (Server Name Indication), un champ non chiffré dans la négociation TLS qui révèle le nom du site même sans passer par ses DNS.

Ce qu'il ne voit pas (si le site utilise HTTPS) : le contenu des pages, les identifiants que vous saisissez, les messages que vous envoyez, les fichiers que vous téléchargez. HTTPS chiffre le contenu, mais pas les métadonnées de connexion.

La distinction est importante. Savoir que vous avez visité un site de consultation médicale à 3h du matin est déjà une information sensible, même si le FAI ne sait pas quelle page exacte vous avez consultée.

Changer de serveur DNS : la première étape

La méthode la plus simple et la plus rapide pour empêcher votre FAI de voir vos requêtes DNS est de ne plus utiliser ses serveurs DNS. Par défaut, votre appareil utilise les DNS de votre FAI. Chaque fois que vous visitez un site, la requête passe par leurs serveurs, et ils l'enregistrent.

En changeant de serveur DNS, vous envoyez vos requêtes à un tiers (Cloudflare, Google, Quad9) au lieu de votre FAI. Mais attention : si vous changez simplement de serveur DNS sans activer le chiffrement, vos requêtes passent toujours en clair sur le réseau. Votre FAI ne les traite plus, mais il peut encore les intercepter en transit.

Pour que le changement soit réellement efficace, il faut utiliser un DNS chiffré. Deux protocoles existent :

DNS over TLS (DoT) chiffre les requêtes DNS via le protocole TLS sur le port 853. C'est le protocole utilisé par la fonction "DNS privé" d'Android 9+. Vous entrez un nom d'hôte comme one.one.one.one (Cloudflare) ou dns.google et toutes vos requêtes sont chiffrées. Votre FAI voit que vous communiquez avec un serveur DNS externe sur le port 853, mais ne peut plus lire le contenu des requêtes.

DNS over HTTPS (DoH) chiffre les requêtes DNS via HTTPS sur le port 443, le même port que le trafic web normal. L'avantage : les requêtes DNS sont indiscernables du trafic web classique. Le FAI ne peut même pas voir que vous faites des requêtes DNS séparées. Firefox, Chrome, Edge et Brave supportent tous DoH dans leurs paramètres.

Les principaux serveurs DNS chiffrés :

Le problème du SNI : le DNS ne suffit pas toujours

Même avec un DNS chiffré, votre FAI peut encore voir les sites que vous visitez dans certains cas. Quand votre navigateur se connecte à un serveur HTTPS, il envoie le nom du site en clair dans un champ appelé SNI (Server Name Indication) lors de la négociation TLS. Ce champ permet au serveur de savoir quel certificat SSL présenter quand il héberge plusieurs sites sur la même adresse IP.

Le FAI qui inspecte les métadonnées de vos connexions peut lire ce champ SNI et voir le nom du site, même si vous utilisez un DNS chiffré. C'est une faille connue, et la solution s'appelle ECH (Encrypted Client Hello), anciennement connu sous le nom ESNI. ECH chiffre le champ SNI, rendant impossible pour le FAI de voir le nom du site lors de la négociation TLS.

Le déploiement d'ECH est en cours. Cloudflare l'active sur ses serveurs, Firefox le supporte quand il est combiné avec DoH, et Chrome y travaille. Mais ECH ne fonctionne que si le serveur du site visité l'a activé de son côté. En 2026, la couverture progresse mais n'est pas encore universelle.

Utiliser un VPN : la solution la plus complète

Un VPN (Virtual Private Network) crée un tunnel chiffré entre votre appareil et un serveur du fournisseur VPN. Tout votre trafic internet passe par ce tunnel, y compris les requêtes DNS, les métadonnées de connexion et le contenu. Votre FAI ne voit plus qu'une seule chose : que vous êtes connecté à un serveur VPN. Il ne sait pas quels sites vous visitez, quel contenu vous consultez, ni quels services vous utilisez.

C'est la solution la plus efficace pour masquer votre activité à votre FAI, mais elle a des implications importantes :

Vous déplacez la confiance, vous ne l'éliminez pas. Votre FAI ne voit plus votre trafic, mais votre fournisseur VPN, lui, le voit. Vous remplacez une entité qui vous surveille par une autre. Le choix du VPN est donc critique. Privilégiez les fournisseurs qui ont fait auditer leur politique de non-conservation des logs par des cabinets indépendants (Mullvad, IVPN, ProtonVPN ont tous publié des audits). Évitez les VPN gratuits : s'ils ne vous facturent rien, c'est que vous êtes le produit.

Impact sur les performances. Un VPN ajoute un intermédiaire entre vous et les serveurs que vous visitez. La latence augmente (généralement de 10 à 30 ms selon la distance du serveur VPN), et le débit peut diminuer, surtout si le serveur VPN est saturé ou géographiquement éloigné. Pour la navigation web, c'est rarement perceptible. Pour le gaming en ligne ou la visioconférence, ça peut se sentir.

Protocoles VPN. WireGuard est le protocole le plus moderne et le plus rapide, avec une base de code minimale et des performances excellentes. OpenVPN est plus ancien mais éprouvé et largement supporté. Évitez PPTP, obsolète et non sécurisé. La plupart des fournisseurs VPN modernes utilisent WireGuard par défaut.

Kill switch. Vérifiez que votre client VPN dispose d'un kill switch (coupe-circuit). Cette fonction coupe automatiquement votre connexion internet si le VPN se déconnecte, évitant que votre trafic ne soit brièvement exposé sans protection. Sans kill switch, une coupure momentanée du VPN (changement de réseau Wi-Fi, perte de signal mobile) peut révéler votre activité à votre FAI.

Tor : l'anonymat maximal, avec des compromis

Tor (The Onion Router) fait transiter votre trafic à travers trois relais successifs, chacun chiffrant une couche supplémentaire. Le premier relais voit votre adresse IP mais pas votre destination. Le dernier relais voit la destination mais pas votre adresse IP. Aucun relais ne voit les deux informations à la fois. Votre FAI ne voit que vous êtes connecté au réseau Tor, sans savoir ce que vous y faites.

Tor offre un niveau d'anonymat supérieur à un VPN, mais avec des compromis significatifs :

Lenteur. Le triple rebond à travers des relais bénévoles rend la navigation nettement plus lente qu'avec un VPN. Le streaming vidéo est quasiment impraticable, et même la navigation web basique peut être laborieuse.

Suspicion. Le simple fait de se connecter à Tor peut attirer l'attention dans certains contextes. Certains FAI ou réseaux d'entreprise bloquent les connexions Tor, et dans certains pays, utiliser Tor est surveillé de près. Il existe des "bridges" Tor pour contourner ce blocage, mais leur configuration est plus technique.

Fuites potentielles. Si vous utilisez Tor pour naviguer sur des sites classiques (pas en .onion), le relais de sortie peut voir votre trafic non chiffré. Assurez-vous de ne visiter que des sites HTTPS quand vous utilisez Tor. Le navigateur Tor inclut des protections par défaut, mais les configurer incorrectement ou installer des extensions peut compromettre votre anonymat.

HTTPS partout : nécessaire mais pas suffisant

HTTPS chiffre le contenu des échanges entre votre navigateur et le serveur du site visité. Sans HTTPS, votre FAI (et n'importe qui sur le réseau) peut voir tout ce que vous faites sur le site : pages visitées, formulaires remplis, fichiers téléchargés. Avec HTTPS, le FAI ne voit que le nom de domaine (via DNS ou SNI), pas le contenu.

En 2026, plus de 95 % des pages chargées dans Chrome utilisent HTTPS. Les navigateurs modernes affichent un avertissement quand un site n'utilise pas HTTPS. Si vous voyez encore des sites en HTTP, évitez d'y saisir des informations personnelles.

HTTPS est une couche de base indispensable, mais il ne masque pas les métadonnées à votre FAI. Il ne cache pas le nom du site que vous visitez, ni la fréquence de vos visites, ni le volume de données échangé. Pour ces métadonnées, il faut combiner HTTPS avec un DNS chiffré ou un VPN.

Combiner les protections

Aucune méthode seule ne couvre tous les angles. Voici les combinaisons par niveau de protection :

Protection de base : DNS chiffré (DoH ou DoT) + HTTPS. Votre FAI ne voit plus vos requêtes DNS. Il peut encore voir les adresses IP des serveurs auxquels vous vous connectez et potentiellement le SNI, mais il ne peut pas lire le contenu. C'est la configuration minimum recommandée pour tout le monde, et elle ne coûte rien.

Protection intermédiaire : VPN de confiance + DNS du VPN. Tout votre trafic est chiffré et passe par le serveur VPN. Votre FAI ne voit que la connexion au VPN. Le fournisseur VPN devient le maillon de confiance. C'est le choix le plus pratique pour un usage quotidien avec un bon équilibre entre confidentialité et performance.

Protection maximale : Tor + DNS chiffré + HTTPS. Le triple relais de Tor masque à la fois votre identité et votre destination. La lenteur rend cette configuration inadaptée à un usage quotidien, mais elle est pertinente pour des recherches sensibles ou dans des contextes où l'anonymat est critique.

Ce que ces méthodes ne protègent pas

Masquer votre trafic à votre FAI ne vous rend pas invisible en ligne. Les sites web que vous visitez vous identifient par d'autres moyens : cookies, empreinte du navigateur (fingerprinting), comptes connectés (si vous êtes connecté à Google et visitez un site qui utilise Google Analytics, Google sait que c'est vous). Les réseaux sociaux et les régies publicitaires vous suivent à travers les sites grâce aux trackers et aux pixels de suivi.

Pour se protéger contre le tracking publicitaire, il faut combiner le chiffrement du trafic avec un bloqueur de trackers (uBlock Origin dans le navigateur, ou un DNS filtrant comme NextDNS ou AdGuard DNS) et de bonnes pratiques : naviguer en mode privé pour les recherches sensibles, utiliser des conteneurs d'onglets (Firefox Multi-Account Containers), limiter les extensions installées, et se déconnecter des comptes quand on n'en a pas besoin.

Votre FAI voit par défaut chaque nom de domaine que vous consultez. Le DNS chiffré (DoH ou DoT) est la première étape, gratuite et simple, pour couper cette visibilité. Un VPN va plus loin en masquant tout votre trafic. Mais quelle que soit la méthode choisie, gardez en tête que vous déplacez la confiance, pas que vous l'éliminez : du FAI vers le fournisseur DNS, ou du FAI vers le fournisseur VPN. Choisissez vos intermédiaires avec soin.