Pourquoi chiffrer le DNS
Protégez les questions DNS de l'observation passive en transit
Le DNS classique transporte généralement la question et la réponse en clair. Un opérateur réseau situé entre l’appareil et le résolveur peut observer, bloquer ou modifier ce trafic.
Ce que le chiffrement change
DoH, DoT et DoQ authentifient le résolveur configuré et chiffrent le trafic DNS entre le client et ce résolveur :
- DoH utilise HTTPS, généralement sur le port 443 via TCP ou QUIC.
- DoT utilise TLS sur le port TCP 853.
- DoQ utilise QUIC ; le_dns le publie sur le port UDP 8853.
Le chiffrement ne masque pas l’adresse IP du résolveur, n’empêche pas celui-ci de traiter la question, n’anonymise pas le reste du trafic réseau et ne remplace pas la validation DNSSEC.
Choisir un transport
DoH est largement pris en charge par les navigateurs et peut fonctionner sur des réseaux qui bloquent les ports DNS dédiés. Il n’est pas impossible à identifier ou à bloquer : politiques locales et adresses d’endpoints connues restent applicables.
DoT dispose d’un port dédié et d’un modèle simple d’authentification par nom d’hôte. Un réseau peut bloquer le port 853 sans bloquer le HTTPS ordinaire.
DoQ peut réduire le coût d’établissement d’une connexion et gérer les pertes différemment de TCP. Les performances dépendent du client et du réseau ; DoQ n’est pas toujours le choix le plus rapide. Le serveur v2 de le_dns désactive le 0-RTT.
Endpoints le_dns
- DoH :
https://website-xnqsyvgcprzaash17upkc5cd.DE-FRA-COG.ledns.infra.rqsco.cloud/dns-query - DoT :
ledns.eu:853 - DoQ :
ledns.eu:8853sur UDP
DoH via HTTP/3 conserve la même URI HTTPS lorsqu’il est négocié. h3:// n’est pas une URI séparée de résolveur. dnscrypt-proxy n’est pas un client DoQ.
Limite de confidentialité
Le chiffrement déplace la confiance du réseau local vers le résolveur choisi. Lors du dernier instantané de production vérifié le 29 août 2026, le_dns utilisait encore la pile historique. Cette preuve datée ne décrit pas nécessairement l’état actuel ; vérifiez à nouveau le service déployé avant toute affirmation actuelle. Les limites d’agrégation en mémoire du code v2 ne doivent pas être présentées comme déployées. La déclaration prudente se trouve dans la politique de confidentialité.