Longtemps, changer de serveur DNS s’est résumé à gagner quelques millisecondes. En 2026, cet argument passe au second plan. Avec la généralisation d’Encrypted Client Hello (ECH), normalisé dans la RFC 9849 en mars 2026, et l’essor des transports DNS chiffrés, le résolveur que vous choisissez devient un élément central de votre politique de confidentialité.
ECH et DNS : deux fuites à colmater
HTTPS protège le contenu des échanges depuis des années, mais il laissait une trace : le Server Name Indication (SNI) dans le TLS ClientHello révélait le site consulté. ECH corrige cette faille en chiffrant la partie sensible du ClientHello, y compris le nom réel du serveur. Avec Android 17, cette technologie fait une entrée remarquée dans les systèmes d’exploitation mobiles, après avoir été adoptée par la plupart des navigateurs desktop. Son usage dépend encore des bibliothèques réseau des applications et du support des serveurs visités, mais la direction est nette : masquer le nom d’hôte devient une brique normale du web.
Le DNS est intimement lié à ce mécanisme. Un site compatible ECH publie sa configuration via des enregistrements DNS, notamment une clé publique et des paramètres pour le handshake chiffré. Le problème : si votre requête DNS part en clair, votre fournisseur d’accès peut la voir avant même que ECH n’entre en jeu. Vous avez protégé la poignée de main TLS, mais la même information a fuité quelques instants plus tôt. C’est pourquoi le DNS chiffré et ECH fonctionnent en complémentarité : le premier masque la requête initiale, le second dissimule le nom du site pendant la connexion.
DoH, DoT, DoQ : des options qui se démocratisent
Le DNS traditionnel envoie ses requêtes en clair. Pour y remédier, trois protocoles se sont imposés : DNS-over-TLS (DoT) sur le port 853, DNS-over-HTTPS (DoH) sur le port 443, et DNS-over-QUIC (DoQ), une option plus récente qui transporte le DNS chiffré directement sur QUIC. Cette dernière gère des flux indépendants, ce qui évite qu’une perte de paquets sur une requête bloque les autres. Sur des réseaux instables ou encombrés, DoQ peut ainsi se montrer plus robuste que les approches basées sur TCP.
DoQ a dépassé le stade expérimental, et des fournisseurs publics le déploient en production. Son utilisation dépend toutefois du support de votre appareil : système d’exploitation, routeur, navigateur ou application DNS. Le point essentiel reste simple : DoH, DoT et DoQ chiffrent tous le trafic entre votre appareil et le résolveur.
Un écueil courant : changer de fournisseur DNS ne chiffre pas automatiquement vos requêtes. Vous pouvez pointer vers 1.1.1.1 et continuer à envoyer du DNS en clair. Le réglage qui compte est souvent celui que les navigateurs et OS nomment « DNS sécurisé » ou « DNS privé », car il active réellement le transport chiffré.
Choisir son résolveur, c’est choisir ses règles
Le DNS chiffré protège la liaison entre vous et le résolveur, mais ne fait pas disparaître ce dernier : il voit toujours les domaines que vous demandez. Sélectionner un fournisseur revient donc à choisir des politiques de journalisation, de conservation des données, de filtrage et de juridiction. Quad9, basé en Suisse, met l’accent sur la confidentialité et le blocage de domaines malveillants. Certains acteurs gratuits font mieux que Google ou Cloudflare sur des tâches spécifiques, selon que vous privilégiez le filtrage, la sécurité ou la confidentialité.
Les grands noms proposent souvent plusieurs modes, notamment pour le blocage de logiciels malveillants, sans changer de fournisseur. Le résolveur par défaut de votre FAI est rarement un choix explicite de votre part, mais il en reste un : le modifier permet de choisir les règles qui s’appliquent à vos requêtes.
Ce que le DNS chiffré ne fait pas
Changer de DNS n’équivaut pas à utiliser un VPN. Encrypted DNS et ECH réduisent les fenêtres vers votre activité, mais votre FAI voit toujours les adresses IP auxquelles vous vous connectez, et les sites visités voient votre IP. Le chiffrement du DNS rend le pistage plus difficile, sans le rendre impossible.
Le périmètre d’application compte aussi. Activer le « DNS sécurisé » dans Chrome ne protège que ce navigateur ; les autres applications continuent d’utiliser le DNS système. Le « DNS privé » d’Android est plus large car il s’applique au niveau du système, mais les applications qui gèrent leur propre DNS peuvent s’en écarter.
Ce qui est confirmé : ECH et les transports DNS chiffrés sont désormais normalisés et déployés. Ce qui reste incertain, c’est la couverture effective selon les navigateurs, les OS et les serveurs rencontrés. En pratique, la démarche recommandée est de sélectionner un résolveur de confiance, puis de vérifier que vous utilisez bien une option chiffrée, et non pas uniquement une nouvelle adresse en clair.