{"id":2169,"date":"2026-08-12T08:00:00","date_gmt":"2026-08-12T07:00:00","guid":{"rendered":"https:\/\/ic-services.io\/?p=2169"},"modified":"2026-09-16T15:02:13","modified_gmt":"2026-09-16T14:02:13","slug":"dns-chiffre-doh-li-impact","status":"publish","type":"post","link":"https:\/\/ic-services.io\/fr\/resources\/blog\/encrypted-dns-doh-dot-li-impact\/","title":{"rendered":"DNS crypt\u00e9 (DoH\/DoT) et son impact sur les capacit\u00e9s d'interception l\u00e9gale"},"content":{"rendered":"

Le syst\u00e8me de noms de domaine (DNS) constitue depuis longtemps l\u2019une des sources de donn\u00e9es les plus pr\u00e9cieuses pour l\u2019interception l\u00e9gale et le renseignement r\u00e9seau. Les requ\u00eates DNS r\u00e9v\u00e8lent les sites web consult\u00e9s par un utilisateur, les services auxquels il acc\u00e8de et les applications qu\u2019il utilise \u2014 le tout sans n\u00e9cessiter d\u2019acc\u00e8s au contenu de la communication elle-m\u00eame. Depuis des d\u00e9cennies, le trafic DNS est transmis en clair, ce qui le rend facilement accessible \u00e0 l\u2019interception au niveau du r\u00e9seau. L\u2019\u00e9mergence de protocoles DNS chiffr\u00e9s \u2014 DNS sur HTTPS (DoH) et DNS sur TLS (DoT) \u2014 modifie fondamentalement ce paysage, avec des implications significatives pour capacit\u00e9s d'interception l\u00e9gales<\/a>.<\/p>\n\n\n\n

Cet article examine le fonctionnement des protocoles DoH et DoT, les raisons de leur adoption, leur incidence sur l'interception l\u00e9gale, ainsi que les mesures que les op\u00e9rateurs peuvent prendre pour continuer \u00e0 respecter leurs obligations de conformit\u00e9 dans un contexte o\u00f9 le trafic DNS est de plus en plus chiffr\u00e9.<\/p>\n\n\n\n

Le d\u00e9fi du DNS chiffr\u00e9 pour les op\u00e9rateurs<\/h2>\n\n\n\n

La r\u00e9solution DNS traditionnelle utilise le port UDP 53 et transmet les requ\u00eates et les r\u00e9ponses en clair. Toute personne ayant acc\u00e8s au chemin r\u00e9seau entre l'utilisateur et le r\u00e9solveur DNS \u2014 y compris l'op\u00e9rateur, les \u00e9l\u00e9ments r\u00e9seau interm\u00e9diaires et d'\u00e9ventuels espions \u2014 peut observer les requ\u00eates DNS et d\u00e9terminer quels noms de domaine l'utilisateur est en train de r\u00e9soudre.<\/p>\n\n\n\n

Le protocole DNS over TLS (DoT), d\u00e9fini dans la RFC 7858, chiffre le trafic DNS en l'encapsulant dans une connexion TLS sur le port TCP 853. Les requ\u00eates et r\u00e9ponses DNS sont chiffr\u00e9es pendant leur transit, ce qui emp\u00eache toute surveillance par des interm\u00e9diaires. Cependant, l'utilisation d'un port d\u00e9di\u00e9 (853) rend le trafic DoT identifiable au niveau du r\u00e9seau : un observateur peut d\u00e9terminer qu'une r\u00e9solution DNS est en cours, m\u00eame si le contenu des requ\u00eates est chiffr\u00e9.<\/p>\n\n\n\n

Le DNS sur HTTPS (DoH), d\u00e9fini dans la RFC 8484, va encore plus loin en mati\u00e8re de chiffrement en acheminant le trafic DNS via des connexions HTTPS standard sur le port TCP 443. Le trafic DoH \u00e9tant impossible \u00e0 distinguer du trafic web HTTPS classique, il est extr\u00eamement difficile \u00e0 identifier et \u00e0 bloquer au niveau du r\u00e9seau. Le DoH masque efficacement la r\u00e9solution DNS au sein du vaste volume de trafic web chiffr\u00e9 qui traverse les r\u00e9seaux modernes.<\/p>\n\n\n\n

Ces deux protocoles sont con\u00e7us pour prot\u00e9ger la vie priv\u00e9e des utilisateurs en emp\u00eachant les interm\u00e9diaires du r\u00e9seau d'observer les requ\u00eates DNS. Les principaux \u00e9diteurs de navigateurs \u2014 notamment Mozilla Firefox et Google Chrome \u2014 ont int\u00e9gr\u00e9 la prise en charge du DoH, et certains syst\u00e8mes d'exploitation prennent d\u00e9sormais en charge le DoH et le DoT de mani\u00e8re native. L'adoption du DNS chiffr\u00e9 s'acc\u00e9l\u00e8re, sous l'impulsion des d\u00e9fenseurs de la vie priv\u00e9e, des param\u00e8tres par d\u00e9faut des navigateurs et de la tendance g\u00e9n\u00e9rale au chiffrement de l'ensemble du trafic r\u00e9seau.<\/p>\n\n\n\n

L'impact sur l'interception l\u00e9gale<\/h2>\n\n\n\n

Le chiffrement du trafic DNS a un impact direct et significatif sur les capacit\u00e9s d\u2019interception l\u00e9gale. Les donn\u00e9es relatives aux requ\u00eates DNS constituent depuis toujours un \u00e9l\u00e9ment cl\u00e9 des informations issues de l'interception, fournissant aux enqu\u00eateurs un historique d\u00e9taill\u00e9 de l'activit\u00e9 en ligne de la personne cibl\u00e9e. Lorsqu'une personne cibl\u00e9e consulte un site web, envoie un e-mail ou utilise une application, les requ\u00eates DNS correspondantes r\u00e9v\u00e8lent les noms de domaine concern\u00e9s, m\u00eame lorsque le contenu de la communication est chiffr\u00e9.<\/p>\n\n\n\n

Avec les protocoles DoH et DoT, les op\u00e9rateurs ne peuvent plus surveiller les requ\u00eates DNS au niveau du r\u00e9seau si l'appareil cible est configur\u00e9 pour utiliser un r\u00e9solveur DNS chiffr\u00e9 qui n'est pas g\u00e9r\u00e9 par l'op\u00e9rateur. Le processus de r\u00e9solution DNS est chiffr\u00e9 de bout en bout entre l'appareil et le r\u00e9solveur, et les \u00e9quipements r\u00e9seau de l'op\u00e9rateur ne peuvent pas d\u00e9chiffrer les requ\u00eates sans avoir acc\u00e8s aux cl\u00e9s de session TLS.<\/p>\n\n\n\n

Cette perte de visibilit\u00e9 DNS affecte \u00e0 la fois l'interception en temps r\u00e9el et l'analyse des donn\u00e9es historiques. Dans le cadre de l\u2019interception en temps r\u00e9el, l\u2019IRI g\u00e9n\u00e9r\u00e9 pour la session de donn\u00e9es d\u2019une cible ne comportera plus les informations relatives aux requ\u00eates DNS qui fournissaient auparavant le contexte de l\u2019activit\u00e9 en ligne de la cible. Dans le cadre de l\u2019analyse historique, l\u2019absence de journaux DNS r\u00e9duit la capacit\u00e9 de l\u2019op\u00e9rateur \u00e0 reconstituer l\u2019historique de navigation d\u2019une cible et ses habitudes d\u2019utilisation des services \u00e0 partir de donn\u00e9es conserv\u00e9es<\/a>.<\/p>\n\n\n\n

L'impact est particuli\u00e8rement important lorsque la cible utilise un r\u00e9solveur DoH tiers \u2014 tel que ceux exploit\u00e9s par Cloudflare, Google ou d'autres fournisseurs \u2014 plut\u00f4t que l'infrastructure DNS propre \u00e0 l'op\u00e9rateur. Dans ce cas, les requ\u00eates DNS sont r\u00e9solues enti\u00e8rement en dehors du r\u00e9seau de l\u2019op\u00e9rateur, et celui-ci n\u2019y a absolument aucun acc\u00e8s. Si la cible utilise le r\u00e9solveur DNS de l\u2019op\u00e9rateur lui-m\u00eame avec DoT ou DoH, l\u2019op\u00e9rateur conserve l\u2019acc\u00e8s aux donn\u00e9es de requ\u00eate au niveau du r\u00e9solveur, mais pas aux points interm\u00e9diaires du r\u00e9seau.<\/p>\n\n\n\n

Strat\u00e9gies d'att\u00e9nuation \u00e0 l'intention des exploitants<\/h2>\n\n\n\n

Les op\u00e9rateurs ne peuvent pas emp\u00eacher l\u2019adoption du DNS chiffr\u00e9, mais ils peuvent mettre en \u0153uvre des strat\u00e9gies visant \u00e0 att\u00e9nuer son impact sur l\u2019interception l\u00e9gale. La premi\u00e8re strat\u00e9gie consiste \u00e0 exploiter leurs propres r\u00e9solveurs DoH et DoT et \u00e0 encourager, voire \u00e0 exiger, de leurs abonn\u00e9s qu\u2019ils utilisent ces r\u00e9solveurs. Si l\u2019op\u00e9rateur contr\u00f4le le r\u00e9solveur DNS, il conserve l\u2019acc\u00e8s aux donn\u00e9es des requ\u00eates DNS, m\u00eame lorsque la transmission entre l\u2019appareil et le r\u00e9solveur est chiffr\u00e9e. Cette approche pr\u00e9serve la visibilit\u00e9 du DNS tout en offrant aux abonn\u00e9s les avantages du DNS chiffr\u00e9 en mati\u00e8re de confidentialit\u00e9 face \u00e0 la surveillance par des tiers.<\/p>\n\n\n\n

La deuxi\u00e8me strat\u00e9gie consiste \u00e0 utiliser des sources de donn\u00e9es alternatives pour reconstituer les informations fournies auparavant par les requ\u00eates DNS. La fonction SNI (Server Name Indication) dans les handshakes TLS fournit le nom de domaine du serveur auquel le client se connecte, et cette information \u00e9tait traditionnellement transmise en clair. Cependant, l\u2019adoption du protocole ECH (Encrypted Client Hello, anciennement ESNI) commence \u00e9galement \u00e0 chiffrer le SNI, r\u00e9duisant encore davantage la visibilit\u00e9. L\u2019analyse des adresses IP peut \u00e9galement fournir certaines informations sur les services auxquels une cible acc\u00e8de, mais l\u2019utilisation g\u00e9n\u00e9ralis\u00e9e des r\u00e9seaux de diffusion de contenu (CDN) et de l\u2019h\u00e9bergement mutualis\u00e9 rend souvent ambigu le mappage entre adresses IP et noms de domaine.<\/p>\n\n\n\n

La troisi\u00e8me strat\u00e9gie consiste \u00e0 mettre en \u0153uvre l'interception au niveau de la couche applicative ou au niveau des terminaux, plut\u00f4t que de se fier uniquement aux donn\u00e9es au niveau du r\u00e9seau. Cette approche d\u00e9passe le cadre de l'interception traditionnelle des t\u00e9l\u00e9communications, mais elle fait actuellement l'objet d'\u00e9tudes de la part de certains services charg\u00e9s de l'application de la loi<\/a> en r\u00e9ponse au chiffrement croissant du trafic r\u00e9seau. Pour les op\u00e9rateurs, il ne s'agit pas d'une solution pratique, mais cela s'inscrit dans le contexte plus large dans lequel il convient d'appr\u00e9hender le DNS chiffr\u00e9.<\/p>\n\n\n\n

Une quatri\u00e8me strat\u00e9gie consiste \u00e0 intervenir au niveau r\u00e9glementaire et politique. Certains gouvernements ont envisag\u00e9 ou mis en \u0153uvre des obligations imposant aux op\u00e9rateurs de bloquer l\u2019acc\u00e8s aux r\u00e9solveurs DNS tiers ou d\u2019exiger l\u2019utilisation de leur propre infrastructure DNS. Ces approches sont controvers\u00e9es et soul\u00e8vent des questions concernant la neutralit\u00e9 du r\u00e9seau, la libert\u00e9 des utilisateurs et la faisabilit\u00e9 technique, mais elles constituent une r\u00e9ponse politique au d\u00e9fi pos\u00e9 par le DNS chiffr\u00e9.<\/p>\n\n\n\n

La tendance g\u00e9n\u00e9rale au chiffrement<\/h2>\n\n\n\n

Le DNS chiffr\u00e9 s'inscrit dans une tendance plus large au chiffrement de l'ensemble du trafic r\u00e9seau, motiv\u00e9e par des pr\u00e9occupations en mati\u00e8re de confidentialit\u00e9, les bonnes pratiques de s\u00e9curit\u00e9 et les configurations par d\u00e9faut des principales plateformes logicielles. TLS 1.3, ECH, QUIC et d\u2019autres technologies chiffrent progressivement une part croissante des m\u00e9tadonn\u00e9es et du contenu sur lesquels reposaient traditionnellement les interceptions au niveau du r\u00e9seau. Chaque \u00e9tape de cette \u00e9volution vers le chiffrement r\u00e9duit la visibilit\u00e9 dont disposent les op\u00e9rateurs et, par extension, celle dont b\u00e9n\u00e9ficient les interceptions l\u00e9gales.<\/p>\n\n\n\n

Les op\u00e9rateurs doivent prendre conscience que la visibilit\u00e9 dont ils ont toujours b\u00e9n\u00e9fici\u00e9 au niveau du r\u00e9seau est en train de diminuer et continuera de diminuer. La r\u00e9ponse \u00e0 cette tendance ne peut pas \u00eatre purement technique : elle n\u00e9cessite une collaboration avec les r\u00e9gulateurs, les organismes de normalisation et les forces de l'ordre afin de d\u00e9velopper de nouvelles approches en mati\u00e8re d'interception l\u00e9gale qui tiennent compte des r\u00e9alit\u00e9s d'un environnement r\u00e9seau fortement chiffr\u00e9.<\/p>\n\n\n\n

Parall\u00e8lement, les op\u00e9rateurs doivent continuer \u00e0 transmettre toutes les donn\u00e9es d\u2019interception qu\u2019ils sont techniquement en mesure de fournir. Le chiffrement du DNS ne supprime pas l'obligation l\u00e9gale des op\u00e9rateurs d'intercepter ; il modifie simplement l'\u00e9tendue de ce qui peut \u00eatre intercept\u00e9. Les op\u00e9rateurs doivent faire preuve de transparence vis-\u00e0-vis des forces de l'ordre concernant ces limitations et veiller \u00e0 ce que leurs syst\u00e8mes d'interception soient mis \u00e0 jour pour g\u00e9rer cette visibilit\u00e9 r\u00e9duite de mani\u00e8re ad\u00e9quate \u2014 en g\u00e9n\u00e9rant des IRI qui refl\u00e8tent fid\u00e8lement les donn\u00e9es disponibles, plut\u00f4t que de produire des donn\u00e9es incompl\u00e8tes ou trompeuses.<\/p>\n\n\n\n

Cons\u00e9quences en mati\u00e8re de conformit\u00e9 et de reporting<\/h2>\n\n\n\n

La perte de visibilit\u00e9 sur le DNS a des r\u00e9percussions sur la mani\u00e8re dont les op\u00e9rateurs rendent compte de leurs capacit\u00e9s d'interception et sur la fa\u00e7on dont les autorit\u00e9s de r\u00e9gulation \u00e9valuent la conformit\u00e9. Les op\u00e9rateurs devraient communiquer de mani\u00e8re proactive avec leur autorit\u00e9 de r\u00e9gulation nationale au sujet de l'impact du DNS chiffr\u00e9 sur leurs capacit\u00e9s d'interception, en r\u00e9pertoriant les \u00e9l\u00e9ments de donn\u00e9es sp\u00e9cifiques qui ne sont plus disponibles et les mesures qu'ils prennent pour att\u00e9nuer cet impact.<\/p>\n\n\n\n

Dans certaines juridictions, les autorit\u00e9s de r\u00e9gulation pourraient devoir actualiser leurs exigences et attentes techniques afin de tenir compte de la r\u00e9alit\u00e9 du DNS chiffr\u00e9. Les op\u00e9rateurs peuvent jouer un r\u00f4le constructif dans ce processus en apportant leur expertise technique et leurs connaissances pratiques pour \u00e9clairer l'\u00e9laboration de la r\u00e9glementation. Le pire sc\u00e9nario pour toutes les parties serait que les autorit\u00e9s de r\u00e9gulation exigent des op\u00e9rateurs qu'ils fournissent des donn\u00e9es auxquelles ils n'ont techniquement pas acc\u00e8s \u2014 une situation qui engendre un risque de non-conformit\u00e9 sans apporter de valeur ajout\u00e9e aux enqu\u00eates.<\/p>\n\n\n\n

Conclusion<\/h2>\n\n\n\n

Le DNS chiffr\u00e9 marque un changement significatif dans l'\u00e9quilibre entre la vie priv\u00e9e et les capacit\u00e9s de surveillance au sein des r\u00e9seaux de t\u00e9l\u00e9communications. Les protocoles DoH et DoT prot\u00e8gent la vie priv\u00e9e des utilisateurs en emp\u00eachant les interm\u00e9diaires du r\u00e9seau d'observer les requ\u00eates DNS, mais ils r\u00e9duisent \u00e9galement la visibilit\u00e9 dont disposent les syst\u00e8mes d'interception l\u00e9gaux. Les op\u00e9rateurs doivent s\u2019adapter en mettant en \u0153uvre leurs propres r\u00e9solveurs DNS chiffr\u00e9s, en exploitant des sources de donn\u00e9es alternatives, en collaborant avec les r\u00e9gulateurs sur l\u2019\u00e9volution des exigences et en veillant \u00e0 ce que leurs syst\u00e8mes d\u2019interception l\u00e9gale refl\u00e8tent fid\u00e8lement les donn\u00e9es r\u00e9ellement disponibles. La tendance vers un chiffrement complet des r\u00e9seaux est irr\u00e9versible, et les op\u00e9rateurs qui s'adaptent de mani\u00e8re proactive seront mieux plac\u00e9s pour rester en conformit\u00e9 et apporter un soutien significatif aux forces de l'ordre dans le cadre des contraintes impos\u00e9es par un paysage technique en constante \u00e9volution.<\/p>\n\n\n

Le d\u00e9bat autour du DNS chiffr\u00e9 met \u00e9galement en \u00e9vidence la tension entre les droits \u00e0 la vie priv\u00e9e des individus et les besoins l\u00e9gitimes des forces de l\u2019ordre. Trouver le juste \u00e9quilibre n\u00e9cessite une collaboration entre les experts en technologie, les d\u00e9cideurs politiques, la soci\u00e9t\u00e9 civile et les forces de l\u2019ordre. Les op\u00e9rateurs se trouvent au carrefour de ces int\u00e9r\u00eats et ont la responsabilit\u00e9 particuli\u00e8re de veiller \u00e0 ce que les capacit\u00e9s techniques, les obligations l\u00e9gales et les mesures de protection de la vie priv\u00e9e soient harmonis\u00e9es. En participant activement \u00e0 l'\u00e9laboration des normes, aux consultations r\u00e9glementaires et aux forums sectoriels, les op\u00e9rateurs peuvent contribuer \u00e0 d\u00e9finir des solutions qui respectent la vie priv\u00e9e tout en pr\u00e9servant la capacit\u00e9 des soci\u00e9t\u00e9s d\u00e9mocratiques \u00e0 mener une surveillance l\u00e9gale, conform\u00e9ment \u00e0 l'\u00c9tat de droit.<\/p>\n\n\n\n

Articles connexes<\/h2>\n\n\n\n

Pour en savoir plus sur des sujets connexes, consultez les articles suivants :<\/p>\n\n\n\n