DNS via HTTPS

Quand vous saisissez une adresse web ou un nom de domaine dans la barre d’adresse (par exemple, www.mozilla.org), votre navigateur envoie une requête vers Internet pour rechercher l’adresse IP de ce site web.

Habituellement, cette requête est envoyée vers des serveurs au travers d’une connexion en texte brut. Cette connexion n’est pas chiffrée, ce qui rend facile à des tiers de voir sur quel site web vous allez vous rendre.

Le DNS via HTTPS (DNS over HTTPS en anglais, abrégé en DoH) fonctionne différemment. Ce protocole envoie le nom de domaine saisi vers un serveur DNS compatible avec le DoH en utilisant une connexion chiffrée HTTPS au lieu d’une connexion en texte brut. Les tiers sont ainsi empêchés de voir à quels sites web vous essayez d’accéder.

Bénéfices

Le DoH améliore la confidentialité en masquant les recherches de noms de domaine à quelqu’un rôdant sur un Wi-Fi public, votre FAI ou d’autres personnes dans votre réseau local. Le DoH, quand il est activé, assure que votre fournisseur d’accès à Internet (FAI) ne peut pas collecter et vendre des informations personnelles relatives à vos habitudes de navigation.

Risques

• Quelques personnes et organisations s’appuient sur DNS pour bloquer des logiciels malveillants, activer le contrôle parental ou filtrer les accès aux sites web de votre navigateur. Quand il est activé, le DoH contourne la résolution DNS locale et déjoue ces stratégies particulières. Firefox permet aux utilisateurs et utilisatrices (par les paramètres) et aux organisations (par les stratégies d’entreprise et la recherche d’un domaine canari) de désactiver DoH quand celui-ci interfère avec une stratégie prioritaire.
• Aux États-Unis, Firefox dirige par défaut les requêtes DoH vers des serveurs DNS opérés par CloudFlare, ce qui signifie que CloudFlare a la possibilité de voir les requêtes des utilisateurs et utilisatrices. Mozilla a mis en place une sévère politique Trusted Recursive Resolver (TRR) (en anglais) qui interdit à CloudFlare ou à n’importe quel autre partenaire DoH de collecter des informations personnelles permettant l’identification. Pour diminuer ce risque, nos partenaires s’engagent contractuellement à respecter cette politique.
• Les requêtes DoH pourraient se révéler plus lentes que les requêtes DNS habituelles, mais, par nos tests, nous avons mis en évidence que l’impact est minimal et, dans de nombreux cas, DoH se montre plus rapide (billet de blog en anglais).

À propos du déploiement du DNS via HTTPS aux États-Unis

Mozilla a annoncé qu’il projette d’activer le DoH pour tous les utilisateurs et utilisatrices de Firefox pour ordinateur aux États-Unis en 2019. Le DoH sera activé pour les utilisateurs et utilisatrices en mode fallback (comme solution de repli). Par exemple, si les recherches de nom de domaine qui utilisent DoH échouent pour une raison quelconque, Firefox utilisera le DNS par défaut configuré par le système d’exploitation (OS) au lieu d’afficher une erreur.

Désactivation

Les personnes utilisant actuellement Firefox et basées aux États-Unis verront la notification ci-dessous si le DoH est activé et quand il sera activé pour la première fois. L’utilisateur ou l’utilisatrice pourra alors choisir de ne pas utiliser le DoH et de continuer à utiliser le résolveur DNS par défaut de son système d’exploitation.

En outre, Firefox vérifiera certaines fonctions de l’appareil qui pourraient être affectées si le DoH est activé, ce qui comprend :

• Les contrôles parentaux sont-ils activés ?
• Le serveur DNS par défaut filtre-t-il les contenus potentiellement dangereux ?
• L’appareil est-il administré par une organisation qui pourrait avoir une configuration spécifique de DNS ?

Si l’un de ces tests détermine que DoH pourrait interférer avec une des fonctions, le DoH ne sera pas activé. Ces tests s’exécutent chaque fois que l’appareil se connecte à un réseau différent.

Au cours de la phase initiale du déploiement, le DoH sera activé via une étude de Firefox. Un utilisateur ou une utilisatrice qui a accepté la notification peut par la suite se désister en saisissant about:studies dans la barre d’adresse et en recherchant une étude active nommée DNS over HTTPS US Rollout. Si elle existe, vous pouvez supprimer l’étude. Comme l’étude peut avoir déjà activé les vérifications décrites ci-dessus, vous devez également saisir about:config dans la barre d’adresse, accepter l’avertissement et rechercher network.trr.mode pour confirmer que la valeur est bien « 0 » (désactivé) ou « 5 » (désactivé par choix). Le réglage de cette valeur à « 5 » garantit que le DoH ne sera pas automatiquement activé à l’avenir.

Activation et désactivation manuelles du DNS via HTTPS

Vous pouvez activer et désactiverle DoH dans les paramètres de connexion de Firefox :

1. Dans la barre des menus en haut de l’écran, cliquez sur Firefox et sélectionnez Préférences ou Paramètres selon la version de votre macOS.Cliquez sur le bouton de menu et sélectionnez Paramètres
2. Dans le panneau Général, descendez jusqu’à la section Paramètres réseau et cliquez sur le bouton Paramètres
3. Dans la boîte de dialogue qui s’ouvre, descendez jusqu’à Activer le DNS via HTTPS.
   • Activer : cocher la case à côté d’Activer le DNS via HTTPS pour l’activer. Choisissez un fournisseur ou ajoutez un fournisseur personnalisé.
   • Désactiver : décocher la case à côté d’Activer le DNS via HTTPS pour le désactiver.

   

4. Cliquez sur OK pour enregistrer vos modifications et fermer la fenêtre.

Changer de fournisseur

1. Dans la barre des menus en haut de l’écran, cliquez sur Firefox et sélectionnez Préférences ou Paramètres selon la version de votre macOS.Cliquez sur le bouton de menu et sélectionnez Paramètres
2. Rendez-vous à la rubrique Paramètres réseau et cliquez sur le bouton Paramètres…
3. Cliquez dans le menu déroulant sous Activer le DNS via HTTPS pour choisir un fournisseur.

   

Exclure des domaines spécifiques

Vous pouvez configurer des exceptions de façon à ce que Firefox utilise le résolveur de votre système d’exploitation plutôt que le DoH :

1. Saisissez about:config dans la barre d’adresse de Firefox, puis appuyez sur EntréeRetour
   Une page d’avertissement peut apparaître. Cliquez sur Accepter le risque et poursuivre pour accéder à la page about:config.
2. Trouvez et double-cliquez sur la préférence network.trr.excluded-domains
   pour la trouver facilement, saisissez excluded-domains dans le champ Rechercher au-dessus de la liste des préférences.
3. Ajoutez des domaines, séparés par des virgules, à la liste et cliquez sur OK
   Attention ! Ne supprimez aucun domaine de la liste.

Configuration des réseaux pour désactiver le DoH

Reportez-vous à l’article Configurer les réseaux pour désactiver DNS via HTTPS et à la FAQ DNS via HTTPS (DoH).