Introduction
Chaque fois que vous tapez une adresse dans votre navigateur, une mecanique invisible se met en marche. En quelques millisecondes, le DNS (Domain Name System) traduit le nom de domaine que vous avez saisi — par exemple lessablesweb.fr — en une adresse IP numerique comme 104.21.35.67. Sans ce systeme, il faudrait memoriser des suites de chiffres pour acceder a chaque site.
Le DNS a ete concu en 1983 par Paul Mockapetris, decrit dans les RFC 1034 et 1035. Avant son invention, un simple fichier texte (HOSTS.TXT) centralise au Stanford Research Institute contenait la correspondance entre les noms et les adresses. Avec la croissance d'Internet, ce systeme est devenu impraticable.
Comment fonctionne une requete DNS
Quand vous saisissez www.example.com dans votre navigateur, voici ce qui se passe :
1. Le cache local
Votre navigateur verifie d'abord son propre cache. Si vous avez visite ce site recemment, l'adresse IP est deja connue. Si ce n'est pas le cas, il interroge le systeme d'exploitation, qui possede egalement un cache.
2. Le resolveur recursif
Si aucun cache ne contient la reponse, la requete est envoyee au resolveur recursif, generalement fourni par votre fournisseur d'acces a Internet (FAI). Ce serveur va effectuer le travail de recherche a votre place.
3. Le serveur racine
Le resolveur contacte un serveur racine. Il existe 13 groupes de serveurs racines dans le monde (nommes de A a M), operes par des organisations comme Verisign, l'ICANN ou le departement de la Defense americain. Ces serveurs ne connaissent pas l'adresse IP finale, mais ils savent vers quel serveur TLD rediriger la requete.
4. Le serveur TLD
Le serveur de domaine de premier niveau (TLD) gere les extensions comme .com, .fr ou .org. Pour example.com, le serveur TLD .com indique quel serveur fait autorite pour le domaine example.com.
5. Le serveur faisant autorite
Ce dernier serveur contient l'enregistrement DNS definitif. Il renvoie l'adresse IP au resolveur, qui la transmet a votre navigateur. La page peut enfin se charger.
Les types d'enregistrements DNS
Le DNS ne se limite pas a la correspondance nom-adresse. Voici les principaux types d'enregistrements :
| Type | Role | Exemple |
|---|---|---|
| A | Associe un nom a une adresse IPv4 | example.com → 93.184.216.34 |
| AAAA | Associe un nom a une adresse IPv6 | example.com → 2606:2800:220:1:... |
| CNAME | Cree un alias vers un autre nom | www.example.com → example.com |
| MX | Designe le serveur de messagerie | example.com → mail.example.com |
| TXT | Contient du texte libre (verification, SPF) | Verification de propriete Google |
| NS | Indique les serveurs DNS faisant autorite | example.com → ns1.provider.com |
Le TTL : la duree de vie du cache
Chaque enregistrement DNS possede un TTL (Time To Live), exprime en secondes. Il indique combien de temps l'information peut etre gardee en cache avant de devoir etre actualisee. Un TTL de 3600 signifie une heure.
Un TTL court (300 secondes) est utile lors d'une migration de serveur : les changements se propagent rapidement. Un TTL long (86400 secondes, soit 24 heures) reduit la charge sur les serveurs DNS mais ralentit la propagation des modifications.
DNS et securite : les risques a connaitre
Le DNS spoofing
Un attaquant peut intercepter une requete DNS et renvoyer une fausse adresse IP, redirigeant l'utilisateur vers un site malveillant. C'est le DNS spoofing (ou empoisonnement de cache).
DNSSEC : la parade
Le DNSSEC (DNS Security Extensions) ajoute des signatures cryptographiques aux reponses DNS. Le resolveur peut ainsi verifier que la reponse n'a pas ete alteree. L'AFNIC, qui gere le .fr, a deploye DNSSEC sur l'ensemble de la zone .fr depuis 2010.
DNS over HTTPS (DoH)
Depuis 2020, les principaux navigateurs supportent le DNS over HTTPS, qui chiffre les requetes DNS. Cela empeche votre FAI ou un attaquant sur le reseau de voir quels sites vous consultez.
Choisir un serveur DNS performant
Par defaut, votre FAI fournit ses propres serveurs DNS. Mais vous pouvez en choisir d'autres :
- Cloudflare DNS (
1.1.1.1) : axe sur la rapidite et la vie privee - Google Public DNS (
8.8.8.8) : tres fiable, largement utilise - Quad9 (
9.9.9.9) : filtre les domaines malveillants connus
Pour modifier vos DNS sous Windows, rendez-vous dans Parametres > Reseau > Proprietes de la carte > IPv4. Sous macOS, allez dans Preferences Systeme > Reseau > Avance > DNS.
Conclusion
Le DNS est un pilier invisible d'Internet. Comprendre son fonctionnement permet de mieux diagnostiquer les problemes de connexion, de securiser sa navigation et d'optimiser les performances de ses sites web. La prochaine fois que votre site met du temps a charger, pensez a verifier vos enregistrements DNS et leur TTL.