Quand vous tapez bloomvpn.com dans votre navigateur, une machine quelque part doit traduire ce nom en une adresse IP que les réseaux peuvent joindre. Cette traduction, c'est le DNS : Domain Name System : qui s'en charge. Le DNS est l'annuaire d'Internet, et sans lui, rien ne fonctionne. Mais ce système vital peut aussi devenir une fuite invisible de votre vie privée. Voici comment.
Le système de noms d'Internet
Les humains retiennent des noms : bloomvpn.com, wikipedia.org, gmail.com. Les machines, elles, ne comprennent que des numéros : les adresses IP. Le DNS fait le pont entre les deux. Chaque fois que vous saisissez une adresse, votre appareil interroge un résolveur DNS qui lui répond avec l'IP correspondante. La connexion peut alors s'établir.
Le DNS est hiérarchique et distribué. Au sommet se trouvent les serveurs racine, qui connaissent les serveurs responsables de chaque domaine de premier niveau : .com, .org, .fr, et les autres. En dessous, les serveurs de chaque TLD connaissent les serveurs des domaines qu'ils hébergent. Et les serveurs faisant autorité de chaque domaine connaissent enfin les adresses précises de chaque sous-domaine. C'est une arborescence, et la requête la parcourt de haut en bas jusqu'à trouver la réponse.
La résolution DNS étape par étape
Voici ce qui se passe quand vous visitez un site. D'abord, votre appareil demande à son résolveur DNS : généralement celui de votre FAI, configuré par défaut sur votre box : l'adresse de bloomvpn.com. Si ce résolveur a déjà la réponse en cache, il la renvoie immédiatement. Sinon, il interroge un serveur racine, qui lui indique où se trouvent les serveurs du .com. Il interroge ensuite les serveurs du .com, qui lui indiquent les serveurs faisant autorité de bloomvpn.com. Il interroge enfin ceux-ci, qui lui répondent avec l'adresse IP. Le résolveur met tout cela en cache pour accélérer les requêtes suivantes, puis renvoie l'IP à votre appareil.
Tout cela prend quelques millisecondes et se répète des milliards de fois par seconde sur Internet. Le résolveur est donc un intermédiaire obligé, et c'est précisément là que naît le problème de confidentialité.
Les fuites DNS
Voici le piège : votre résolveur DNS : celui de votre FAI par défaut : voit chaque nom de site que vous visitez, en clair, avant même que la connexion chiffrée ne s'établisse. Même si le site est en HTTPS, la requête DNS, elle, voyage souvent en clair. Votre FAI sait donc que vous allez sur tel ou tel site, même s'il ne voit pas le contenu de vos échanges.
Pour un utilisateur de VPN, c'est un risque sérieux. Si, malgré le tunnel actif, votre appareil continue d'envoyer ses requêtes DNS au résolveur de votre FAI au lieu de les faire passer par le VPN, on parle de fuite DNS. Conséquence : votre FAI voit quels sites vous visitez, même si le contenu du trafic est chiffré. Le VPN devient alors en partie inutile : la métadonnée la plus révélatrice, le nom des sites, lui échappe.
Les fuites DNS ont plusieurs causes : une mauvaise configuration du VPN, un système d'exploitation qui utilise un résolveur parallèle (le cas historique de Windows avec sa fonction « Smart Multi-Homed Name Resolution »), un navigateur qui active DoH avec un résolveur externe, ou des règles de pare-feu mal écrites. Un bon client VPN doit forcer tout le trafic DNS : sans exception : à passer par le tunnel.
Comment un VPN traite le DNS
Un VPN correctement conçu intercepte toutes les requêtes DNS de votre appareil et les redirige vers un résolveur contrôlé par le fournisseur, accessible uniquement à travers le tunnel. Résultat : votre FAI ne voit même pas les noms des sites, seulement un flux chiffré vers le serveur VPN. La métadonnée la plus révélatrice disparaît de son radar.
BloomVPN ne fournit actuellement pas de bloqueur DNS. Il ne faut donc attendre ni filtrage centralisé des publicités, ni blocage de domaines malveillants, ni gain de chargement annoncé par le service. Utilisez une solution dédiée si cette fonction fait partie de votre modèle de risque.
Le blocage par DNS
Le blocage DNS présente plusieurs avantages. Il est universel : il fonctionne pour toutes les applications, pas seulement le navigateur. Il est économe : pas de téléchargement de la publicité, pas de code malveillant exécuté, pas de tracking. Et il est centralisé : une seule liste, tenue à jour, protège tous vos appareils connectés au VPN.
Un filtrage DNS est moins fin qu'un bloqueur de contenu capable de distinguer les éléments d'une page. Cette distinction est générale : elle ne décrit pas une fonction livrée par BloomVPN.
DNS over HTTPS et DNS over TLS
Pour résoudre le problème du DNS en clair, deux standards récents ont émergé. DNS over HTTPS (DoH) transporte les requêtes DNS à l'intérieur d'une connexion HTTPS : elles sont chiffrées et indiscernables du trafic web normal. DNS over TLS (DoT) utilise une connexion TLS dédiée sur un port séparé. Les deux empêchent un observateur de voir vos requêtes DNS en clair.
Dans le contexte d'un VPN, le comportement DNS dépend du client et du système. BloomVPN ne publie actuellement aucune garantie de résolveur DoH interne, de bloqueur DNS ou de split tunneling ; vérifiez les requêtes DNS et IPv6 sur votre propre plateforme.
Le DNS est l'un des piliers silencieux d'Internet. On ne le remarque que quand il tombe. Mais pour la vie privée, il est aussi l'un des maillons les plus révélateurs : savoir quels sites vous visitez, c'est souvent savoir qui vous êtes. Un VPN qui ne maîtrise pas son DNS ne protège qu'à moitié. C'est pour cela que nous y consacrons autant d'attention.
Prêt à protéger votre vie privée ?
Une clé d'accès, un tunnel WireGuard® et des limites publiées clairement.