Numérique · Internet et sécurité
DNS (système de noms de domaine)
Le DNS est l’annuaire d’internet : il traduit un nom de domaine lisible (connaissance.org) en adresse IP que les machines utilisent pour se joindre. Chaque visite d’un site commence par une requête DNS.
Mis à jour le 4 min de lecture
Les ordinateurs reliés à internet se repèrent par des adresses IP, des suites de nombres difficiles à retenir. Le DNS (Domain Name System) permet d’utiliser à la place des noms de domaine. Il a été conçu par Paul Mockapetris en 1983, pour remplacer un simple fichier listant tous les ordinateurs du réseau, devenu ingérable. La fiche fonctionnement d’internet le situe parmi les autres protocoles ; celle-ci entre dans le détail.
La structure des noms de domaine
Un nom de domaine se lit de droite à gauche, du plus général au plus précis :
| Partie | Exemple dans www.service-public.fr | Rôle |
|---|---|---|
| Racine | (un point implicite à la fin) | Sommet de la hiérarchie |
| Domaine de premier niveau (TLD) | .fr | Pays (.fr, .be, .ca) ou générique (.com, .org) |
| Domaine de deuxième niveau | service-public | Nom enregistré par le titulaire |
| Sous-domaine | www | Défini librement par le titulaire |
Les TLD sont attribués sous la coordination de l'ICANN, organisation internationale à but non lucratif. Chaque extension a un gestionnaire, appelé registre : l'Afnic pour le .fr. On achète un nom de domaine auprès d’un bureau d’enregistrement (registrar), pour une durée renouvelable.
Comment se passe une résolution DNS
Quand on tape exemple.fr :
- Le navigateur et le système regardent dans leur cache s’ils connaissent déjà la réponse.
- Sinon, la question part vers un résolveur DNS, généralement celui du fournisseur d’accès (ou un résolveur public choisi par l’utilisateur).
- Le résolveur interroge un serveur racine, qui répond : « pour le .fr, demandez aux serveurs de l’Afnic ».
- Il interroge les serveurs du .fr, qui indiquent les serveurs faisant autorité pour
exemple.fr. - Il interroge ces serveurs faisant autorité, qui donnent l’adresse IP.
- Le résolveur transmet la réponse au navigateur et la garde en cache pendant une durée fixée (le TTL).
L’ensemble prend en général quelques millisecondes, voire moins quand la réponse est en cache.
Les principaux types d’enregistrements
| Type | Rôle | Exemple |
|---|---|---|
| A | Associe un nom à une adresse IPv4 | exemple.fr → 192.0.2.10 |
| AAAA | Associe un nom à une adresse IPv6 | exemple.fr → 2001:db8::10 |
| CNAME | Alias vers un autre nom | www.exemple.fr → exemple.fr |
| MX | Serveur qui reçoit les e-mails du domaine | exemple.fr → mail.exemple.fr |
| TXT | Texte libre, utilisé notamment pour l’authentification des e-mails (SPF, DKIM, DMARC) | Vérification de propriété |
| NS | Serveurs faisant autorité pour le domaine | ns1.hebergeur.fr |
Sécurité et vie privée
- Attaques : un pirate peut tenter d’injecter de fausses réponses dans un cache (empoisonnement de cache) pour rediriger les visiteurs vers un faux site. DNSSEC ajoute des signatures cryptographiques qui permettent de vérifier l’authenticité des réponses.
- Vie privée : les requêtes DNS classiques circulent en clair : le résolveur et les intermédiaires voient la liste des sites consultés. Les protocoles DNS over HTTPS (DoH) et DNS over TLS (DoT) les chiffrent ; plusieurs navigateurs proposent DoH.
- Blocage : en France, la justice ou l’autorité administrative peuvent ordonner aux fournisseurs d’accès de bloquer certains sites au niveau DNS (contenus terroristes, pédocriminels, piratage, jeux illégaux). Ce blocage se contourne en changeant de résolveur, mais reste efficace pour la grande majorité des utilisateurs.
- Les pannes DNS d’un grand fournisseur peuvent rendre inaccessibles des milliers de sites à la fois, même si leurs serveurs fonctionnent.
Changer de DNS
On peut remplacer le résolveur de son fournisseur d’accès par un résolveur public, dans les réglages de la box, du système ou du navigateur. Motivations : rapidité, filtrage des sites malveillants, contrôle parental, confidentialité. Il faut alors faire confiance à ce nouveau prestataire, qui voit les requêtes.
Questions fréquentes
Que signifie l’erreur « DNS_PROBE_FINISHED_NXDOMAIN » ?
Le nom de domaine n’a pas été trouvé : faute de frappe, domaine expiré ou inexistant, ou problème du résolveur DNS. Vérifier l’adresse, puis essayer un autre réseau.
Le DNS sait-il quelles pages je consulte ?
Il voit les noms de domaine demandés, pas les pages précises ni leur contenu, qui sont protégés par HTTPS.
Combien de temps faut-il pour qu’un changement DNS soit visible ?
De quelques minutes à 48 heures selon la durée de cache (TTL) des anciens enregistrements : c’est la « propagation DNS ».