Pourquoi un DNS sans censure est important

La censure DNS est invisible — et c'est ce qui la rend dangereuse

Lorsqu’un site est bloqué via DNS, vous n’obtenez aucune explication. Vous obtenez une erreur. « Serveur introuvable. » « Ce site est inaccessible. » Votre navigateur n’a aucun moyen de distinguer un site qui n’existe pas d’un site silencieusement bloqué par votre résolveur. Cette ambiguïté est un choix de conception — et pas un choix innocent.

La censure DNS fonctionne en faisant retourner des réponses incorrectes par votre résolveur. Au lieu de la vraie adresse IP d’un domaine, il retourne NXDOMAIN (comme si le domaine n’existait pas) ou vous redirige vers une page de blocage. De l’extérieur, un domaine bloqué ressemble à un domaine cassé.

Comment le Filtrage DNS est Appliqué

La plupart des internautes se connectent via un résolveur fourni par leur FAI. Ce résolveur se trouve entre votre appareil et les serveurs DNS faisant autorité qui détiennent les vrais enregistrements — et il peut intercepter et modifier les réponses avant qu’elles vous parviennent.

Le FAI contrôle totalement les réponses qu’il retourne. Si le gouvernement impose que certains domaines soient inaccessibles, le FAI le met en œuvre dans son résolveur. Sans avertissement. Sans recours. Le domaine cesse simplement de fonctionner.

C’est le mécanisme derrière la plupart des systèmes nationaux de filtrage Internet. C’est aussi le mécanisme derrière les produits de filtrage commerciaux et certains résolveurs « familiaux ». L’approche technique sous-jacente est la même ; seule la liste de blocage diffère.

Les Problèmes du Filtrage au Niveau du Résolveur

Les faux positifs sont courants. Les listes de blocage sont imparfaites. Des sites y sont ajoutés par erreur, par catégorie (bloquer un hébergeur entier parce qu’un sous-domaine hébergeait du contenu problématique), ou parce que quelqu’un sachant remplir le bon formulaire a déposé une plainte. Le propriétaire du site bloqué n’a souvent aucun recours pratique.

Les listes de blocage sont opaques. Qui décide ce qui y figure ? Selon quels critères ? Avec quelle supervision ? Dans la plupart des cas, ces questions n’ont pas de réponse publique. Vous êtes soumis à une censure implémentée par une entité qui n’a pas à se justifier auprès de vous.

La dérive de périmètre est systématique. Les systèmes de filtrage DNS qui commencent avec des mandats étroits tendent à s’élargir au fil du temps. « Nous ne bloquons que les CSAM » devient « nous bloquons aussi le contenu terroriste » devient « nous bloquons aussi les sites de piratage » devient « nous bloquons aussi les jeux d’argent » — et chaque expansion se produit avec moins de scrutin public que la précédente. L’infrastructure construite pour un usage est trivialement réutilisée pour un autre.

Impossible de s’y soustraire. Si votre FAI implémente un filtrage, vous ne pouvez pas choisir de recevoir des réponses DNS exactes — sauf en passant à un résolveur différent. Ce que permet précisément un DNS chiffré et non censuré. Les opérateurs qui n’aiment pas que les utilisateurs puissent contourner leur filtrage ont tendance à répondre en bloquant les protocoles DNS chiffrés au niveau réseau, complétant ainsi le cercle.

Une taille ne convient à personne. Un site approprié pour les adultes ne l’est pas pour les enfants. Un site légal dans votre pays peut être bloqué suite à une ordonnance judiciaire obtenue dans un autre pays. Un chercheur en sécurité a besoin de résoudre des domaines qui déclencheraient un filtre anti-malware. Le filtrage global et indifférencié appliqué au niveau du résolveur ne peut accommoder aucune de ces nuances.

Le Contexte Français

En France, les FAI sont légalement tenus de bloquer certains domaines. Le mécanisme varie : certaines ordonnances judiciaires (LCEN, ARCOM) imposent le blocage de sites spécifiques liés au piratage de droits d’auteur, au jeu en ligne, ou au terrorisme. Plus récemment, des ordonnances de blocage administratif peuvent être émises sans décision judiciaire dans certaines catégories.

Les FAI français implémentent cela via le filtrage DNS, le null-routing BGP, ou le blocage HTTP — souvent les trois simultanément. Quand un domaine est ajouté à la liste obligatoire, les FAI français n’ont pas le choix. C’est une obligation légale, pas une décision de politique interne.

le_dns n’est pas un FAI. Nous sommes un service DNS. Nous ne sommes pas soumis aux mêmes obligations légales qui s’appliquent aux fournisseurs d’accès à Internet en droit français. Nous maintenons bien un RPZ (Response Policy Zone) pour mettre en œuvre des blocages que des tribunaux ont spécifiquement ordonnés à l’encontre des résolveurs DNS, mais nous sommes transparents sur l’existence de ce mécanisme et limitons sa portée aux exigences légales réelles. Nous ne sommes pas dans le métier de filtrer Internet au bénéfice des préférences de quiconque.

Sur le Blocage des Malwares

Une question fréquente : « Si vous ne filtrez pas, qu’en est-il des domaines de malwares ? »

C’est un point légitime. Le filtrage des domaines malveillants connus au niveau du résolveur apporte une vraie valeur sécurité. Des services comme Quad9 le font bien — ils maintiennent des flux de renseignements sur les menaces de haute qualité et bloquent les domaines malveillants avec de faibles taux de faux positifs.

Mais il y a une différence significative entre le filtrage comme service que vous choisissez explicitement et le filtrage imposé par défaut à votre insu et sans votre consentement. le_dns estime que le filtrage doit être opt-in et contrôlé par l’utilisateur, pas une valeur par défaut au niveau du résolveur.

Si vous souhaitez spécifiquement une protection anti-malware basée sur le DNS, Quad9 (9.9.9.9) est un service honnête et bien géré, un choix raisonnable. Nous ne prétendrons pas le contraire.

Notre position est que la valeur par défaut doit être des réponses DNS exactes et non modifiées — et que les utilisateurs souhaitant un filtrage supplémentaire doivent choisir un résolveur qui le fournit, sciemment et volontairement.

Ce que le_dns Fait (et ne Fait Pas)

Nous résolvons les requêtes DNS avec précision. Nous retournons la réponse correcte pour chaque domaine qui en a une, quel que soit son contenu, son pays d’origine, ou l’opinion de quelqu’un à son sujet.

Nous n’appliquons aucun filtrage commercial. Pas de « safe search » forcé. Pas de blocage publicitaire (mais pas d’injection publicitaire non plus). Pas de contrôle parental. Pas de catégories de contenu.

Nous maintenons un RPZ pour les blocages ordonnés par des tribunaux visant spécifiquement les résolveurs DNS. C’est une catégorie étroite, définie légalement. Nous ne l’élargissons pas au-delà de ce qui est requis.

Nous utilisons la validation DNSSEC — cela signifie que nous rejetons les réponses qui ont été cryptographiquement falsifiées au niveau de l’infrastructure, protégeant contre les attaques de type DNS spoofing. Ce n’est pas de la censure ; c’est de la vérification d’intégrité.

Vous voulez nous comparer à d’autres résolveurs ? Consultez notre page de comparaison. Prêt à changer ? Nos guides de configuration vous permettent de démarrer en quelques minutes.