DNS ou VPN : pourquoi changer de résolveur ne masque pas tout votre trafic

Vous remplacez les DNS de votre connexion par ceux d’un autre fournisseur. Certains sites deviennent accessibles, une fonction de filtrage apparaît et le service promet davantage de confidentialité. Votre navigation ne passe pourtant pas automatiquement dans un tunnel chiffré. Le DNS et le VPN interviennent à des endroits différents de la connexion.

Comprendre cette différence permet de choisir un réglage pour son effet réel, sans attendre d’un simple changement d’adresse DNS qu’il masque tout votre trafic.

Le DNS cherche une adresse, il ne transporte pas toute la visite

Quand une application veut contacter un service par son nom, elle doit généralement obtenir une adresse réseau. Le résolveur DNS participe à cette recherche. Il peut être fourni par votre opérateur, votre organisation ou un prestataire que vous choisissez.

Changer de résolveur modifie donc l’acteur auquel ces demandes sont adressées, sous réserve de la configuration effective. Cela peut avoir un effet sur la fiabilité des réponses, le filtrage de domaines ou le temps nécessaire à certaines résolutions. Cela ne détourne pas, à lui seul, l’ensemble des connexions vers un nouveau point de sortie.

L’adresse IP publique présentée au site visité reste normalement celle de votre connexion ou du système de sortie déjà utilisé. Le fait qu’un résolveur soit situé dans un autre pays ne fait pas voyager toutes vos pages par ce pays.

Un service de DNS filtrant peut bloquer des domaines identifiés comme malveillants. Ce blocage réduit certains risques, mais ne vérifie pas tout le contenu d’un site autorisé. Il ne remplace ni les mises à jour, ni les protections du navigateur, ni la vigilance face à une page d’hameçonnage récemment créée.

Le bon réflexe consiste à séparer la recherche de l’adresse et l’échange qui vient ensuite.

Le DNS chiffré protège un échange précis

Le DNS sur HTTPS, ou DoH, et le DNS sur TLS, ou DoT, chiffrent les échanges DNS entre le client et le résolveur correspondant. Ils réduisent la possibilité de lire ou d’altérer ces demandes sur ce trajet. Leur activation est différente d’un simple changement de résolveur utilisant encore le DNS classique.

Le prestataire choisi reçoit toujours les requêtes nécessaires à son service. Le chiffrement ne le fait pas disparaître de la relation de confiance. Sa politique de journalisation, son fonctionnement et les exigences de votre organisation restent donc pertinents.

Le HTTPS du site protège, de son côté, le contenu échangé avec le serveur web, sous les conditions habituelles de validation de la connexion. Il n’est pas remplacé par le DNS chiffré. Ce sont deux échanges distincts, qui peuvent être protégés indépendamment.

Même avec un DNS chiffré, un observateur du réseau peut encore voir certaines informations, dont les adresses IP contactées et les caractéristiques du trafic. Les technologies utilisées peuvent réduire certains indices, mais « DNS chiffré » ne signifie pas « navigation invisible ».

À retenir : changer de DNS choisit qui répond aux recherches de noms. Activer un DNS chiffré protège ces recherches sur un trajet donné. Utiliser un VPN fait passer un ensemble défini de connexions dans un tunnel. Ces trois actions ne sont pas équivalentes.

Le VPN déplace aussi le point de confiance

Un VPN crée un tunnel entre votre appareil et un point distant. Selon sa configuration, tout ou partie du trafic passe par ce tunnel avant de rejoindre sa destination. Le site peut alors voir l’adresse du point de sortie plutôt que celle de votre accès direct.

Cette protection dépend de sa portée effective. Un VPN limité à une application, une configuration qui ne fait passer que les ressources d’entreprise ou une exception de routage ne couvrent pas les mêmes échanges qu’un tunnel complet. L’étiquette « connecté » ne décrit pas nécessairement tout ce qui sort de l’appareil.

Le fournisseur du VPN occupe également une place importante : vous lui confiez un rôle que votre réseau local ou votre opérateur exerçait auparavant. Le HTTPS reste nécessaire pour protéger les échanges avec les sites au-delà du tunnel. Le VPN ne rend pas fiable un service frauduleux et ne supprime pas les traces associées à votre compte connecté.

Les cookies, les identifiants de compte et d’autres caractéristiques du navigateur peuvent toujours permettre de vous reconnaître. Changer d’adresse de sortie ne déconnecte pas automatiquement les comptes et n’efface pas l’historique détenu par les services.

Pour un accès professionnel, le premier intérêt peut être de rejoindre des ressources internes autorisées. Modifier les paramètres DNS en parallèle sans comprendre la configuration peut au contraire rendre ces ressources inaccessibles.

Vérifier le réglage à l’endroit où il s’applique

Un DNS défini sur la box ne s’impose pas nécessairement à chaque application. Un navigateur peut utiliser son propre DNS chiffré ; un appareil peut avoir une configuration différente ; un VPN peut fournir son résolveur. Il faut donc regarder le niveau concerné avant d’interpréter le résultat.

Mozilla propose, par exemple, plusieurs niveaux de protection DoH dans Firefox. Les comportements et exceptions varient selon le mode retenu et le contexte réseau. Un réglage du navigateur ne décrit pas automatiquement le fonctionnement des autres logiciels.

Si vous cherchez à diagnostiquer une panne, notez la configuration initiale et ne modifiez qu’un élément à la fois. Contrôlez l’accès aux sites publics, aux services professionnels et aux éventuels portails de connexion. Un changement qui résout un site mais casse le reste n’est pas une amélioration générale.

Sur un appareil géré, respectez la configuration prévue par l’organisation. Un résolveur externe peut contourner involontairement un filtrage ou empêcher la résolution de noms internes. Le support doit pouvoir distinguer une panne réseau d’un changement local.

Choisissez enfin une protection adaptée au besoin : fiabilité de résolution, filtrage, confidentialité des requêtes ou accès distant. Une adresse DNS différente peut répondre à certains de ces besoins. Elle ne suffit pas à transformer la nature de toute votre connexion.