Résolveur DNS sécurisé

Définition

Un résolveur DNS sécurisé est un service de résolution de noms de domaine qui protège la confidentialité et l'intégrité des requêtes DNS, historiquement transmises en clair et vulnérables à l'interception ou à la manipulation. Les protocoles DoH (DNS over HTTPS, port 443) et DoT (DNS over TLS, port 853) chiffrent les échanges entre le client et le résolveur, empêchant un attaquant positionné sur le réseau d'observer ou d'altérer les domaines consultés. Le résolveur peut également intégrer la validation DNSSEC, qui authentifie cryptographiquement les réponses DNS afin de prévenir les attaques par empoisonnement de cache et le détournement DNS. Un résolveur DNS sécurisé constitue une première ligne de défense efficace contre les domaines malveillants, le phishing et les infrastructures de commande et contrôle, en bloquant la résolution vers des domaines identifiés comme dangereux dans les flux de renseignement sur la menace. Des fournisseurs comme Quad9, Cloudflare ou Google proposent de tels services, tandis que des solutions d'entreprise permettent d'appliquer des politiques de filtrage centralisées. Le passage massif à DoH pose toutefois un défi de visibilité pour les équipes de sécurité, le trafic chiffré échappant à l'inspection réseau classique, ce qui nécessite d'adapter les outils de détection et de privilégier des résolveurs d'entreprise contrôlés plutôt que des résolveurs publics non maîtrisés.