Fonctionnement DNS

Le DNS (Domain Name System) est l’annuaire géant d’internet. Quand vous tapez un nom de domaine comme « google.com », le DNS traduit ce nom en adresse IP (142.250.179.78) que votre ordinateur peut joindre. Sans DNS, il faudrait mémoriser des dizaines d’IP différentes pour visiter chaque site. Ce guide explique le fonctionnement complet du DNS, les types de serveurs, les enregistrements et les enjeux sécurité.

Le DNS en une phrase

Le DNS transforme un nom lisible (exemple.com) en adresse IP machine (51.91.239.203), et inversement. C’est un système distribué mondial qui fonctionne en quelques millisecondes pour chaque requête.

Comment fonctionne une résolution DNS

1. Vous tapez exemple.com dans le navigateur.
2. Votre ordinateur interroge son résolveur DNS (souvent celui du FAI ou un DNS public comme 1.1.1.1 ou 8.8.8.8).
3. Le résolveur regarde dans son cache. Si la réponse y est, il la renvoie immédiatement.
4. Sinon, il interroge les serveurs racine (.) qui pointent vers les serveurs du TLD (.com).
5. Le serveur .com renvoie vers les serveurs autoritaires du domaine exemple.com (déclarés par le propriétaire chez son registrar).
6. Les serveurs autoritaires retournent l’IP demandée.
7. Le résolveur mémorise (cache) la réponse pour une durée (TTL) et la transmet à votre ordinateur.
8. Votre navigateur ouvre la connexion vers l’IP retournée.

Tout cela prend généralement entre 5 et 100 millisecondes selon le cache et la latence.

Les acteurs du DNS

• Résolveur DNS (recursive resolver) : interlocuteur direct de votre appareil. Effectue toutes les requêtes nécessaires pour obtenir la réponse finale. Exemples : DNS publics (1.1.1.1, 8.8.8.8), DNS du FAI.
• Serveurs racine : 13 ensembles (a-m.root-servers.net), point d’entrée du système DNS mondial.
• Serveurs TLD : un par extension (.com, .fr, .org, .info…). Gérés par les registres (Verisign pour .com, AFNIC pour .fr).
• Serveurs autoritaires : font autorité sur un nom de domaine précis. Configurés par le propriétaire via son registrar (Gandi, OVH, Cloudflare).
• Cache local : votre OS et navigateur mémorisent eux-mêmes les résolutions récentes pour éviter de redemander.

Les enregistrements DNS principaux

Voir notre guide complet enregistrements DNS (A, AAAA, MX, TXT, CNAME, NS, PTR). En résumé :

• A : nom → IPv4.
• AAAA : nom → IPv6.
• CNAME : alias entre deux noms.
• MX : serveur email d’un domaine.
• TXT : enregistrements textuels (SPF, DKIM, DMARC, vérifications).
• NS : serveurs autoritaires.
• PTR : reverse DNS (IP → nom).

TTL et propagation DNS

Chaque enregistrement DNS a un TTL (Time To Live) qui indique combien de temps les résolveurs doivent garder la réponse en cache. Valeurs typiques :

• TTL standard : 3600 secondes (1 heure).
• TTL court : 300 secondes (5 minutes) — utilisé avant une migration.
• TTL long : 86400 secondes (24 heures) — domaine stable.

Conséquence : quand vous modifiez un enregistrement DNS, certains visiteurs voient encore l’ancienne valeur pendant la durée du TTL. D’où l’intérêt de baisser le TTL 48h avant un changement majeur (changement d’IP serveur, migration d’hébergeur).

DNS et performance

Choisir un bon résolveur DNS améliore mesurablement la rapidité de navigation. Mesures typiques :

• Cloudflare 1.1.1.1 : ~10-15 ms en Europe.
• Google 8.8.8.8 : ~12-18 ms.
• DNS FAI : 5-20 ms (proximité géographique).
• Quad9 9.9.9.9 : ~15-25 ms.

Sur une journée de navigation normale, 200-500 requêtes DNS sont émises. Gagner 10 ms par requête = 2-5 secondes économisées par jour.

DNS et sécurité

• DNS spoofing / cache poisoning : un attaquant injecte de fausses réponses DNS dans le cache, redirigeant les victimes vers des sites malveillants. Mitigé par DNSSEC.
• DNS hijacking : modification des résolveurs DNS de la victime (souvent via malware sur le routeur) pour intercepter le trafic. Mitigé par DNS chiffrés (DoH/DoT).
• DNSSEC : signature cryptographique des réponses DNS pour garantir leur authenticité.
• DoH / DoT : chiffrement des requêtes DNS entre le client et le résolveur. Empêche l’écoute et la modification en transit.
• Filtrage DNS : bloquer les domaines malveillants ou indésirables au niveau DNS (Pi-hole, AdGuard, Quad9, OpenDNS Family).

Diagnostic DNS

• nslookup : commande universelle pour interroger le DNS depuis n’importe quel OS.
• dig (Linux/macOS) : alternative plus puissante, sortie plus détaillée.
• DNS Checker : test web depuis 30+ pays, utile pour vérifier la propagation mondiale.
• MXToolbox : suite d’outils DNS (MX, SPF, DKIM, DMARC, blacklist).

FAQ : fonctionnement DNS

Pourquoi un site ne s’affiche-t-il pas après un changement DNS ?

Cache DNS local ou intermédiaire. Vider le cache : ipconfig /flushdns (Windows), sudo dscacheutil -flushcache (macOS). Sinon attendre l’expiration du TTL.

Le DNS de mon FAI me trace-t-il ?

Techniquement possible. La loi française impose la rétention de logs DNS dans certains cas. Pour échapper à cette surveillance, utiliser un DNS public + DoH/DoT.

Quel résolveur DNS choisir ?

1.1.1.1 (Cloudflare) pour vie privée + vitesse. 9.9.9.9 (Quad9) pour sécurité (blocage menaces). 8.8.8.8 (Google) pour fiabilité maximale. Voir notre comparatif DNS publics.

Pour aller plus loin sur les enregistrements DNS ?

Voir nos guides : enregistrements DNS détaillés, SPF DKIM DMARC pour emails, commande nslookup.