Résolveurs DNS publics
Chaque fois que vous visitez un site web ou utilisez d’autres services en ligne, votre appareil interroge d’abord le Domain Name System (DNS) – le « carnet d’adresses d’Internet » – pour savoir à quelle adresse IP la destination en question est accessible. Sans chiffrement, vous pouvez vous représenter ces requêtes comme des cartes postales ouvertes : les fournisseurs d’accès Internet, les exploitants de réseaux Wi-Fi et d’autres intermédiaires peuvent lire les sites web que vous consultez ou les applications que vous utilisez, et même théoriquement en manipuler les réponses.
Depuis début 2019, nous exploitons donc des résolveurs DNS publics uniquement accessibles via des voies de communication chiffrées, qui ne stockent aucune donnée personnelle et sont exempts de toute censure. Nous proposons ainsi une alternative d’utilité publique, sûre et digne de confiance aux fournisseurs commerciaux, qui n’offrent généralement ni chiffrement (DoT, DoH, etc.) ni signature (DNSSEC) de leurs services, et qui font habituellement commerce des données collectées.
Généralités
Vous pouvez utiliser nos serveurs DNS gratuitement et sans inscription. Ils sont configurés de manière à protéger au mieux la sphère privée et à garantir un accès libre à Internet :
- Pas de journalisation. Nous ne stockons aucune requête DNS et ne conservons aucun journal contenant des données personnelles.
- Pas de listes de blocage, pas de filtrage. Nous ne bloquons aucun domaine et ne censurons aucun contenu – les requêtes DNS reçoivent une réponse non filtrée.
- Validation DNSSEC. L’authenticité et l’intégrité des réponses sont contrôlées de manière cryptographique à l’aide des Domain Name System Security Extensions (DNSSEC), afin de rendre impossible toute falsification des réponses.
- Exploitation exclusivement chiffrée. Nos serveurs prennent en charge DNS over TLS (DoT), DNS over HTTPS (DoH), DNS over HTTP/3 (DoH3) et DNS over QUIC (DoQ). Nous ne proposons délibérément pas de DNS non chiffré sur le port 53 afin d’éviter toute mauvaise configuration.
- Configuration minutieuse des serveurs. Chiffrement moderne (configuration TLS conforme à la recommandation « Intermediate » de tlsref.org), limitation du débit (rate limiting) pour protéger contre les surcharges et minimisation des requêtes (seuls les éléments de nom strictement nécessaires sont transmis aux serveurs DNS de niveau supérieur).
- Rédondance. Deux serveurs avec répartition automatique de la charge garantissent une haute disponibilité.
- Localisation en Suisse. Nous exploitons nos serveurs sur notre propre matériel dans un centre de données suisse. Personne d’autre que nos administrateurs n’y a accès.
Tout ce qui concerne l’exploitation est publiquement documenté : vous trouverez les fichiers de configuration et la documentation de l’architecture dans notre dépôt GitHub.
Best Effort
En tant qu’organisation à but non lucratif, nous souhaitons offrir un service de haute qualité et fiable. Des mesures adéquates ont été prises lors de la conception. Nous vous rendons toutefois attentifs au fait que l’ensemble du travail sur les systèmes est effectué à titre bénévole et que nous ne pouvons garantir aucune disponibilité.
Configuration
En principe, la plupart des systèmes d’exploitation permettent d’activer le DNS chiffré à l’échelle du système – ce que nous recommandons vivement !
De plus, certaines applications comme les navigateurs web ou les clients de messagerie permettent de définir quel serveur DNS (chiffré) elles doivent utiliser (au lieu de celui du système). Cette option n’a de sens que si le système d’exploitation ne propose aucune possibilité de DNS chiffré ou si vous ne pouvez pas ou ne souhaitez pas le modifier.
Il existe aujourd’hui plusieurs protocoles réseau courants pour le DNS chiffré. Tous les logiciels ne prennent pas en charge l’ensemble des protocoles. En principe, nos serveurs sont utilisables de deux manières :
| Protocole | Adresse | Port |
|---|---|---|
| DoH / DoH3 | https://dns.digitale-gesellschaft.ch/dns-query |
TCP 443 (DoH) UDP 443 (DoH3) |
| DoT / DoQ | dns.digitale-gesellschaft.ch |
TCP 853 (DoT) UDP 853 (DoQ) |
Si votre client permet en outre de configurer directement les adresses IP des serveurs :
- IPv4 :
185.95.218.42/185.95.218.43 - IPv6 :
2a05:fc84::42/2a05:fc84::43
Pour TLS, nous utilisons des certificats Let’s Encrypt qui sont renouvelés automatiquement tous les trois mois. Nous déconseillons donc d’avoir recours à un éventuel pinning SPKI.
Nous avons rassemblé quelques guides de configuration pour les logiciels courants dans notre dépôt GitHub.
Rapports de transparence
Conformément à la politique de résolveur DoH de Mozilla, nous publions périodiquement des informations sur nos services DNS.