Comment fonctionne un blocage DNS et pourquoi votre FAI intercepte vos requêtes web ?
Pour saisir la mécanique, il faut remonter à la base. Le réseau ne comprend pas le langage humain. Quand vous écrivez une adresse textuelle, votre machine interroge silencieusement un résolveur qui lui renvoie une série de chiffres, comme 192.0.2.1. C'est quoi un blocage DNS au milieu de ce processus d'aiguillage ? C'est tout simplement une interdiction d'aiguiller.
Lorsque le tribunal d'instance de Paris ou une autorité administrative comme l'Arcom ordonne à Orange, SFR, Bouygues Telecom et Free de censurer un service de streaming illégal ou une plateforme de paris non régulée, les FAI modifient la table de leurs propres serveurs. Rien de plus léger techniquement. Au lieu d'acheminer le trafic vers la bonne destination, le résolveur de votre opérateur réactive une réponse factice. On appelle ça le DNS sinkhole ou trou noir. Au lieu d'atteindre le portail désiré, vous êtes redirigé vers une page d'avertissement ministérielle, ou bien votre requête tombe tout bêtement dans le vide avec une erreur de type NXDOMAIN. Résultat : le site reste en ligne quelque part sur le globe, parfaitement fonctionnel, mais l'accès depuis la France métropolitaine est rompu pour le grand public.
La menteuse réponse : le principe du DNS Poisoning et du filtrage menteur
Reste que les méthodes varient selon la poigne du régulateur local. Certains FAI injectent sciemment de fausses données dans la mémoire cache de leurs équipements. C'est le poisoning de serveur résolveur. D'autres coupent court aux dialogues en renvoyant l'adresse IP 0.0.0.0, ce qui stoppe net la tentative de connexion de votre navigateur en moins de 12 millisecondes.
Le truc c'est que la décision ne vient pas du réseau lui-même. En France, plus de 85 % des internautes conservent les paramètres réseau distribués par leur box Internet lors de la souscription du contrat. Les FAI ont donc un pouvoir de contrôle absolu sur le routage du quotidien. Et ils n'ont d'autre choix que d'appliquer les ordonnances sous peine de sanctions financières calculées par jour de retard, parfois chiffrées à plus de 10 000 euros par infraction constatée.
Les différentes techniques pour bloquer un domaine au niveau du Domain Name System
Tous les blocages ne se valent pas. Si la méthode classique par modification de table d'hôte chez l'opérateur constitue 90 % des cas rencontrés sur le territoire français, des gouvernements plus autoritaires ou des entreprises aux politiques de sécurité drastiques emploient des armes autrement plus lourdes.
Prenons l'inspection profonde des paquets, la fameuse Deep Packet Inspection (DPI). Là où ça coince pour le citoyen lambda, c'est que le trafic classique traverse le port 53 en clair. Pas besoin d'être un hacker chevronné pour lire le contenu d'un paquet non chiffré. Un équipement réseau intermédiaire placé chez le transporteur de données peut analyser la requête au vol, repérer le nom de domaine visé dans l'en-tête, puis détruire le paquet avant même qu'il n'atteigne le serveur légitime. Autant le dire clairement : on est loin du compte si l'on pense qu'un simple changement de résolveur suffit face à une infrastructure nationale armée pour la DPI comme en Chine ou en Russie.
Du filtrage par réécriture de zone au blocage d'IP sous-jacent
Reste la méthode agressive qui associe l'usurpation de résolution au blocage d'adresse IP direct. Car bloquer le nom ne suffit pas toujours. Si un utilisateur avisé saisit directement la suite de chiffres dans sa barre d'adresse, le blocage au niveau de la résolution tombe à l'eau. D'où la tendance actuelle des ayants droit à réclamer des ordonnances mixtes aux juges des référés. On exige à la fois le poisoning des résolveurs FAI et l'isolation réseau des plages d'adresses IP des serveurs CDN hébergeant le contenu litigieux. Je trouve d'ailleurs que cette surenchère technique montre bien l'inefficacité structurelle du système à long terme : plus on colmate la fuite avec des pansements réseau, plus les pirates affinent leurs contournements en quelques minutes seulement.
On n'y pense pas assez, mais les entreprises appliquent exactement ces méthodes au sein de leurs réseaux locaux. Un pare-feu d'entreprise configuré avec un filtre de catégories bloque les réseaux sociaux et le contenu adulte en interceptant les requêtes UDP du port 53. Ce n'est ni plus ni moins que du filtrage DNS d'entreprise à visée productivale ou sécuritaire, visant à éviter l'infection des postes de travail par des malwares opportunistes.
Pourquoi les ayants droit et les gouvernements privilégient-ils le blocage DNS ?
Pourquoi s'acharner sur cette brique technologique spécifique plutôt que d'éteindre directement les serveurs pirates ? La raison est avant tout économique et juridique. Saisir un serveur physique situé dans une juridiction offshore à l'autre bout de la planète prend des mois, exige des commissions rogatoires internationales complexes, et coûte des dizaines de milliers d'euros en frais d'avocats. À l'inverse, faire exécuter un blocage au niveau DNS auprès d'un opérateur national prend moins de 48 heures et ne coûte presque rien à l'État.
C'est de la régulation à pas cher. En obligeant les quatre grands FAI français à modifier quelques lignes de code dans leurs infrastructures centrales, le régulateur coupe l'accès de 95 % du grand public à une plateforme illégale d'un seul coup de cuillère à pot. Les chiffres parlent d'eux-mêmes : après l'application des premières vagues d'ordonnances massives contre les sites de piratage sportif, la fréquentation de ces domaines a chuté de 40 % à 60 % dans les jours qui ont suivi la mise en œuvre de la mesure. Pour la majorité des gens, un site qui ne répond pas est un site mort.
Effets collatéraux : quand le filtrage fait des dégâts invisibles
Mais cette simplicité apparente cache un piège redoutable. Un nom de domaine peut héberger des dizaines de sous-domaines légitimes, tout comme une adresse IP partagée via un service Cloudflare peut abriter le site d'un boulanger local à côté d'un portail de streaming frauduleux. Quand la justice valide un blocage trop large sans vérification fine — ce qui arrive régulièrement lors des procédures en urgence pour les soirées de Ligue 1 —, des plateformes parfaitement légales se retrouvent brusquement inaccessibles pendant plusieurs heures pour des millions de foyers. Ce sont les fameux dégâts collatéraux du filtrage web. Honnêtement, c'est flou du point de vue de la responsabilité légale : qui indemnise une PME dont la boutique en ligne est coupée du monde un samedi soir parce qu'elle partageait une infrastructure avec un site de liens torrent ? Ça divise les spécialistes du droit numérique depuis plus de dix ans.
Blocage DNS vs Blocage IP vs Filtrage d'URL : le comparatif des méthodes de censure
Pour bien mesurer l'impact de ce qu'on subit sur sa connexion, il convient de dresser un bilan clair des trois grandes méthodes d'obstruction utilisées par les régulateurs du Web.
Le filtrage au niveau du nom de domaine brille par sa simplicité. C'est le niveau zéro de la censure réseau. Il s'attaque au traducteur sans toucher aux routes ou aux contenus. Sa mise en place demande une charge processeur minime de la part des routeurs des opérateurs, ce qui explique pourquoi ils l'adorent. Ça ne ralentit pas le trafic global de l'Internet français d'un millième de seconde. À ceci près que n'importe quel adolescent doté d'une connexion de base peut contourner la barrière en 30 secondes en modifiant les paramètres de sa carte réseau pour utiliser un résolveur alternatif comme ceux de Cloudflare (1.1.1.1) ou de Google (8.8.8.8).
Le blocage par adresse IP, de son côté, va un cran plus loin dans la fermeté. Ici, les routeurs frontière du FAI jettent purement et simplement les paquets destinés à la série de chiffres ciblée. Le site devient totalement injoignable, quel que soit le traducteur utilisé. Sauf que cette méthode comporte un risque d'over-blocking dévastateur à cause de la rareté des adresses IPv4 et de l'usage généralisé des réseaux de distribution de contenu (CDN). Bloquer une IP Cloudflare pour fermer un site illégal peut terrasser 10 000 autres sites vitrines qui n'ont rien demandé à personne.
Enfin, le filtrage d'URL ou l'inspection applicative représente l'artillerie lourde. Le système analyse le chemin complet de la requête HTTP/HTTPS. Cela implique d'intercepter et de déchiffrer le trafic à la volée via des certificats d'inspection, ce qui coûte extrêmement cher en équipements matériels et génère une latence considérable sur les lignes des abonnés. Un cauchemar logistique que les FAI refusent d'assumer pour le simple blocage de sites de téléchargement.
Idées reçues : quand le blocage DNS fait l'objet de gros fantasmes
Penser qu'un filtrage résout magiquement les dérives du Web relève du mirage. Beaucoup s'imaginent encore que cette barrière technique dresse un mur infranchissable. La réalité ? C'est plutôt un panneau en carton posé au milieu de l'autoroute.
Idée reçue 1 : Changer de résolveur rend totalement invisible
Changer vos serveurs vers Cloudflare (1.1.1.1) ou Google (8.8.8.8) contourne la censure de votre FAI en 30 secondes chrono. Sauf que cela ne chiffre pas magiquement votre trafic HTTP classique ! Votre opérateur voit toujours passer l'adresse IP de destination grâce à l'inspection SNI. Bref, vous esquivez la consigne du résolveur local, mais votre emprunte numérique reste lisible comme un livre ouvert pour n'importe quel analyste réseau expérimenté.
Idée reçue 2 : Un blocage DNS supprime le contenu de l'Internet
C'est faux. Le serveur cible continue de tourner à plein régime sur son hébergeur, quelque part en Islande ou au Panama. Le mécanisme se contente de falsifier le carnet d'adresses. Imaginez qu'on arrache la page de l'annuaire téléphonique correspondant à votre restaurant préféré : l'établissement sert toujours des plats, mais plus personne ne trouve son numéro pour réserver. Autant le dire, le problème reste entier pour les autorités, car le site miroir apparaît souvent dans les 48 heures suivantes.
Idée reçue 3 : Les VPN sont l'unique parade efficace
Le VPN chiffre tout le tunnel, certes. Mais il ralentit parfois la connexion de 15% à 40% selon la qualité de l'infrastructure choisie. Les protocoles DoH (DNS over HTTPS) et DoT (DNS over TLS) offrent une alternative gratuite et extrêmement véloce. (Ils masquent directement les requêtes DNS au sein d'un flux d'apparence anodine). Pourquoi payer un abonnement mensuel quand une modification de paramètre réseau dans votre navigateur suffit dans 85% des cas de simple filtrage administratif ?
La faille du SNI : le secret d'expert que les FAI préfèrent taire
Le blocage par nom de domaine souffre d'un handicap de naissance flagrant. Même si vous sécurisez vos requêtes grâce à DoH, l'entête Server Name Indication révèle encore le nom du domaine visé lors de la poignée de main TLS. Les systèmes DPI des opérateurs interceptent cette information en clair. Résultat : un blocage hybride se met en place chez certains FAI majeurs.
Encrypted Client Hello : la vraie révolution du chiffrement
Pour contrer cette vulnérabilité, le standard ECH (Encrypted Client Hello) commence enfin à se déployer. Reste que son adoption globale prendra des années. Sans ce protocole, la neutralité du net demeure menacée par des pare-feux étatiques capables de couper la connexion juste après la résolution. Et devinez quoi ? Très peu d'utilisateurs savent activer cette option avancée sur leur système.
Questions fréquentes sur le filtrage par nom de domaine
Comment savoir si mon ordinateur subit un filtrage DNS ?
Une commande simple dans votre terminal fournit la réponse en moins de 5 secondes. Tapez "nslookup" suivi du nom du site inaccessible. Si l'adresse IP renvoyée pointe vers 127.0.0.1 ou vers une page d'avertissement du ministère de l'Intérieur, vous subissez un blocage. En temps normal, la résolution doit afficher la véritable IP de l'hébergeur. Plus de 90% des erreurs de type "Adresse introuvable" découlent directement de cette manipulation orchestrée par les opérateurs télécoms.
Quelle est la différence légale entre blocage IP et blocage DNS ?
La justice privilégie l'altération des serveurs de noms car elle évite de bloquer les autres sites légitimes hébergés sur la même machine. Un blocage d'adresse IP risque d'impacter des centaines de plateformes innocentes sur un serveur mutualisé. En France, plus de 1 500 sites font l'objet d'ordonnances de blocage chaque année via ce système ciblé. Il constitue la réponse juridique jugée proportionnée, bien que sa portée technique demeure dérisoire face aux outils actuels de contournement.
Le protocole DoH risque-t-il d'être interdit à l'avenir ?
Interdire ce chiffrement reviendrait à fragiliser la sécurité globale de tout le commerce électronique mondial. Les banques et plateformes de paiement s'appuient sur ces mêmes normes de protection des données. Des gouvernements tentent parfois d'imposer des certificats d'État, mais la communauté des développeurs résiste fermement. Aujourd'hui, environ 35% du trafic web mondial utilise déjà des requêtes DNS sécurisées, un chiffre en hausse constante de 5% par an.
Cessons de prétendre que ce filtrage protège vraiment le Web
Cette méthode de censure s'apparente à une mesure cosmétique destinée à rassurer l'opinion publique et les ayants droit. Elle crée une illusion d'optique sécuritaire tout en poussant les internautes vers des outils de contournement de plus en plus sophistiqués. À force d'imposer des œillères techniques inefficaces, les autorités érodent la fluidité globale d'Internet. Il faut arrêter l'hypocrisie : bloquer une adresse dans un annuaire n'a jamais fait disparaître le bâtiment qu'elle désigne. Le réseau mérite une gouvernance plus intelligente qu'une simple liste noire bricolée à la hâte.