Qu'est-ce que 1.1.1.1 ? Guide simple des résolveurs DNS publics

Demandez sur un forum de réseau domestique pourquoi un site se charge lentement, et quelqu'un le dira avant la cinquième réponse : passez simplement votre DNS à 1.1.1.1. On le propose comme on propose du ruban adhésif : comme la solution à tout. J'ai moi-même tapé ces chiffres dans mon routeur. Parfois, les pages s'ouvraient effectivement plus vite ensuite. Une fois, chez un parent, cela a « réparé » un problème qui s'est révélé être un routeur mourant, lequel est mort pour de bon une semaine plus tard, emportant ma réputation avec lui.

Soyons donc précis sur ce que sont ces quatre chiffres, sur ce qui change quand vous les utilisez, et sur ce qui ne change vraiment pas.

D'abord, le travail qu'un résolveur fait pour vous

Chaque fois que quelque chose sur votre réseau demande un site web par son nom, quelque chose doit traduire ce nom en adresse. Ce quelque chose est un résolveur récursif, et vous en avez déjà un : votre fournisseur d'accès le fait fonctionner, et votre routeur transmet son adresse automatiquement à chaque appareil. Vous ne l'avez jamais choisi, vous ne connaissez probablement pas son adresse, et il répond à des milliers de vos questions chaque jour. Les bases de ce qu'est un serveur DNS présentent les acteurs ; le résolveur est celui qui fait le travail de terrain pour vous.

C'est aussi un témoin. Votre résolveur voit chaque nom que vous consultez — pas les pages elles-mêmes, mais les noms, ce qui donne déjà une assez bonne esquisse de vos habitudes. Celui qui exploite votre résolveur détient ce journal. Changer de résolveur ne supprime pas le témoin. Cela change seulement qui est le témoin.

Alors, qu'est-ce que 1.1.1.1, exactement ?

1.1.1.1 est un résolveur récursif public, exploité par Cloudflare et ouvert à tous, gratuitement, à une adresse assez courte pour être retenue — ce qui est, honnêtement, la moitié de la raison de sa diffusion. Il existe une deuxième adresse, 1.0.0.1, pour la raison habituelle : pour qu'une seule adresse morte n'emporte pas vos requêtes avec elle. Des résolveurs publics d'autres entreprises existent à d'autres adresses célèbres ; l'idée a des décennies. 1.1.1.1 est simplement celui qui est devenu un nom familier.

« Public » est tout l'enjeu. Le résolveur de votre fournisseur existe pour servir ses clients. Un résolveur public existe pour servir quiconque le demande, et il reçoit ses instructions de vous plutôt que des réglages par défaut de votre fournisseur.

En quoi il diffère du résolveur que vous avez déjà

Le reste de la famille

La célèbre adresse a des sœurs, et les connaître évite une confusion fréquente. Le même opérateur publie des variantes à des adresses voisines : l'une qui refuse les noms connus pour servir des logiciels malveillants, et l'autre qui refuse ceux-là plus les contenus pour adultes, destinée aux foyers. On atterrit parfois sur une variante filtrante sans s'en rendre compte — via un guide, un préréglage de routeur ou un proche bien intentionné — puis on signale, perplexe, que certains sites « n'existent pas ». Ils existent. Le résolveur décline simplement de vous les présenter, et c'est une fonction que quelqu'un a choisie pour vous.

Il existe aussi des formes IPv6, de longues chaînes hexadécimales comme 2606:4700:4700::1111, et c'est pourquoi personne ne les cite dans les dîners. Si votre connexion fonctionne en IPv6 et que vous ne définissez que les adresses IPv4, certains appareils continueront discrètement d'utiliser le résolveur IPv6 qui leur a été attribué, et vos requêtes se partageront entre deux services — brouillant tous les tests que vous ferez ensuite. Un appareil qui propose un écran pour une famille en propose en général un pour l'autre. Remplissez les deux.

Relisez ce tableau et remarquez ce qui n'y figure pas : une ligne promettant de la vitesse. La vitesse est une autre question, et elle mérite sa propre section honnête ci-dessous.

Les promesses de confidentialité, limites comprises

Changer change qui peut journaliser vos consultations. L'exploitant de 1.1.1.1 voit toujours vos requêtes — il le doit pour y répondre —, donc ce que vous choisissez vraiment, c'est la politique de confidentialité que vous préférez. Associez-le au DNS chiffré et vous gagnez quelque chose de réel : avec DNS over HTTPS ou son frère en TLS, le trajet entre vous et le résolveur est chiffré, si bien que votre fournisseur et le Wi-Fi du café ne peuvent plus lire les questions au passage.

Maintenant, les limites. Les sites que vous visitez voient toujours votre connexion arriver depuis votre propre adresse. Votre fournisseur voit toujours à quelles adresses vous vous connectez, même s'il ne peut plus voir les noms que vous avez demandés. 1.1.1.1 n'est pas un VPN, ne prétend pas en être un, et tout guide qui vous laisse partir en pensant le contraire cherche à vous vendre quelque chose.

Pourquoi cela peut sembler plus rapide — et pourquoi pas

Deux vrais mécanismes jouent en sa faveur. Le premier est l'anycast : la même adresse est annoncée depuis des endroits du monde entier, si bien que votre requête atterrit sur une instance proche au lieu de traverser un océan. Le deuxième est le cache. Un résolveur qui répond aux questions d'une foule immense a probablement déjà reçu les noms populaires, et une réponse en cache revient immédiatement au lieu d'attendre une chaîne complète de consultations. Touchez un cache chaud toute la journée, et la navigation semble effectivement plus vive.

Mais le cache joue dans les deux sens. Un nom obscur que personne n'a encore demandé exige toujours la chaîne complète de consultations, où que vive votre résolveur. Et la géographie est personnelle : le résolveur de votre fournisseur est peut-être à un petit saut de votre maison, tandis que l'instance anycast la plus proche route bizarrement depuis votre réseau particulier. J'ai vu les deux gagner. Mesurez avec votre propre navigation sur quelques jours, pas avec la foi.

Un mot sur les classements de vitesse des résolveurs, car vous les trouverez si vous cherchez. Les bancs d'essai mesurent la rapidité avec laquelle les résolveurs répondent à une liste de noms depuis votre connexion, et les résultats sont réels — pour ces noms, à cette heure, sur cette connexion. Ce qu'ils ne peuvent pas saisir, c'est votre usage réel. Les noms obscurs qu'un foyer demande vraiment commencent sans cache partout, et un résolveur qui gagne le banc d'essai à quelques millisecondes peut perdre votre mardi soir à cause d'une bizarrerie de routage que personne n'a mesurée. Servez-vous des classements pour départager, pas pour décider.

Une limite de portée de plus qu'il vaut mieux garder en tête : un résolveur n'aide jamais qu'à la première étape, la requête. Une fois que votre appareil possède une adresse et commence à parler à un site, le résolveur quitte complètement l'histoire — on ne le consulte plus avant l'expiration de la réponse mise en cache. Donc un flux lent, un appel qui peine, un téléchargement qui rampe : aucun de ces problèmes n'est un problème de DNS déguisé, et aucun résolveur, si rapide ou célèbre soit-il, n'y changera rien. Le blâme est un budget. Dépensez-le sur la couche qui est réellement lente.

Quand je ne changerais pas

• Un ordinateur portable de travail ou d'école. Ses réglages de résolveur peuvent relever d'une politique délibérée, et les noms internes — l'imprimante, le serveur de fichiers, l'intranet — ne se résolvent souvent que via le résolveur du bureau. Pointez-le ailleurs et les choses cassent mystérieusement.
• Un réseau derrière un portail captif. La danse de connexion des hôtels et des aéroports est déjà assez fragile ; envoyer vos requêtes vers un endroit inhabituel avant de vous être connecté peut la rendre plus étrange encore.
• Si vous comptez discrètement sur le filtrage familial ou anti-malware de votre fournisseur. Un résolveur public simple ne filtre pas. Changer peut supprimer une protection que vous aviez oubliée.
• Au milieu d'une panne que vous voulez faire réparer par votre fournisseur. Son assistance accusera, à juste titre, la seule chose que vous avez changée, et vous n'aurez rien à répondre.

Si rien de tout cela ne vous concerne et que vous voulez essayer, changer votre serveur DNS prend quelques minutes — faites-le d'abord sur un seul appareil, vivez avec pendant quelques jours, et gardez le routeur pour la fin.

Un homonyme à garder à part : l'application

Cherchez ces chiffres dans une boutique d'applications et vous trouverez une application du même opérateur, construite sur une technologie compagne qui fait quelque chose que le simple résolveur ne fait pas : elle fait passer le trafic d'un téléphone par le réseau de l'opérateur, ce qui est bien plus proche de ce que fait un VPN que d'un changement de résolveur. Réunir les deux sous une même marque crée une vraie confusion. Certains installent l'application en attendant « juste du DNS » et obtiennent un tunnel ; d'autres tapent les chiffres dans un écran de réglages en attendant un tunnel et n'obtiennent que du DNS. Ce sont des outils différents qui partagent par hasard un nom célèbre, alors décidez lequel des deux vous voulez vraiment avant d'installer ou de taper quoi que ce soit. Ma règle empirique : si vous avez tapé des chiffres dans un écran de réglages, vous avez changé de résolveur. Si vous avez installé quelque chose qui a demandé des autorisations VPN, vous avez installé un tunnel.

Mon installation actuelle est un compromis : le routeur de la maison pointe vers un résolveur public, l'ordinateur portable accepte ce que chaque réseau lui donne. Pas d'idéologie — juste l'arrangement qui a cassé le moins de choses. C'est le cadre honnête pour 1.1.1.1 dans son ensemble. Ces chiffres ne sont pas magiques, et ce n'est pas une arnaque non plus. C'est un choix sur qui répond à vos questions, fait par vous au lieu d'être fait par défaut.