Qu'est-ce que 8.8.8.8 ? L'adresse que tout le monde tape et que peu comprennent

Il y a des adresses qu'on n'oublie jamais. J'ai tapé 8.8.8.8 dans des routeurs rangés dans des placards de bureau, dans des portables sur le Wi-Fi d'un hôtel, dans des serveurs à deux heures du matin pendant qu'un client attendait au téléphone. C'est le numéro vers lequel les gens des réseaux se tournent quand la résolution de noms casse, et il fonctionne assez souvent pour que beaucoup le règlent une fois et ne se demandent jamais vers quoi ils viennent de pointer leur trafic.

Alors posons la question. 8.8.8.8 n'est pas un site web, et ce n'est pas un serveur que vous visitez. C'est la porte d'entrée de Google Public DNS, un service de résolution récursive que Google met à la disposition de tous, gratuitement. Son adresse sœur, 8.8.4.4, ouvre la même porte.

Un résolveur pose les questions à votre place

Chaque appareil a besoin d'un résolveur récursif. Quand vous tapez un nom comme example.com, quelque chose doit traquer la réponse : demander à la racine, demander aux serveurs de premier niveau, demander aux serveurs de noms du domaine lui-même, et rapporter une adresse IP. Cette traque, c'est tout le travail du résolveur. Ce qu'est un serveur DNS sépare proprement les rôles, parce que « serveur DNS » sert à désigner trois métiers différents.

Par défaut, vous utilisez le résolveur de votre fournisseur d'accès, attribué en silence quand vous vous connectez. Pointez vos réglages vers 8.8.8.8 et la traque change de mains : vos requêtes partent désormais vers le service de Google, et ce sont les machines de Google qui marchent et qui mettent en cache. Les sites que vous visitez ne voient aucune différence. Seul l'intermédiaire a changé.

Une adresse, beaucoup de villes : comment fonctionne l'anycast

Voici la partie qui surprend. Il n'existe pas une machine unique portant l'adresse 8.8.8.8. La même adresse est annoncée depuis des installations de Google partout dans le monde, une technique appelée anycast. Votre requête atterrit simplement sur le site que le routage de votre réseau atteint au plus près et au moindre coût — c'est-à-dire, le plus souvent mais pas toujours, le plus proche géographiquement.

L'anycast achète deux choses. La première, c'est la vitesse : une requête répondue sur votre propre continent évite le long voyage vers un autre. La deuxième, c'est la résilience. Si un site tombe ou subit une attaque, le routage se déplace et la même adresse se met à répondre depuis ailleurs. Personne n'a de réglage à changer, et la plupart des utilisateurs ne remarquent même pas une panne qui, sur un service à machine unique, aurait été on ne peut plus visible.

Les versions longues : les adresses IPv6

Tout ce qui précède concernait IPv4. Le même service répond aussi sur des adresses IPv6 — 2001:4860:4860::8888 et sa jumelle qui se termine par ::8844 —, qui accomplissent le même tour de mémoire à l'intérieur d'une chaîne bien plus longue. Sur une connexion IPv6, ne configurer que les quatre fameux huit peut laisser un trou : certains appareils utilisent alors discrètement le résolveur IPv6 du fournisseur en parallèle, ce qui partage vos requêtes entre deux services et fausse chaque comparaison que vous menez. Si un écran de réglages propose les deux familles d'adresses, remplissez les deux, sinon vous n'aurez fait que la moitié du travail que vous croyiez avoir fait.

Pourquoi cette adresse est devenue la célèbre

En partie à cause du numéro lui-même : quatre huit sont impossibles à mal retenir, et la deuxième adresse du service en remplace un par un quatre. En partie par habitude. Depuis des années, les scripts de support et les réponses de forums utilisent 8.8.8.8 comme adresse de test : faites-lui un ping, et si elle répond, votre connexion fonctionne et la panne vient probablement du DNS. L'adresse est devenue célèbre parce qu'elle était un résolveur, puis on l'a utilisée comme résolveur parce qu'elle était célèbre. J'ai rencontré des administrateurs qui la réglaient sur chaque machine qu'ils possédaient sans pouvoir dire à qui appartenait le service. C'était juste « l'adresse DNS », comme un photocopieur devient un Xerox.

Ce que le service apprend de vous

Un résolveur voit beaucoup de choses. Chaque requête que vous faites révèle un nom qui vous intéressait et l'adresse depuis laquelle vous l'avez faite. Passer à 8.8.8.8 ne supprime pas cette exposition ; elle la déplace, des journaux de votre fournisseur vers ceux de Google. Choisir un résolveur, c'est en réalité choisir entre quelles mains ce registre repose, et cela vaut la peine d'être honnête avec soi-même à ce sujet.

Google publie la manière dont il traite ces données, et la forme générale est la suivante : les journaux complets de requêtes ne sont conservés que temporairement, pour le dépannage et la sécurité, et les données gardées plus longtemps sont agrégées et débarrassées des détails qui relient les requêtes à une personne. Lisez la politique actuelle avant de vous fier à mon résumé, toutefois. Les politiques changent, et un résumé n'est jamais le document lui-même.

Les portes chiffrées : DoH et DoT

La manière classique d'atteindre 8.8.8.8 est le DNS simple, qui voyage sans chiffrement : quiconque se trouve sur le chemin peut lire vos requêtes et, en principe, falsifier les réponses. Le service répond aussi via des transports chiffrés — DNS over HTTPS et DNS over TLS — qui enveloppent les mêmes questions pour que le chemin ne puisse plus les voir. DNS over HTTPS expliqué détaille le fonctionnement de cet enveloppement et ce qu'il change.

Le chiffrement change qui peut regarder, pas qui répond. Le résolveur voit toujours tout ; le réseau du café et chaque saut entre vous et Google ne le peuvent plus. Que l'échange vous convienne dépend de celui de ces observateurs qui vous inquiète le plus.

Le videur derrière les réponses : la validation

Le service a un second travail que personne n'inscrit sur la boîte. Pour les domaines protégés par DNSSEC — des signatures cryptographiques qui prouvent qu'une réponse vient vraiment des serveurs du domaine lui-même —, les résolveurs de Google vérifient ces signatures à votre place. Si la vérification échoue, vous ne recevez pas la réponse falsifiée ou cassée ; vous recevez une erreur. Depuis votre fauteuil, cela peut ressembler à un site web qui disparaît au hasard, alors qu'en réalité le résolveur a repéré un désaccord entre les signatures du domaine et ses enregistrements : le plus souvent une mauvaise configuration du site lui-même, parfois quelque chose de pire que l'on refuse à la porte.

C'est important pour le travail quotidien de l'adresse comme dépanneuse. Si 8.8.8.8 signale qu'un nom échoue alors que le résolveur de votre fournisseur renvoie joyeusement une adresse pour ce nom, la validation est la première suspecte : le résolveur public vérifie des signatures que le plus laxiste ignore. Le site n'est pas sélectivement en panne. Il est sélectivement vérifié — et le savoir transforme une incohérence déroutante en diagnostic.

Les compromis, honnêtement

Je recommande souvent ce service, mais jamais automatiquement. Ce que vous obtenez, et ce que vous abandonnez, ressemble à ceci :

• Cohérence : le même résolveur se comporte de la même façon sur votre réseau domestique, votre téléphone et le réseau d'un hôtel à l'étranger, ce qui élimine toute une catégorie de mystères « ça marche ici, ça casse là ».
• Maintenance : les grands résolveurs publics sont corrigés et surveillés jour et nuit. Le résolveur négligé d'un fournisseur — et certains le sont beaucoup — ne l'est peut-être pas.
• Centralisation : vos requêtes rejoignent l'un des plus gros flux de requêtes de la planète, détenu par une entreprise de publicité. La politique publiée est sobre, mais la concentration elle-même est une chose qu'il est légitime de ne pas aimer.
• Réponses locales : certains réseaux de contenu devinent votre position à partir de celle de votre résolveur. Un résolveur anycast mondial peut parfois vous valoir un serveur de contenu plus éloigné que celui que le résolveur local de votre fournisseur vous aurait donné.
• Filtrage : si le résolveur de votre fournisseur bloque discrètement les domaines malveillants connus, un résolveur public neutre ne fera pas ce travail à votre place.

Découvrez ce que vous utilisez en ce moment

Curieux de savoir si un appareil pointe déjà vers 8.8.8.8 ? Vérifiez avant de changer quoi que ce soit :

1. 1

   Vérifiez les réglages DNS de l'appareil

   Ouvrez les réglages réseau de la connexion que vous utilisez et regardez les champs de serveur DNS. S'ils se remplissent automatiquement, le résolveur vient de votre routeur ou de votre fournisseur, et cet appareil n'a pas d'avis propre.

2. 2

   Vérifiez aussi le routeur

   Beaucoup de routeurs domestiques distribuent leur propre adresse et transmettent eux-mêmes les requêtes plus haut. Le résolveur qui fait le vrai travail vit peut-être là, et non sur votre appareil ; voilà pourquoi changer un seul portable ne change parfois rien.

3. 3

   Demandez directement au système

   Lancez une requête avec un outil en ligne de commande et lisez la ligne du serveur dans sa sortie, ou comparez les réponses dans l'outil de recherche DNS. Une requête répondue par le service public de Google le dira clairement.

4. 4

   Changez-le délibérément, si vous le changez

   Comment changer votre serveur DNS couvre les réglages sur chaque plateforme, y compris la saisie de 8.8.8.8 comme première adresse et de 8.8.4.4 comme deuxième, pour qu'une panne d'un chemin n'emporte pas vos requêtes.

À propos de ce test de ping

Parce que l'adresse est célèbre, elle s'est trouvé une seconde carrière : être la chose à laquelle les gens envoient un ping pour tester si « l'internet fonctionne ». Traitez ce rituel avec prudence. Un ping prouve qu'un paquet peut atteindre quelque chose qui répond aux pings. Il ne dit rien sur le fonctionnement de la résolution de noms — précisément ce à quoi cette adresse sert. J'ai vu des gens lui envoyer un ping avec succès, déclarer la connexion saine, puis rester perplexes devant un navigateur incapable de résoudre le moindre nom.

Le test le plus propre est celui pour lequel le service a été conçu : posez-lui une question. Recherchez un nom de confiance via 8.8.8.8, puis via votre résolveur habituel, et comparez les réponses. Si elles concordent, la résolution est saine. Si elles diffèrent, vous savez où creuser. L'accessibilité est une sonnette ; une requête est une conversation, et une seule des deux teste ce qui compte vraiment pour vous.

Voilà tout ce qu'est 8.8.8.8 : un intermédiaire très bon et très public. Savoir ce qu'un intermédiaire fait — et ce qu'il voit —, c'est la différence entre configurer un réseau et simplement taper un numéro qu'on vous a donné.