Comment activer DNS over TLS (DoT) dans Windows 11

À mesure que l’internet évolue, les stratégies d’attaque deviennent elles aussi plus nuisibles et plus sophistiquées. C’est pourquoi le chiffrement du trafic DNS est indispensable pour renforcer la confidentialité en ligne et empêcher la surveillance non autorisée ou les attaques par usurpation DNS. Une des façons de le mettre en place consiste à activer DNS over TLS (DoT), un protocole DNS sécurisé qui chiffre le trafic du système de noms de domaine (DNS) via Transport Layer Security (TLS).

Windows 11 prend en charge nativement DNS over HTTPS (DoH) par une méthode basée sur le registre. Dans ce guide, nous passons en revue tout ce qu’il faut savoir pour activer DNS over TLS dans Windows 11 : les prérequis, les méthodes de configuration étape par étape et les moyens de vérifier que tout fonctionne correctement.

Prérequis

Avant de vous lancer, voici les prérequis que votre système doit remplir :

• Valable pour toutes les éditions de Windows 11 : ces étapes fonctionnent sur les éditions Windows 11 Home, Pro et Enterprise.
• Accès à des serveurs DNS compatibles DoT : vous devrez utiliser des fournisseurs DNS qui prennent en charge DNS over TLS, comme Quad9, Cloudflare ou NextDNS.
• Privilèges d’administrateur : cette méthode exige des droits d’administrateur.
• Build 25158 ou ultérieure requise : la fonction est prise en charge à partir de Windows 11 Insider Build 25158+ (son déploiement peut varier).

Par ailleurs, vous devez configurer votre carte réseau pour qu’elle utilise un serveur DNS compatible DoT. Voici comment procéder :

1. Appuyez sur la touche Windows + I pour ouvrir les Paramètres.
2. Rendez-vous dans Réseau et Internet.
   • Pour le Wi-Fi : Wi-Fi > votre réseau connecté > Propriétés du matériel
   • Pour l’Ethernet : Ethernet > Propriétés
3. Sous Attribution de serveur DNS, cliquez sur Modifier.
4. Passez en mode Manuel et activez IPv4.
5. Saisissez les adresses DNS de Quad9 :
   • DNS préféré : 9.9.9.9
   • DNS auxiliaire : 149.112.112.112
6. (Facultatif) Configurez l’IPv6 :
   • DNS préféré : 2620:fe ::fe
   • DNS auxiliaire : 2620:fe ::9
7. Répétez l’opération pour les entrées préférée et auxiliaire.
8. Cliquez sur Enregistrer et reconnectez votre réseau.

Une fois ce paramétrage effectué, vous pouvez passer à la méthode de l’Éditeur du registre pour imposer un DNS chiffré.

Étapes de configuration de DNS over TLS (DoT)

⚠️ Avertissement : modifier le registre peut provoquer des dysfonctionnements du système. Créez une sauvegarde avant de continuer.

💡 Remarque : aucune clé de registre ne permet de forcer un fonctionnement exclusivement en DoT. Cette méthode active le DNS chiffré et laisse le choix du protocole (DoT ou DoH) à Windows et au résolveur.

Pour configurer DNS over TLS (DoT) dans Windows 11, vous pouvez utiliser l’Éditeur du registre. Cette méthode convient surtout aux utilisateurs expérimentés et aux administrateurs informatiques qui gèrent plusieurs systèmes.

Voici les étapes à suivre :

1. Ouvrez l’Éditeur du registre :
   • Appuyez sur la touche Windows + R, tapez regedit, puis appuyez sur Entrée.
2. Accédez aux paramètres du client DNS :
   • Rendez-vous à l’emplacement suivant : HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters
3. Créez ou modifiez les entrées du résolveur :
   • Lors de cette étape, vous allez configurer des valeurs de registre qui indiquent à Windows d’utiliser le DNS chiffré. Microsoft ne propose pas de paramètre de registre dédié uniquement au DoT, mais ces valeurs imposent un comportement DNS chiffré. Windows négociera soit DoT, soit DoH, selon ce que prend en charge le serveur DNS indiqué. Voici comment faire :
     • Ajoutez la clé DoHServerList. Faites un clic droit dans le volet de droite et choisissez Nouveau > Valeur chaîne.
     • Nommez-la : DoHServerList
     • Double-cliquez dessus et saisissez l’URL d’un résolveur sécurisé, par exemple : https://dns.quad9.net/dns-query
     • Ajoutez la clé DoHPolicy. Faites un clic droit dans le volet de droite et choisissez Nouveau > Valeur DWORD (32 bits).
     • Nommez-la : DoHPolicy
     • Double-cliquez dessus et attribuez-lui la valeur 2

Ce paramètre impose une résolution DNS chiffrée (DoH ou DoT, selon ce qui est pris en charge).

Vérifier que DNS over TLS fonctionne

Après avoir configuré un résolveur DNS sécurisé, confirmez que DNS over TLS est bien actif. Deux méthodes s’offrent à vous :

Méthode 1 : la plus simple, nslookup

Le moyen le plus simple de confirmer que DNS over TLS est actif consiste à lancer un test de résolution rapide :

1. Appuyez sur la touche Windows, tapez cmd et ouvrez l’invite de commande.
2. Exécutez la commande suivante :

nslookup google.com

3. Si le DoT est correctement configuré, votre serveur DNS sécurisé doit apparaître en haut du résultat. Par exemple :

Server: dns9.quad9.net

Address: 9.9.9.9

Si le résultat affiche le résolveur compatible DoT que vous avez configuré (par exemple Quad9, Cloudflare ou NextDNS), le DNS chiffré fonctionne.

Méthode 2 : vérification avancée avec netstat, Wireshark et PowerShell

Pour vous assurer plus précisément que c’est bien le DoT (et non le DoH ou le DNS en clair) qui est utilisé, vous pouvez également procéder ainsi :

1. Appuyez sur la touche Windows pour ouvrir le menu Démarrer, puis tapez PowerShell. Cliquez sur PowerShell.
2. Exécutez la commande suivante : Get-DnsClientDohServerAddress. Elle affiche la liste des serveurs DNS chiffrés configurés sur votre système.
   • Si votre résolveur compatible DoT/DoH (par exemple Quad9, Cloudflare ou NextDNS) apparaît dans le résultat, le DNS chiffré est actif.
   • Si aucune entrée n’est listée, ou si seuls des résolveurs en clair apparaissent, la configuration n’a pas été appliquée correctement.
3. Pour confirmer que c’est bien le DoT (et non le DoH ou le DNS en clair) qui est utilisé, vous pouvez recourir à netstat afin de repérer les connexions sortantes sur le port 853, réservé à DNS over TLS.
   • Exécutez la commande suivante : netstat -an | findstr :853
   • Si vous voyez des entrées indiquant une connexion ESTABLISHED vers votre serveur DNS sur le port 853, le DoT est actif.
4. Vous pouvez également utiliser Wireshark ou netstat pour confirmer la présence de trafic DNS chiffré sur le port 853 (pour le DoT).
   • Ouvrez Wireshark et lancez une capture sur votre interface réseau active.
   • Dans la barre de filtre, saisissez : tcp.port == 853
   • Seul le trafic DNS over TLS s’affiche alors. Si vous voyez des paquets à destination ou en provenance du serveur DNS que vous avez configuré (par exemple 9.9.9.9), cela confirme que le DoT est bien utilisé.
5. Vous pouvez aussi consulter les diagnostics de votre résolveur DNS depuis un navigateur après la configuration.

⚠️ Points de vigilance

L’intérêt de DNS over TLS

Plusieurs raisons expliquent pourquoi DNS over TLS est devenu incontournable. En voici quelques-unes :

• Protéger le DNS : en chiffrant les requêtes DNS, le DoT met les requêtes des terminaux à l’abri de l’écoute et de la manipulation.
• Renforcer la confidentialité de la résolution DNS sur les terminaux : le DoT garantit que les requêtes de domaines ne peuvent pas être facilement suivies.
• Sécuriser les communications DNS : DNS over TLS impose une protection des communications là où l’interception DNS est la plus probable, notamment dans les environnements d’entreprise et sur les réseaux publics.
• Respecter les politiques de sécurité actuelles : certains secteurs, cadres réglementaires ou références de configuration de sécurité recommandent ou exigent des protocoles DNS chiffrés.

Autres points à prendre en compte

Voici quelques éléments à considérer avant d’activer DNS over TLS (DoT) :

• Port TCP 853 : le DoT utilise le port 853 ; assurez-vous qu’il n’est pas bloqué par des pare-feu ou des politiques réseau. Si vous utilisez le Pare-feu Windows Defender, vous devrez peut-être autoriser les connexions TCP sortantes sur le port 853 via Pare-feu Windows Defender avec fonctions avancées de sécurité.
• Désactiver le repli vers le DNS en clair : Fallback : -AllowFallbackToUdp $false garantit qu’aucun DNS en clair n’est utilisé si le chiffrement échoue.
• Tunnel fractionné et VPN : le DNS chiffré peut entrer en conflit avec les paramètres DNS imposés par les VPN d’entreprise.
• Limites des stratégies de groupe : la prise en charge native du DoT par GPO est limitée. Pour un déploiement en entreprise, le recours à des scripts est recommandé.

Activer DNS over TLS (DoT) dans Windows 11

À l’heure des intrusions en ligne et des cyberattaques sophistiquées, activer DNS over TLS constitue une défense précieuse pour améliorer la confidentialité de votre système. Cette approche chiffre le trafic DNS et réduit le risque d’interception ou d’usurpation. La configuration n’est pas directement accessible depuis une interface graphique, mais le DoT peut être paramétré par des modifications du registre. Vous pouvez confirmer la réussite de la configuration avec PowerShell ou une capture réseau montrant l’utilisation du port 853 (DoT).

Sujets connexes :

• Qu’est-ce que le DNS ? Définition et fonctionnement
• Comment configurer un serveur DNS : guide étape par étape
• Qu’est-ce qu’un handshake TLS et comment fonctionne-t-il ?
• Qu’est-ce que le HTTPS ?