Quels serveurs DNS traitent vos requêtes

Les adresses des serveurs sont analysées de notre côté à partir d'une base de données locale, ne sont jamais transmises et sont supprimées au bout de quelques minutes.

Ce que fait un serveur DNS

Les sites vivent à des adresses numériques, alors que les gens retiennent des noms. Un serveur DNS, aussi appelé résolveur, traduit l'un en l'autre. Quand vous ouvrez une page, vous lui demandez d'abord discrètement « quelle est l'adresse de ce nom », et ce n'est qu'ensuite que le navigateur se connecte au site.

Cela a une conséquence gênante : le résolveur voit la liste de tous les sites que vous ouvrez, même quand le contenu lui-même est chiffré. Ce n'est pas une fuite en soi, mais il importe de savoir qui se retrouve en possession de cette liste.

Pourquoi nous n'utilisons pas le service de quelqu'un d'autre

On ne peut pas inspecter les résolveurs depuis un navigateur : le navigateur n'indique jamais qui a répondu à sa requête. La seule façon de le savoir est de se placer de l'autre côté — en devenant le serveur faisant autorité pour une zone de domaine et en voyant qui vient poser la question.

Nous gérons donc notre propre serveur pour une telle zone. Envoyer le visiteur d'un service VPN vers un outil tiers qui collecterait ses résolveurs irait directement à l'encontre de ce que nous vendons.

Ce que signifie « itinéraires différents »

Si vous utilisez un VPN, le tunnel doit transporter non seulement vos connexions aux sites, mais aussi les résolutions de noms. Quand le trafic passe par le tunnel alors que les noms sont toujours demandés au serveur de votre fournisseur habituel, la situation est étrange : le contenu est caché, mais la liste des sites visités reste visible pour le même réseau qu'avant.

C'est précisément ce qui est comparé ici : le pays et le propriétaire du réseau de vos résolveurs avec le pays et le propriétaire du réseau de votre propre adresse. S'ils correspondent, l'itinéraire est unique. S'ils divergent, quelque chose le contourne. VPN désactivé, il n'y a généralement aucune divergence : le résolveur de votre fournisseur sur la connexion de votre fournisseur, c'est normal.

Pourquoi il peut y avoir plusieurs serveurs

Les grands fournisseurs exploitent un ensemble de résolveurs plutôt qu'un seul, et les requêtes sont réparties entre eux. C'est pourquoi la vérification demande plusieurs noms différents : un seul nom ne révélerait qu'une machine de l'ensemble.

Les noms sont volontairement uniques. Un nom répété recevrait une réponse depuis le cache et ne nous parviendrait jamais, alors qu'un nom nouveau oblige le résolveur à revenir vers nous. Pour la même raison, le résultat peut légèrement varier d'un lancement à l'autre.

Questions fréquentes