DNS Security : comment protéger la résolution de noms de domaine de votre PME

Le DNS (Domain Name System) est souvent comparé à l’annuaire téléphonique d’Internet : il traduit un nom de domaine lisible par un humain, comme celui de votre site ou de votre messagerie, en une adresse IP compréhensible par les machines. Ce service tourne en arrière-plan de chaque navigation, chaque email envoyé, chaque connexion à un outil cloud, sans que personne n’y prête attention, jusqu’au jour où il est détourné. Un DNS compromis peut rediriger silencieusement vos collaborateurs vers un faux portail bancaire, exfiltrer des données par un canal que personne ne surveille, ou permettre à un tiers malveillant de se faire passer pour votre entreprise auprès de vos clients.

Cet article explique ce qu’est le DNS et pourquoi il constitue une surface d’attaque sous-estimée par la plupart des PME, les menaces concrètes qui le visent, ce que prévoit la réglementation NIS2 à ce sujet, l’architecture recommandée par l’ANSSI, les protocoles de protection à connaître, un comparatif des solutions disponibles, et la question, trop souvent ignorée, de savoir à qui vous confiez réellement la résolution de vos noms de domaine.

Qu’est-ce que le DNS et pourquoi sa sécurité est critique pour votre PME ?

Lorsqu’un collaborateur saisit l’adresse de votre messagerie professionnelle ou d’un outil métier dans son navigateur, une chaîne de résolution se déclenche en quelques millisecondes : le poste interroge un résolveur DNS, qui interroge à son tour les serveurs racine, puis les serveurs du domaine de premier niveau (.fr, .com), puis enfin le serveur faisant autorité pour le domaine demandé, qui renvoie l’adresse IP réelle du service visé. Ce mécanisme, conçu dans les années 1980, n’intégrait à l’origine aucun mécanisme d’authentification de l’origine des réponses : un serveur DNS classique accepte par défaut la première réponse qui lui parvient, sans pouvoir vérifier qu’elle provient bien du bon serveur. C’est précisément cette conception héritée qui fait du DNS une cible de choix, plus de quarante ans après sa création.

Selon une étude IDC portant sur les menaces DNS dans le monde, 80 % des organisations considèrent aujourd’hui la sécurité DNS comme un élément critique de leur posture de cybersécurité globale. Ce chiffre illustre un paradoxe : le DNS conditionne le fonctionnement de tous les autres systèmes (navigation web, livraison des emails, mises à jour logicielles, connexions aux applications cloud), mais il reste rarement audité par les PME avec la même rigueur qu’un pare-feu ou qu’un antivirus. Un compromis sur le DNS n’affecte donc jamais un seul service : il affecte silencieusement tout ce qui en dépend.

Les principales menaces qui visent le DNS de votre PME

Les attaques contre le DNS prennent des formes très différentes, allant de la redirection silencieuse au canal d’exfiltration invisible, en passant par l’usurpation pure et simple de votre identité numérique.

DNS spoofing et cache poisoning : rediriger vos utilisateurs à leur insu

L’empoisonnement de cache DNS consiste, pour un attaquant, à injecter une fausse réponse dans le cache d’un résolveur en devinant ou en forçant par force brute l’identifiant de transaction et le port source attendus par ce résolveur, une technique popularisée sous le nom d’attaque Kaminsky. Si la réponse falsifiée, contenant une adresse IP malveillante, arrive avant la réponse légitime, le résolveur la met en cache et la sert ensuite à tous les utilisateurs qui en dépendent, jusqu’à expiration du cache. Concrètement, un collaborateur qui saisit correctement l’adresse de son webmail ou de sa banque peut se retrouver redirigé vers un serveur pirate, sans qu’aucune faute de frappe ni aucun lien suspect ne soit en cause : l’adresse tapée est la bonne, seule la destination réelle a changé.

DNS tunneling : exfiltrer des données par un canal invisible

Le DNS tunneling consiste à encoder des données qui n’ont rien à voir avec de la résolution de noms à l’intérieur de requêtes et de réponses DNS, en les dissimulant dans des sous-domaines ou des enregistrements TXT. Cette technique permet à un attaquant de faire transiter des communications de commande et de contrôle, ou d’exfiltrer directement des fichiers internes, des identifiants ou d’autres données confidentielles, le tout ressemblant à s’y méprendre à du trafic de résolution de noms parfaitement normal dans les journaux réseau. La raison pour laquelle cette technique reste efficace est presque ironique : parce que le DNS est indispensable au fonctionnement du réseau, la plupart des organisations appliquent des règles de pare-feu très permissives sur ce trafic, là où elles filtreraient strictement n’importe quel autre protocole. Des éditeurs spécialisés comme Cisco Umbrella, Infoblox ou Palo Alto Networks ont développé des moteurs d’apprentissage automatique dédiés à la détection de ces schémas de requêtes anormaux, signe que le sujet est pris au sérieux par l’ensemble de l’industrie de la sécurité réseau.

Une variante répandue chez les logiciels malveillants les plus sophistiqués consiste à utiliser un algorithme de génération de domaines (DGA), capable de produire chaque jour des milliers de noms de domaine différents pour joindre son serveur de commande, rendant inefficace tout blocage reposant sur une simple liste noire statique.

Typosquatting et détournement de noms de domaine : le cas Groupama

Le typosquatting consiste à enregistrer une variante orthographique proche du nom de domaine d’une entreprise afin de capter les internautes qui commettent une faute de frappe, ou de les tromper délibérément dans le cadre d’une campagne de phishing. L’affaire Groupama, tranchée en octobre 2024, illustre bien l’ampleur que peut prendre le phénomène : 39 variations du nom de la marque centenaire, comme « Broupama » ou « Froupama », avaient été enregistrées avant d’être bloquées par décision judiciaire. Autre exemple documenté par l’AFNIC, l’organisme gestionnaire des noms de domaine en .fr : en 2022, un seul acteur opérant depuis l’Indonésie avait enregistré 967 noms de domaine en .fr usurpant des organisations et entreprises françaises, avec des variantes ciblant aussi bien des enseignes commerciales que des services publics. Sur la seule année 2025, l’AFNIC a traité plus de 1 200 litiges liés à des noms de domaine, en hausse de 18 % par rapport à l’année précédente.

Pour une PME, la conséquence directe est double : des clients ou des fournisseurs peuvent être trompés par un domaine qui ressemble au vôtre à un caractère près, et votre propre marque peut se retrouver associée à une campagne de phishing que vous n’avez jamais menée. Le typosquatting utilisé à des fins de phishing peut d’ailleurs constituer une escroquerie et une usurpation d’identité au sens du droit pénal français, passibles de sanctions allant jusqu’à cinq ans d’emprisonnement et 375 000 euros d’amende pour la contrefaçon de marque associée.

NIS2 : pourquoi les fournisseurs DNS et vos propres pratiques sont concernés ?

La directive NIS2 traite le DNS avec une rigueur particulière : les fournisseurs de services DNS et les registres de noms de domaine de premier niveau figurent explicitement parmi les catégories d’entités couvertes, et ce quelle que soit leur taille, contrairement à la plupart des autres secteurs où un seuil d’effectifs ou de chiffre d’affaires conditionne l’application de la directive. Le règlement d’exécution européen 2024/2690 précise même des mesures techniques minimales spécifiques applicables à ces fournisseurs.

Pour une PME qui n’est pas elle-même fournisseur de DNS mais qui entre dans le champ de la directive à un autre titre, la sécurité de sa propre résolution de noms de domaine relève directement de plusieurs des dix catégories de mesures de gestion des risques imposées par l’article 21 de NIS2, notamment la sécurité des réseaux et des systèmes d’information, la cryptographie, et l’hygiène informatique de base. Notre guide de mise en conformité NIS2 pour PME détaille l’ensemble de ces obligations et le plan d’action associé.

L’architecture DNS sécurisée recommandée par l’ANSSI

L’ANSSI a publié en juillet 2024 un guide de référence, les « Recommandations relatives aux architectures des services DNS », qui structure sa doctrine autour de deux principes de séparation. Le premier consiste à isoler la résolution DNS interne, celle qui sert votre annuaire d’entreprise et vos applications internes, de la résolution DNS générale vers Internet, plutôt que de faire reposer les deux fonctions sur le même serveur. Le second consiste à séparer le rôle de résolveur, qui interroge le reste d’Internet pour le compte de vos utilisateurs, du rôle de serveur faisant autorité, qui répond pour le compte de votre propre nom de domaine : un serveur qui cumule les deux rôles multiplie inutilement la surface d’attaque et le risque qu’une compromission touchant l’un affecte immédiatement l’autre.

Cette logique de cloisonnement rejoint directement les principes détaillés dans notre article sur la segmentation réseau pour PME : le DNS mérite d’être traité comme une zone à part entière dans votre architecture, et non comme un service annexe hébergé par défaut sur le même serveur que le reste de l’infrastructure.

DNSSEC, DoH, DoT : comprendre ces trois protections complémentaires

Ces trois sigles reviennent constamment dès qu’il est question de sécurité DNS, mais ils répondent chacun à une menace différente, et aucun ne remplace les deux autres.

• DNSSEC (Domain Name System Security Extensions) ajoute une signature cryptographique aux enregistrements DNS, permettant à un résolveur de vérifier que la réponse reçue provient bien du serveur légitime et n’a pas été altérée en chemin. C’est la protection recommandée en priorité par l’AFNIC pour contrer les attaques d’empoisonnement de cache, mais elle ne chiffre pas la requête elle-même : elle en garantit l’authenticité, pas la confidentialité
• DoH (DNS over HTTPS) et DoT (DNS over TLS) chiffrent le trajet de la requête DNS entre le poste de l’utilisateur et le résolveur, empêchant un tiers positionné sur le réseau d’observer ou de manipuler cette requête en transit. Ces protocoles protègent la confidentialité de l’échange, mais ne garantissent en rien que le résolveur de destination renvoie lui-même une réponse authentique

Le compromis recommandé par l’ANSSI, et qui reste réellement applicable en exploitation, consiste à chiffrer via DoH ou DoT le trajet entre le poste de travail et le résolveur interne de l’entreprise, tout en gardant ce trafic en clair et journalisé une fois à l’intérieur du périmètre maîtrisé, pour conserver une visibilité complète à des fins de sécurité et de dépannage. En sortie vers Internet, la validation des signatures DNSSEC doit ensuite être activée sur ce même résolveur. Chiffrement du transport et validation de l’authenticité répondent à deux menaces distinctes : renoncer à l’un des deux revient à rester exposé à la menace qu’il aurait couverte.

Comparatif des solutions de sécurité DNS pour PME

Le marché propose des approches très différentes selon que vous cherchez un résolveur alternatif simple, une plateforme de filtrage avancée, ou un hébergeur pour votre propre zone DNS.

Pour une petite structure, activer DNSSEC chez son registrar et basculer vers un résolveur filtrant comme DNS4EU représente déjà un progrès mesurable, sans investissement ni compétence technique particulière. Les plateformes de type Cisco Umbrella ou Infoblox prennent tout leur sens à partir du moment où l’entreprise gère plusieurs sites, des collaborateurs nomades, ou souhaite une détection comportementale avancée des schémas d’exfiltration.

Souveraineté : à qui confiez-vous la résolution de vos noms de domaine ?

Chaque requête DNS émise par votre entreprise révèle, à qui l’observe, une information sensible : quels domaines vos systèmes et vos collaborateurs contactent, à quelle fréquence, et à quel moment. Utilisée par défaut sur la plupart des équipements, une résolution confiée à Google Public DNS ou à Cloudflare place cette télémétrie entre les mains d’entreprises américaines, potentiellement soumises au CLOUD Act, cette loi de 2018 qui autorise la justice des États-Unis à réquisitionner des données détenues par une société américaine où qu’elles soient hébergées dans le monde. Notre guide sur la cybersécurité souveraine pour PME détaille les implications concrètes de cette exposition juridique.

DNS4EU change concrètement la donne sur ce point précis : disponible publiquement depuis juin 2025, financé à hauteur de 14 millions d’euros par la Commission européenne, ce résolveur public est hébergé sur des serveurs répartis dans au moins quatorze États membres et opéré par un consortium européen de spécialistes de la cybersécurité. Les données des utilisateurs y restent en Europe, dans le respect du RGPD, sans exploitation commerciale, ce qui en fait une alternative directement disponible et gratuite pour toute PME française souhaitant réduire sa dépendance aux résolveurs américains sans complexité technique.

Pour la gestion de votre propre nom de domaine et de sa zone DNS, l’hébergement compte tout autant que la résolution. Un acteur suisse comme Infomaniak, indépendant des grands groupes américains, permet de conserver la gestion de votre zone DNS hors du périmètre du CLOUD Act, tout en offrant une interface de gestion pensée pour des équipes non spécialisées.

Ce raisonnement s’applique de la même manière à l’ensemble de votre écosystème réseau, jusqu’aux équipements eux-mêmes, comme le détaille notre guide sur les solutions SASE pour PME, dont la sécurité DNS constitue justement l’une des briques constitutives, aux côtés du filtrage web et du contrôle d’accès réseau.

La checklist pour sécuriser le DNS de votre PME

Avant de refermer cet article, vérifiez que chacun des points suivants est bien en place dans votre PME.

• DNSSEC est activé sur votre propre nom de domaine auprès de votre registrar
• Votre résolution DNS interne est séparée de votre résolution DNS vers Internet
• Le rôle de résolveur et le rôle de serveur faisant autorité ne reposent pas sur le même équipement
• Le trafic DNS entre les postes et le résolveur interne est chiffré via DoH ou DoT
• Un verrou de registre (type FR-LOCK pour les domaines en .fr) protège vos noms de domaine les plus critiques contre un transfert non autorisé
• Les informations WHOIS associées à vos noms de domaine sont exactes et à jour
• Vous surveillez périodiquement l’enregistrement de variantes typosquattées de votre marque
• Votre trafic DNS est journalisé et analysé pour détecter des schémas anormaux évoquant du tunneling ou un DGA
• Vous savez précisément où sont hébergés et par qui sont exploités le résolveur et la zone DNS que vous utilisez

Chaque nouvel outil SaaS ou service d’intelligence artificielle intégré à votre entreprise nécessite en général la création d’un enregistrement DNS de vérification, de type TXT ou CNAME. Sans gouvernance claire de ces ajouts, leur nombre s’accumule au fil des années sans être jamais nettoyé, élargissant inutilement la surface d’attaque de votre zone DNS. Le générateur de charte IA de SIAC Media permet de cadrer gratuitement l’intégration de ces nouveaux outils, DNS compris, et un premier diagnostic via l’Audit Cyber PME de SIAC Media permet d’objectiver rapidement votre exposition globale avant d’aller plus loin.

Conclusion

Le DNS reste l’un des services les moins visibles et les plus rarement audités de l’infrastructure d’une PME, alors même qu’il conditionne le bon fonctionnement de tous les autres. Empoisonnement de cache, tunneling utilisé pour l’exfiltration, typosquatting exploitant votre propre marque : ces menaces ne relèvent pas de la science-fiction mais de techniques documentées et couramment observées, y compris contre des entreprises françaises. Activer DNSSEC, séparer clairement résolution interne et résolution Internet, chiffrer le trafic entre vos postes et votre résolveur, et choisir en connaissance de cause qui héberge concrètement votre zone DNS constituent des mesures accessibles, y compris pour une structure sans équipe technique dédiée.

Pour objectiver votre exposition actuelle, l’outil gratuit Audit Cyber PME de SIAC Media permet d’obtenir un diagnostic en quelques minutes, et notre guide complet de la cybersécurité pour PME en 2026 ainsi que notre panorama complet des technologies IA en cybersécurité pour PME approfondissent chacun des sujets abordés ici pour structurer durablement la sécurité de votre infrastructure réseau.