DNS filtrant : la protection réseau que personne ne configure mais que tout le monde devrait avoir

En atelier, une question revient souvent : ‘Depuis qu’on a parlé d’un sujet X près de nos téléphones, on reçoit pas mal de pubs le concernant. C’est l’IA qui nous écoute ?’ La réponse courte : non, ce sont les applications qui vous profilent via vos comportements, pas votre micro. Mais cette question en cache une autre, bien plus utile pour une entreprise : comment faire en sorte que quand quelqu’un de votre équipe clique sur un lien malveillant, il ne se passe rien ? C’est là qu’intervient le DNS filtrant, une couche de protection réseau discrète, efficace et disponible sans budget. Cet article explique le mécanisme et pourquoi votre PME y est exposée.

Le DNS : le carrefour obligatoire de tout votre trafic réseau

Chaque fois qu’un navigateur, une application ou un outil métier tente de joindre un service sur internet, il commence par poser une question : « Quelle est l’adresse de ce serveur ? ». C’est le rôle du DNS (Domain Name System), un annuaire qui traduit un nom de domaine lisible, comme monlogiciel.com, en adresse réseau exploitable par les machines.

Ce mécanisme est invisible, automatique et universel. Chaque requête passe par là, qu’il s’agisse d’ouvrir un email, de charger une page web ou de synchroniser un agenda. Par défaut, c’est votre opérateur internet (Orange, Bouygues, Free…) qui gère cet annuaire sans aucun filtrage.

La conséquence est simple : si un collaborateur clique sur un lien de phishing qui pointe vers un domaine malveillant, le DNS de l’opérateur résout l’adresse sans hésiter, la connexion s’établit et le piège s’actionne.

Ce que le DNS « voit » que votre antivirus ne voit pas

Un antivirus analyse les fichiers qui arrivent sur une machine. Il intervient après le clic, quand les données sont déjà en transit. Le DNS, lui, intervient avant : il répond à la question « où est ce serveur ? » avant même que la connexion soit établie.

C’est cette position en amont qui rend le filtrage DNS particulièrement efficace contre les domaines de phishing et les serveurs de commande utilisés par les malwares. Ces domaines sont souvent connus et répertoriés dans des bases publiques mises à jour en continu. Un DNS filtrant consulte cette liste à chaque requête. S’il trouve une correspondance, il répond simplement : « ce domaine n’existe pas ». La connexion ne s’établit jamais.

La nuance importante : le DNS filtrant ne bloque pas la réception d’un email de phishing. Il bloque la destination. Le mail arrive, mais si le collaborateur clique sur le lien, son appareil ne peut pas atteindre le serveur malveillant. Le piège est tendu MAIS il ne s’actionne pas.

Ce qu’un DNS filtrant bloque concrètement

Les bases de données de domaines malveillants couvrent trois grandes catégories, qui correspondent à trois types de menaces distinctes.

Domaines de phishing

Ce sont les adresses créées pour usurper l’identité d’un service légitime : fausse page de connexion bancaire, faux portail de messagerie, fausse interface de signature électronique. Ces domaines sont enregistrés pour quelques heures ou quelques jours, puis abandonnés. Ils sont détectés et intégrés aux listes de blocage en quelques heures après leur apparition.

Selon le Panorama de la cybermenace 2025 de l’ANSSI, les PME, TPE et ETI représentent 48 % des victimes de ransomware en France. Le phishing reste le premier vecteur d’entrée dans les systèmes, c’est par là que commence la grande majorité des incidents.

La CNIL confirme la tendance : 6 167 notifications de violations de données enregistrées en 2025 (+9,5% par rapport à 2024), soit un niveau record. Sa présidente le note explicitement, ces incidents “impliquent souvent des prestataires, plus vulnérables car de taille plus modeste” (Source : CNIL, rapport annuel 2025). La surface d’attaque ne se concentre pas sur les grandes entreprises.

Domaines de traceurs publicitaires

Ce sont les domaines utilisés par les régies publicitaires pour suivre le comportement de navigation. Le DNS filtrant les résout vers une adresse inexistante : les scripts de suivi ne se chargent pas, les données ne partent pas. C’est ce mécanisme qui réduit les publicités ciblées et qui répond, indirectement, à la question posée en atelier. Ce n’est pas l’IA qui écoute, ce sont des scripts de traçage qui collectent des données sur chaque page visitée. Couper leur résolution DNS coupe le signal à la source.

Serveurs de commande des malwares

Quand un logiciel malveillant s’installe sur une machine, il tente généralement de contacter un serveur externe pour recevoir des instructions ou exfiltrer des données. Ces serveurs ont eux aussi des domaines répertoriés. Un DNS filtrant les coupe avant même que la communication s’établisse, ce qui limite considérablement la capacité d’action du malware (même si la machine est déjà compromise).

Pourquoi les PME sont particulièrement exposées

Une grande entreprise dispose généralement d’une équipe IT qui configure des pare-feux, des proxies et des solutions de filtrage réseau. Une TPE ou PME de 10 à 50 personnes n’a pas ce luxe. Le routeur fourni par l’opérateur est configuré avec ses paramètres par défaut : DNS de l’opérateur, aucun filtrage, aucune journalisation.

C’est une réalité structurelle, pas une négligence. La question n’est pas de savoir si une PME devrait avoir une équipe sécu dédiée (elle ne peut pas), mais quelles mesures de base sont accessibles sans expertise particulière.

Le problème spécifique des appareils mobiles

Le filtrage DNS sur le routeur de bureau couvre tous les appareils connectés au réseau local (wifi ou filaire). Mais un téléphone professionnel qui bascule sur la 4G ou se connecte à un WiFi extérieur sort immédiatement de cette protection. Il retrouve le DNS de l’opérateur mobile, sans aucun filtrage.

C’est un angle mort fréquent : les commerciaux, les techniciens terrain, les dirigeants qui travaillent en déplacement sont exactement ceux qui consultent leur messagerie dans des contextes moins sécurisés et qui échappent au filtrage du réseau d’entreprise.

La réponse technique à ce problème existe : un VPN permanent sur les appareils mobiles, qui fait passer tout le trafic par le DNS filtrant de l’entreprise, quel que soit le réseau utilisé. C’est précisément ce que couvre l’article suivant, avec un exemple de mise en œuvre concret.

Une protection accessible sans budget

Le DNS filtrant n’est pas une technologie réservée aux grandes structures. Des solutions hébergées dans le cloud proposent des offres gratuites suffisantes pour une PME, avec des interfaces de configuration accessibles sans formation. D’autres peuvent être installées directement sur un serveur présent dans vos locaux, avec une maîtrise totale des données.

Dans les deux cas, la mise en place se résume à modifier un paramètre dans votre routeur : indiquer l’adresse du DNS filtrant à la place de celui de votre opérateur. Tous les appareils du réseau en bénéficient immédiatement, sans rien installer sur chaque poste.

Ce que ça change pour votre équipe

Un DNS filtrant correctement configuré ne demande aucune action aux utilisateurs. Personne n’a besoin d’installer quoi que ce soit, de changer ses habitudes ou de suivre une formation. La protection est transparente, elle fonctionne aussi bien pour le comptable qui clique vite sur ses emails que pour le commercial qui consulte sa messagerie depuis l’aéroport.

Ce qui change, c’est la résistance au clic. Le collaborateur peut recevoir un email de phishing convaincant, cliquer sur le lien : si le domaine est répertorié, son navigateur affiche une page d’erreur. Pas d’alerte dramatique, pas de blocage visible : juste une adresse qui ne répond pas.

C’est une couche de protection parmi d’autres. Elle ne remplace pas la sensibilisation des équipes ni le filtrage de la messagerie entrante, qui relève d’une logique différente et d’outils distincts. Mais elle couvre le moment où la sensibilisation n’a pas suffi, et c’est précisément là que les incidents se produisent.

Si vous n’avez pas de filtrage DNS sur votre réseau aujourd’hui, c’est probablement la mesure de sécurité avec le meilleur ratio effort/impact disponible sans budget.

Un exemple concret de déploiement (avec les outils utilisés, les captures de configuration et la couverture des mobiles via VPN) fait l’objet d’un article dédié .