Un nouveau risque de taille pour votre site Web… et comment l’éviter

Selon un article récent du parisien, les pirates sont décidément très créatifs, et le jeu du chat et de la souris vient de passer un nouveau cap. Cette fois-ci, ce sont les serveurs DNS qui en font les frais.

De quoi s’agit-il ? Ces serveurs permettent d’éviter de nous encombrer avec des adresses IP impossibles à mémoriser. En gros, ils jouent le rôle d’annuaire, et vont établir le lien entre votre nom de domaine (ex : tartempion.fr) et son adresse IP, c’est-à-dire l’adresse où se trouve physiquement le serveur qui l’héberge.

L’astuce consiste à modifier frauduleusement sur les serveurs DNS les adresses IP auxquelles ils renvoient, redirigeant ainsi des visiteurs confiants vers un faux site sur lequel il va vous arriver des choses peu agréables : détournement d’identifiants confidentiels, de coordonnées bancaires ou de moyens de paiement… C’est ce qu’on appelle le cache poisoning.

Alors comment dribler ces petits sauvageons ?

La parade s’appelle DNSSEC. Elle repose sur l’emploi d’une clé d’authentification, grâce à laquelle le navigateur d’assure automatiquement de la validité de l’adresse IP vers laquelle le serveur DNS l’envoie.

Concrètement, la mise en œuvre de ce dispositif n’a rien de sorcier. Il suffit pour résumer d’activer le paramètre correspondant dans la console d’administration de votre hébergement.

Il n’y a finalement que deux contraintes. D’abord que votre hébergeur supporte le DNSSEC. Si vous utilisez les services d’OVH, c’est le cas. Mais chaque hébergeur a toute latitude pour proposer ce service ou pas.

Enfin, si le prestataire hébergeant votre site n’est pas celui chez qui vous avez réservé le domaine (le registrar), il vous faudra mouiller un peu la chemise. Surtout, hébergeur et registrar devront chacun supporter DNSSEC.

Les procédures pouvant varier, étudiez soigneusement la question avant de vous lancer, faute de quoi vous risquez de rendre votre site totalement inaccessible. Faites-vous accompagner si nécessaire.

Toutefois, pas de panique, les grandes entreprises et les organismes publics forment les gros bataillons des cibles visées. Mais méfiance quand même, y compris en tant que simple visiteur.