Filtrage DNS pour les écoles et les bibliothèques

Le filtrage DNS pour les écoles et les bibliothèques bloque les sites dangereux et malveillants lors de la recherche DNS, avant même qu'une connexion ne s'ouvre. Il couvre tous les appareils connectés à votre WiFi, sans agents ni nouveau matériel. Pour résister au contrôle, il doit également bloquer le contournement par DNS chiffré, verrouiller le mode Safe Search sur Google, Bing et YouTube, et produire des rapports que votre responsable de la protection des mineurs peut fournir comme preuves.

Qu'est-ce que le filtrage DNS pour les écoles et les bibliothèques ?

Chaque connexion web commence par une recherche DNS. Un appareil demande à un résolveur de convertir un nom de domaine en adresse IP. Le filtrage DNS ajoute une vérification de stratégie à cette réponse. Si le domaine appartient à une catégorie bloquée ou présente un signal de menace, le résolveur ne fournit pas la véritable adresse. Le navigateur n'ouvre jamais la connexion, ce qui empêche le contenu, le logiciel malveillant ou la publicité de se charger.

Un résolveur qui exécute cette fonction est appelé un DNS protecteur. Sur le réseau d'une école ou d'une bibliothèque, il remplit trois fonctions simultanément :

• Il applique votre politique de filtrage de contenu.
• Il bloque les domaines de phishing et de logiciels malveillants.
• Il verrouille les moteurs de recherche dans leur mode sécurisé.

Où s'effectue le filtrage, et que manque un pare-feu ?

Le filtrage s'effectue lors de la recherche, avant que l'appareil ne dispose d'une adresse à laquelle se connecter. Un pare-feu intervient plus tard, directement sur la connexion. Sans déchiffrement, il ne voit qu'une adresse IP, un port et très peu d'autres informations.

La majeure partie du trafic web passe désormais par HTTPS sur le port 443. Une grande partie est acheminée vers des réseaux de diffusion de contenu (CDN), qui hébergent des milliers de sites sans rapport derrière des adresses partagées. Si vous bloquez l'une de ces adresses IP, vous bloquez également des sites légitimes. Si vous l'autorisez, le site dangereux passe à travers.

Un pare-feu peut inspecter le trafic HTTPS, mais uniquement après l'installation d'un certificat de confiance sur chaque appareil. Vous pouvez le faire sur les ordinateurs portables appartenant à l'école. Vous ne pouvez pas le faire sur le téléphone d'un visiteur dans une bibliothèque, ni sur la tablette personnelle d'un élève connecté au WiFi de l'établissement. Le filtrage DNS ne nécessite aucun logiciel sur l'appareil. Il s'applique à tout équipement qui extrait ses paramètres DNS de votre réseau.

Pourquoi un filtre de contenu DNS pour écoles est-il essentiel sur votre réseau ?

Écoles : le KCSIE et les normes du DfE

En Angleterre, la directive Keep Children Safe in Education (KCSIE) constitue le guide réglementaire de protection de l'enfance émis par le ministère de l'Éducation (DfE). Elle impose aux conseils d'administration et aux propriétaires d'établissements de mettre en place des systèmes appropriés de filtrage et de surveillance, et de vérifier régulièrement leur efficacité. Elle attribue au responsable de la protection de l'enfance (DSL) la responsabilité principale de la sécurité en ligne, ce qui inclut la compréhension des systèmes de filtrage et de surveillance.

Les normes de filtrage et de surveillance du DfE pour les écoles et les établissements d'enseignement supérieur définissent ce que cela implique en pratique :

• Attribuer des rôles clairs.
• Réviser vos dispositions au moins une fois par an.
• Bloquer les contenus dangereux et inappropriés sans entraver de manière excessive l'enseignement et l'apprentissage.

Le guide KCSIE renvoie les établissements scolaires à la définition du filtrage approprié du UK Safer Internet Centre. Cette définition exige que votre fournisseur soit membre de l'Internet Watch Foundation (IWF) et qu'il bloque la liste IWF des contenus d'abus sexuels sur des enfants. Elle exige également que le fournisseur bloque la liste, évaluée par la police, des contenus terroristes illégaux de la Counter Terrorism Internet Referral Unit (CTIRU). Posez ces deux questions à chaque fournisseur retenu dans votre sélection.

Les écoles américaines sont quant à elles soumises au Children's Internet Protection Act (CIPA). Nous détaillons les étapes de certification dans notre guide distinct sur le filtrage WiFi conforme à CIPA. Pour le volet politique de sécurité, consultez Filtrage Web pour les écoles : des politiques qui fonctionnent.

Les bibliothèques ont-elles besoin d'un filtrage de contenu ?

Dans la pratique, oui. L'obligation légale dépend de votre lieu d'activité et de votre mode de financement.

Aux États-Unis, CIPA s'applique aux bibliothèques publiques qui bénéficient des réductions E-rate pour l'accès à Internet. Ces bibliothèques doivent mettre en œuvre une mesure de protection technologique qui bloque les images obscènes, le matériel d'abus sexuels sur des enfants ou le contenu préjudiciable aux mineurs. La Federal Communications Commission (FCC) autorise une bibliothèque à désactiver le filtre pour un adulte effectuant des recherches de bonne foi ou pour toute autre fin légitime.

Au Royaume-Uni, aucun texte de loi n'oblige une bibliothèque publique à effectuer un filtrage. De nombreux services de bibliothèque filtrent néanmoins leurs accès, et beaucoup recherchent l'accréditation Friendly WiFi. Friendly WiFi est un programme de certification initié par le gouvernement pour le WiFi public. Son norme minimale exige que vous filtriez la pornographie et les contenus d'abus sexuels sur des enfants répertoriés par l'IWF partout où des enfants sont susceptibles d'être présents.

Les bibliothèques ont une tâche plus complexe que les écoles. Un même réseau dessert un enfant au club de devoirs et un adulte qui effectue des recherches sur une condition médicale. Votre politique doit protéger l'enfant sans sur-bloquer l'adulte. Séparer ces publics sur des réseaux distincts constitue généralement la réponse la plus claire. Notre guide Comment configurer la segmentation réseau pour les invités et le personnel détaille cette approche.

Comment fonctionne le filtrage DNS pour les écoles et les bibliothèques ?

Vous modifiez un seul paramètre : les serveurs DNS transmis aux appareils par vos plages DHCP. Les points d'accès, contrôleurs et commutateurs restent inchangés. Chaque appareil envoie ensuite ses requêtes au résolveur de protection, et le résolveur applique votre politique.

Catégories de contenu et protection contre les menaces

Le résolveur vérifie chaque domaine par rapport à deux ensembles de signaux.

• Les catégories de contenu, telles que le contenu adulte, les jeux d'argent, les armes ou les serveurs mandataires (proxys) et outils d'anonymisation. Vous choisissez les éléments à bloquer pour chaque public.
• L'intelligence sur les menaces, couvrant le hameçonnage (phishing), les logiciels malveillants, les serveurs de commande et contrôle ainsi que les domaines nouvellement enregistrés utilisés lors d'attaques.

La rapidité est essentielle du côté des menaces, car les attaquants enregistrent des domaines et les utilisent en l'espace de quelques heures. Shield signale ces menaces dès que les domaines malveillants sont identifiés. Pour un établissement scolaire, cela fait toute la différence entre un membre du personnel qui clique sur un lien de hameçonnage et le résolveur qui refuse de répondre.

L'impact du blocage des publicités sur un WiFi partagé très fréquenté

Les bibliothèques et les écoles exploitent souvent un réseau WiFi dense sur une liaison réseau limitée. Le blocage des domaines publicitaires et d'analyse au niveau de la couche DNS élimine le trafic inutile avant qu'il n'atteigne votre connexion. Le filtrage de ces requêtes permet de bénéficier de :

• chargements de pages plus rapides pour les utilisateurs
• une réduction de la consommation globale de données
• moins de requêtes DNS arrivant sur le réseau
• des volumes de trafic web globalement plus faibles

Sur une connexion de bibliothèque partagée par des PC publics et les téléphones des visiteurs, cette bande passante libérée est réattribuée aux devoirs, aux candidatures d'emploi et aux cours en vidéo.

Comment appliquer le mode SafeSearch sur le réseau d'une école ?

Le blocage par catégorie bloque des sites entiers. Les moteurs de recherche sont plus complexes, car Google, Bing et YouTube sont essentiels à l'apprentissage mais renvoient des résultats explicites dans leurs modes par défaut. Chaque fournisseur documente une méthode DNS qui impose son mode sécurisé à l'échelle du réseau :

• Google publie forcesafesearch.google.com. Lorsque votre résolveur répond aux recherches Google avec cette adresse, SafeSearch est verrouillé et l'utilisateur ne peut pas le désactiver.
• Bing publie strict.bing.com, qui applique le mode SafeSearch strict de la même manière.
• YouTube publie restrict.youtube.com et restrictmoderate.youtube.com, qui imposent le mode restreint au niveau strict ou modéré.

Un service DNS de protection gère ce mappage pour vous, vous permettant de choisir un paramètre plutôt que de modifier les enregistrements à la main. La restriction modérée de YouTube convient généralement aux écoles secondaires, car le mode strict masque de nombreuses vidéos éducatives légitimes. Effectuez des tests avec du contenu de cours réel avant le déploiement sur l'ensemble du site.

Comment les étudiants contournent-ils le filtrage WiFi de l'école avec le DoH ?

Le DNS chiffré est le moyen le plus courant de contourner un filtre DNS. Le DNS over HTTPS (DoH, défini dans la norme RFC 8484) envoie les recherches au sein du trafic HTTPS ordinaire. Le DNS over TLS (DoT, RFC 7858) les chiffre sur le port 853. L'un comme l'autre peuvent acheminer les recherches d'un appareil au-delà de votre résolveur vers un résolveur public qui n'applique aucune politique.

Les élèves ont rarement besoin de configurer cela eux-mêmes, car les navigateurs et les systèmes d'exploitation intègrent des options de DNS chiffré. Le tableau associe chaque voie de contournement à la méthode documentée pour la bloquer.

Voie de contournement	Comment elle contourne votre filtre	Comment la bloquer
DoH par défaut de Firefox	Firefox peut envoyer des recherches à un résolveur DoH public	Ne renvoyez aucune réponse pour le domaine canary de Mozilla, use-application-dns.net, ce qui indique à Firefox de continuer à utiliser le résolveur de votre réseau
DNS sécurisé de Chrome et Edge	Bascule vers le DoH lorsque le résolveur configuré a un équivalent DoH connu	Définissez la politique DnsOverHttpsMode sur Désactivé pour les appareils gérés ; sur les appareils non gérés, la mise à niveau ne s'exécute que sur le fournisseur de votre propre résolveur
iCloud Private Relay	Relaye le trafic et le DNS de Safari via les serveurs d'Apple	Renvoyez une réponse négative pour mask.icloud.com et mask-h2.icloud.com, comme le documente Apple, et les appareils afficheront Private Relay comme indisponible
DNS privé Android (DoT)	Envoie les recherches via TLS sur le port 853	Bloquez le port sortant 853 sur votre pare-feu ; le mode automatique basculera à nouveau sur votre résolveur
Résolveurs publics codés en dur	L'appareil ou l'application ignore le DHCP et interroge un résolveur public sur le port 53	Bloquer le port sortant 53 vers tout ce qui n'est pas votre résolveur de protection
Applications VPN et proxy	Acheminent tout le trafic hors de votre réseau	Bloquer la catégorie des proxys et des anonymiseurs, et bloquer les applications VPN par stratégie MDM sur les appareils gérés

La solution combine règles DNS, règles de pare-feu et stratégie d'appareil, car aucune couche isolée ne ferme toutes les voies. Notre guide distinct sur le blocage du DNS chiffré et du contournement DoH détaille chaque contrôle.

De quels rapports les écoles et bibliothèques ont-elles besoin comme preuves ?

Un filtrage que vous ne pouvez pas prouver ne satisfera ni un conseil d'administration, ni une inspection Ofsted, ni un audit CIPA. Les normes du DfE exigent un réexamen annuel documenté. Aux États-Unis, la CIPA exige une politique de sécurité Internet adoptée après un avis public et une audience publique. Tous reposent sur des registres.

Demandez à n'importe quel fournisseur s'il peut exporter les éléments suivants :

• Recherches bloquées par catégorie, afin que le DSL puisse voir quels dangers le filtre a réellement arrêtés.
• Résultats par site et par réseau, afin qu'un trust puisse comparer les écoles et qu'un réseau de bibliothèques puisse comparer ses antennes.
• Tendances au fil du temps, pour montrer l'effet des modifications de stratégie entre les réexamens.
• Signaux de contournement, tels que les recherches de domaines de résolveurs DoH, le domaine canari de Firefox ou les domaines Private Relay.
• Statut du Safe Search, avec la preuve que le verrouillage s'est appliqué sur chaque réseau.
• Un journal des modifications de stratégie, enregistrant qui a modifié quel paramètre et quand.
• Un registre du surblocage, consignant les sites légitimes que le personnel a demandé de débloquer et la rapidité avec laquelle vous avez agi.

Le registre de surblocage importe plus que ne le pensent la plupart des équipes. Les normes du DfE mettent explicitement en garde contre un filtrage qui nuirait de manière déraisonnable à l'enseignement. Un journal des demandes de déblocage et des temps de réponse prouve que vous avez équilibré protection et apprentissage.

Gardez la protection des données à l'esprit. Selon le UK GDPR, les journaux DNS qui peuvent être liés à une personne identifiable constituent des données personnelles. Définissez une durée de conservation, limitez l'accès au personnel désigné et indiquez la base légale dans votre avis de confidentialité. Purple détient les certifications ISO 27001, GDPR, CCPA et Cyber Essentials, que vous pouvez citer dans votre analyse d'impact sur la protection des données.

Comment le filtrage DNS s'articule-t-il avec ce que vous utilisez déjà ?

Le DNS de protection est une couche supplémentaire qui s'ajoute à votre réseau existant, et non un remplacement. Purple est indépendant du matériel. Shield fonctionne sur le WiFi de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet, car il modifie le DNS distribué par votre réseau, et non les points d'accès.

L'architecture habituelle ressemble à ceci :

• Pare-feu : bloque les ports sortants 53 et 853 vers les résolveurs non approuvés, et continue d'effectuer les tâches de périmètre que le DNS ne peut pas gérer.
• Segmentation du réseau : réseaux séparés ou VLAN (réseaux locaux virtuels, qui divisent un réseau physique en réseaux logiques isolés) pour le personnel, les élèves, les visiteurs et les espaces réservés aux enfants, chacun avec sa propre stratégie.
• Gestion des appareils mobiles (MDM) : applique la politique relatives aux navigateurs et bloque les applications VPN sur les appareils appartenant à l'établissement, y compris hors site.
• Captive portal : la page de connexion que les visiteurs voient avant d'accéder à Internet. Sur le WiFi invités, c'est là que vous présentez votre politique d'utilisation acceptable et recueillez le consentement.

Comparatif entre Shield, DNSFilter et Cisco Umbrella

Tous trois filtrent au niveau de la couche DNS, et tous trois peuvent imposer le Safe Search. Ils se distinguent par l'usage pour lequel ils ont été conçus.

	Purple Shield	DNSFilter	Cisco Umbrella
Lieu du filtrage	Recherche DNS	Recherche DNS	Recherche DNS, avec option de passerelle web sécurisée
Nouveaux équipements requis	Aucun : modifiez le DNS distribué par votre WiFi	Aucun : redirection DNS ou agent itinérant	Aucun pour la couche DNS ; appareil virtuel optionnel pour l'attribution des IP internes
Application du Safe Search	Google, Bing et YouTube	Google, Bing et YouTube	Google, Bing et YouTube
Appareils hors réseau	Couvre les appareils connectés au WiFi de votre établissement ; utilisez un MDM pour les appareils emportés à domicile	Agent client itinérant	Module itinérant dans Cisco Secure Client
Géré depuis	La plateforme Purple, aux côtés du WiFi invités et du WiFi du personnel	Tableau de bord DNSFilter	Tableau de bord Cisco Umbrella, au sein de Cisco Secure Access
Idéal pour	Les établissements utilisant déjà, ou migrant vers, Purple WiFi	Les MSP et les flottes d'équipements gérées par agents	Les organisations standardisées sur la sécurité Cisco

Choisissez Cisco Umbrella si votre groupe scolaire ou votre collectivité utilise déjà Cisco Secure Access et souhaite un fournisseur de sécurité unique. Choisissez DNSFilter si vous avez besoin d'un agent sur chaque ordinateur portable emporté à domicile et gérez de nombreux clients en tant que MSP. Choisissez Shield si votre priorité est le WiFi de l'établissement lui-même : filtrage, protection contre les menaces et blocage des publicités sur le réseau auquel vos élèves et visiteurs se connectent, géré aux côtés de votre WiFi. Pour une vision plus large du marché, consultez The best protective DNS for guest and public WiFi.

Comment cela fonctionne-t-il en pratique ?

Les deux scénarios ci-dessous sont des synthèses illustratives, élaborées à partir des modèles de déploiement décrits ci-dessus.

Un réseau de bibliothèques départemental visant la certification Friendly WiFi

La situation. Un réseau de bibliothèques propose un WiFi public dans ses antennes sur un réseau partagé unique. Les clubs de devoirs pour enfants et les visiteurs adultes utilisent le même SSID. Son ancien filtre fonctionnait sur un pare-feu dans chaque antenne, et la plupart des antennes autorisaient les résultats d'images explicites sur Google.

Ce qui a été fait. Le responsable informatique a séparé chaque antenne en deux réseaux : un réseau pour enfants avec une politique stricte, et un réseau pour adultes avec une politique plus souple. Tous deux pointent vers un résolveur DNS protecteur bloquant la pornographie et les contenus répertoriés par l'IWF, ce qui répond au niveau minimal requis par Friendly WiFi. Le Safe Search a été verrouillé sur Google et Bing pour les deux réseaux. Le mode restreint de YouTube a été réglé sur strict pour les enfants et modéré pour les adultes. Le pare-feu a bloqué le DNS sortant vers tous les résolveurs, à l'exception du résolveur protecteur.

Le résultat mesurable. L'équipe a testé une liste fixe de catégories et de termes de recherche sur les deux réseaux de chaque succursale. Chaque succursale a réussi le test, et les résultats ont été intégrés à la demande Friendly WiFi en guise de preuve. Le personnel des succursales gère désormais les demandes de déblocage de contenu pour adultes à partir d'un processus écrit de liste d'autorisations, et le service enregistre chaque demande ainsi que son délai de résolution.

Un multi-academy trust qui comble l'écart du DoH

La situation. Un trust gère des écoles secondaires, offrant un réseau WiFi pour appareils personnels aux élèves de terminale. Un DSL a remarqué que des élèves accédaient à des sites de jeux et des réseaux sociaux bloqués depuis leurs propres téléphones. Les ordinateurs portables appartenant à l'école ne présentaient aucun problème de ce type.

Ce qui a été fait. Le responsable réseau a examiné les voies de contournement présentées dans le tableau ci-dessus. Le résolveur ne renvoie désormais aucune réponse pour le domaine canari de Firefox et les domaines iCloud Private Relay. Le pare-feu de chaque école bloque le port sortant 853 et le port sortant 53 vers les résolveurs publics. Sur les ordinateurs portables appartenant à l'école, la solution MDM désactive le DNS sécurisé sur Chrome et Edge. La catégorie proxies et anonymiseurs est bloquée sur le réseau des élèves de terminale.

Le résultat mesurable. Les téléphones de test utilisant Firefox, Safari avec Private Relay et Android Private DNS se sont tous rabattus sur le résolveur de l'école. Les catégories bloquées s'appliquent désormais comme prévu. Les recherches de signal de contournement apparaissent maintenant dans le rapport mensuel examiné par le DSL, qui alimente la revue annuelle du filtrage du trust conformément aux normes du DfE. Pour les structures de cette taille, la section DNS filtering for MSPs and multi-site estates couvre la gestion centralisée des politiques sur l'ensemble des sites.

Quelles sont les limites du filtrage DNS que vous devez connaître ?

Soyez clair avec vos administrateurs sur ce que le filtrage DNS ne peut pas faire.

• Il fonctionne sur les domaines, pas sur les pages. Il ne peut pas bloquer une page nocive sur un domaine par ailleurs autorisé. Le mode restreint de YouTube et Safe Search réduisent cet écart, mais ne le comblent pas.
• Il s'agit de filtrage, pas de surveillance. Les normes du DfE traitent la surveillance comme une obligation distincte. Sur un réseau partagé, les journaux DNS affichent un appareil, pas un élève prénommé. L'attribution par personne nécessite une authentification individuelle, comme IEEE 802.1X (contrôle d'accès au réseau basé sur les ports utilisant des identifiants individuels) ou iPSK (une clé pré-partagée unique par personne). Les réseaux basés sur l'identité de Purple fournissent les deux.
• Il s'arrête à la périphérie de votre réseau. Les appareils emportés à la maison sur une connexion haut débit domestique nécessitent un MDM ou un agent.
• Un contournement déterminé nécessite plusieurs couches. Un VPN qui n'est pas encore catégorisé peut toujours créer un tunnel vers l'extérieur jusqu'à ce que votre pare-feu ou votre MDM le détecte.

Aucun de ces points ne constitue une raison d'ignorer le filtrage DNS. Chacun d'eux est une raison de l'associer aux bons contrôles et de documenter cette association dans votre revue annuelle.

Que devez-vous faire ensuite ?

1. Cartographiez chaque réseau que vous gérez et le public présent sur chacun : personnel, élèves, visiteurs et enfants.
2. Rédigez une politique par public, le DSL approuvant les catégories.
3. Orientez le DNS DHCP d'un site pilote vers un résolveur de protection et verrouillez Safe Search.
4. Fermez les voies de contournement figurant dans le tableau ci-dessus et effectuez des tests avec des appareils réels.
5. Validez votre pack de rapports et votre durée de conservation avant le déploiement.
6. Planifiez la revue annuelle dès maintenant pour qu'elle ait bien lieu.

Pour découvrir comment Purple gère le filtrage, la protection contre les menaces et le blocage des publicités sur votre WiFi existant, commencez par Shield. Pour consulter des sujets connexes, parcourez Guides.

Foire aux questions

Faut-il du nouveau matériel pour ajouter le filtrage DNS au WiFi des écoles ?

Non. Shield fonctionne en modifiant les serveurs DNS que votre réseau transmet aux appareils, ainsi vos points d'accès, contrôleurs et commutateurs restent en place. Il fonctionne sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks et Fortinet. Vous pouvez ajouter des règles de pare-feu pour bloquer le DNS sortant et le port 853 vers d'autres résolveurs, mais il s'agit d'une simple configuration sur vos équipements existants.

Le filtrage DNS répond-il à lui seul aux exigences KCSIE ?

Non. Le filtrage DNS couvre la partie filtrage du KCSIE, mais les normes du DfE traitent la surveillance comme un devoir distinct. Vous devez également attribuer des rôles, réaliser une revue annuelle et définir une approche de surveillance. Vérifiez que votre fournisseur de filtrage est membre de l'IWF et bloque la liste de contenus terroristes du CTIRU, conformément à la définition du filtrage approprié du UK Safer Internet Centre. Documentez ensuite l'articulation entre le filtre, la surveillance et vos processus de protection.

Est-il difficile de migrer depuis Cisco Umbrella ou DNSFilter ?

La migration elle-même repose sur une modification du DNS et non sur un projet matériel. Reconstruisez d'abord vos catégories et votre politique Safe Search dans le nouveau service. Exécutez-le en parallèle sur un site pilote et testez les catégories bloquées, Safe Search ainsi que les contrôles de contournement avec des appareils réels. Mettez ensuite à jour les serveurs DNS dans vos étendues DHCP, site par site. Exportez d'abord vos anciens rapports afin de conserver l'historique pour votre revue annuelle.

Comment la licence Shield est-elle gérée ?

Shield est un module complémentaire de sécurité pour les abonnements Purple Connect, Capture et Engage, aux côtés de SecurePass et Verify. La licence porte sur le logiciel et non sur des équipements physiques - il n'y a donc aucun coût matériel ni cycle de renouvellement. Votre devis reflète le nombre d'établissements et de réseaux que vous gérez. Un groupe d'établissements scolaires ou un réseau de bibliothèques peut regrouper l'ensemble de ses sites sous un contrat unique et tout gérer depuis la plateforme Purple.

Une bibliothèque peut-elle débloquer des sites pour les adultes sans affaiblir la protection des enfants ?

Oui. L'approche la plus nette consiste à séparer les réseaux : une politique stricte là où des enfants sont présents et une politique plus souple pour les visiteurs adultes. Aux États-Unis, la CIPA permet à une bibliothèque de désactiver le filtrage pour un adulte effectuant des recherches de bonne foi ou dans un autre cadre légal. Quelle que soit votre juridiction, enregistrez chaque demande de déblocage et son résultat afin de prouver que les adultes ont obtenu l'accès sans que les enfants ne perdent leur protection.

Les journaux de filtrage DNS constituent-ils des données personnelles au sens du GDPR ?

Oui, lorsqu'un journal d'événements peut être lié à une personne identifiable. Selon le UK GDPR, cela implique de définir une durée de conservation, de limiter l'accès au personnel désigné et de préciser votre base légale dans votre politique de confidentialité. Sur un réseau partagé, les journaux identifient généralement un appareil plutôt qu'une personne, ce qui réduit les risques. Purple détient les certifications ISO 27001, GDPR, CCPA et Cyber Essentials, ce qui facilite votre analyse d'impact sur la protection des données.

Avons-nous toujours besoin d'un pare-feu si nous utilisons le filtrage DNS ?

Oui. Le filtrage DNS bloque les domaines dangereux et malveillants avant qu'une connexion ne s'ouvre, mais il ne remplace pas la sécurité périmétrique. Votre pare-feu continue de contrôler les accès entrants et de segmenter les réseaux. Il bloque également le DNS sortant et le port 853 vers des résolveurs non approuvés, ce qui élimine le contournement par DNS chiffré. Les deux couches fonctionnent idéalement ensemble : le DNS décide quels noms sont résolus, et le pare-feu s'assure que chaque requête passe par votre résolveur.