Fonctionnement d’Internet : paquets, adresses et DNS

Internet relie des réseaux exploités indépendamment grâce à des protocoles communs, en particulier le protocole Internet (IP). Aucune organisation ne gère seule l’ensemble du système.

Appareils et liaisons

Un hôte, ou système terminal, exécute des applications. Les téléphones, ordinateurs portables, serveurs, téléviseurs connectés et capteurs peuvent être des hôtes. Un client demande un service ; un serveur le fournit. Un ordinateur peut demander un fichier tout en fournissant un autre fichier à quelqu’un.

Les liaisons transportent les bits sous forme de signaux électriques dans un câble en cuivre, de lumière dans une fibre optique ou d’ondes radio dans une connexion sans fil. Un trajet peut traverser plusieurs supports.

Un boîtier de routeur domestique associe généralement le routage, la commutation et un point d’accès Wi-Fi, parfois avec un modem. Ces fonctions restent distinctes même lorsqu’un seul boîtier les assure.

Se connecter à un fournisseur

Un réseau d’accès relie un domicile, une organisation ou un téléphone à son fournisseur. La fibre, le câble, le DSL, l’Ethernet de bureau et les réseaux mobiles en sont des exemples. Un fournisseur d’accès à Internet (FAI) transporte le trafic entre les réseaux d’accès et les autres réseaux.

Les fournisseurs échangent directement du trafic à un point d’échange Internet (IXP), une infrastructure partagée qui peut s’étendre sur plusieurs bâtiments. Ils peuvent aussi acheter du transit, en payant un autre fournisseur pour acheminer le trafic plus loin. De grandes entreprises de contenu exploitent leurs propres réseaux et centres de données pour rapprocher les services des utilisateurs.

La plupart des données intercontinentales passent par des câbles sous-marins à fibre optique posés sur les fonds marins ; les satellites en transportent une part plus faible. Une liaison d’accès sans fil peut donc déboucher sur un long trajet principalement filaire.

Suivre un appel vidéo

Un téléphone dans un café appelle une personne sur un réseau mobile de l’autre côté de l’océan :

1. Le Wi-Fi transporte les paquets jusqu’au point d’accès du café.
2. Le routeur du café les envoie par sa connexion d’accès jusqu’au FAI.
3. Les réseaux des fournisseurs les acheminent plus loin, en les échangeant éventuellement à un IXP.
4. Un câble sous-marin peut leur faire traverser l’océan.
5. Le fournisseur destinataire les transmet à l’autre téléphone par son réseau mobile.

Des organisations différentes exploitent ces étapes. Des protocoles compatibles leur permettent de transmettre les paquets, tandis que chaque opérateur gère sa propre partie. Le trajet précis peut changer lorsque les réseaux modifient leurs connexions ou réagissent à des pannes.

Les fichiers volumineux circulent sous forme de nombreux paquets. Chaque paquet transporte une partie des données, ce qui permet à d’autres conversations d’emprunter les mêmes liaisons à tour de rôle.

Distinguer l’en-tête et la charge utile

L’en-tête d’un paquet contient des informations de contrôle ; sa charge utile contient des données. Un en-tête IP comprend les adresses source et destination. Les routeurs utilisent la destination pour choisir la liaison suivante sans interpréter la photo ou le message qu’il contient. L’application destinataire interprète les bits transmis.

L’en-tête ressemble à l’adresse d’une enveloppe, tandis que la charge utile ressemble à son contenu. Diviser un fichier en petits paquets limite aussi la quantité à renvoyer après une perte. Une limite courante sur un trajet est un paquet IP de 1 500 octets, issue de la norme Ethernet. Certains trajets acceptent des tailles plus grandes.

Compter les paquets et la surcharge

Une photo contient 3 000 000 octets. Chaque paquet contient jusqu’à 1 460 octets de la photo et 40 octets d’en-tête. Divise par la capacité de la charge utile :

Arrondis au supérieur pour obtenir 2 055 paquets, car le reste doit lui aussi être transmis. Après 2 054 charges utiles pleines, la dernière contient :

Chaque paquet a besoin d’un en-tête, y compris le dernier :

Ensemble, les données et les en-têtes représentent 3 082 200 octets. Les en-têtes ajoutent environ 2,7 % à la taille de la photo. Diviser par 1 500 sous-estimerait le nombre de paquets, car 40 octets de chaque paquet ne sont pas disponibles pour les données de la photo. Compter la dernière charge utile comme pleine inventerait au contraire des données que la photo ne contient pas.

Reconstituer l’ordre des octets

Les paquets suivent généralement le même trajet, mais IP permet des trajets différents. Les paquets peuvent arriver dans le désordre, arriver deux fois ou être perdus, notamment lorsque la mémoire tampon d’un routeur se remplit.

Le protocole TCP corrige ces effets sur les hôtes terminaux. Il numérote les octets, ce qui permet au destinataire de repérer leur place et les manques. L’expéditeur retransmet les données manquantes et le destinataire transmet les octets dans l’ordre. La réception du dernier morceau ne comble pas un manque antérieur.

IP se contente de transporter les paquets individuellement ; il ne reconstitue pas le message et n’effectue pas cette récupération. Le protocole UDP ne prévoit pas non plus de retransmission ni de remise en ordre. Les applications qui utilisent UDP ajoutent les mécanismes de récupération dont elles ont besoin.

La capacité d’une liaison peut être réservée à une connexion ou partagée entre les paquets qui arrivent. La différence compte lorsque le trafic s’interrompt et lorsque plusieurs utilisateurs envoient des données en même temps.

Réserver ou partager

La commutation de circuits réserve une part fixe sur l’ensemble du trajet. Les appels téléphoniques fixes traditionnels conservaient cette part même pendant les silences.

La commutation de paquets partage la capacité à la demande : c’est le multiplexage statistique. Chaque paquet utilise le débit de la liaison pendant son tour. Cela convient au trafic par rafales : la navigation web et la messagerie envoient de courtes rafales entrecoupées de pauses.

Stocker les paquets lorsqu’une liaison est occupée

Un routeur utilise le stockage et la retransmission : il reçoit un paquet entier avant de l’envoyer plus loin. Les paquets patientent dans une file d’attente lorsque la liaison sortante est occupée. Une mémoire tampon contient cette file ; lorsqu’elle est pleine, elle ne peut plus accepter les nouveaux paquets, qui sont rejetés.

Une liaison de 1 Mbit/s peut réserver dix parts de 100 kbit/s :

Avec le partage par paquets, 35 utilisateurs peuvent partager la liaison si chacun n’est actif que 10 % du temps. Si les utilisateurs sont actifs indépendamment les uns des autres, la probabilité que plus de dix soient actifs ensemble est d’environ 0,0004. L’indépendance compte : des rafales synchronisées se comportent différemment. De courtes files peuvent aussi se former avec moins de dix utilisateurs actifs lorsque des paquets arrivent ensemble.

Les débuts de la commutation de paquets

Paul Baran à la RAND et Donald Davies au National Physical Laboratory du Royaume-Uni ont développé indépendamment les idées de la commutation de paquets dans les années 1960. Davies a créé le terme « paquet » ; Leonard Kleinrock a réalisé les premiers travaux mathématiques sur les files d’attente des réseaux.

Le 29 octobre 1969, l’ARPANET a envoyé son premier message de l’UCLA au Stanford Research Institute. Le système est tombé en panne après « LO » de « LOGIN ». L’ARPANET visait à partager des ordinateurs de recherche. Les travaux distincts de Baran étudiaient des communications capables de résister aux attaques, ce qui aide à expliquer le récit ultérieur sur la guerre nucléaire.

Les réseaux à paquets peuvent emprunter d’autres routes après des pannes lorsqu’un autre chemin est disponible. Aujourd’hui, la voix sur IP transporte les appels sous forme de paquets, y compris les appels sur les réseaux 4G et 5G.

La vitesse d’une connexion a plusieurs sens. Un transfert volumineux nécessite un débit de transmission élevé ; une conversation nécessite des délais courts et réguliers. Distinguer la bande passante, le débit effectif et la latence aide à comprendre les deux situations.

Capacité et transmission réelle

La bande passante est la capacité d’une liaison en bits par seconde. Les préfixes SI utilisent les puissances de dix : 1 kbit/s vaut 1 000 bit/s ; 1 Mbit/s vaut 1 000 000 bit/s ; 1 Gbit/s vaut 1 000 000 000 bit/s. « Mbps » est une autre écriture courante de Mbit/s.

Le débit effectif est le débit réellement transmis. La liaison la plus lente d’un trajet est son goulot d’étranglement. Une liaison serveur à 1 Gbit/s et une liaison fournisseur à 10 Gbit/s ne peuvent pas faire passer un téléchargement par une ligne domestique à 50 Mbit/s à plus de 50 Mbit/s. Le partage de la capacité et la surcharge protocolaire réduisent encore le débit utile.

Les tailles de fichiers utilisent les octets, écrits avec un B majuscule ; un octet contient 8 bits. Un fichier de 500 MB contient 4 000 Mbit. À 100 Mbit/s, son temps de transfert idéal est :

La réponse de 5 secondes provient d’une division des octets par un débit en bits sans conversion des unités.

Quatre parties du délai

La latence est le temps de parcours d’une extrémité à l’autre. Le temps aller-retour (RTT) comprend le trajet à l’aller et au retour. Une mesure avec ping indique un aller-retour, généralement en millisecondes.

À chaque saut, distingue quatre délais :

• Traitement : lecture d’un en-tête et décision sur la destination du paquet.
• Attente en file : attente d’une liaison sortante.
• Transmission : envoi de tous les bits du paquet sur cette liaison.
• Propagation : parcours du signal le long de la liaison.

Le délai de transmission dépend de la taille du paquet et du débit :

Un paquet de 1 500 octets contient 12 000 bits. Sa transmission prend 0,12 ms à 100 Mbit/s, ou 1,2 ms à 10 Mbit/s. Sur trois liaisons à 10 Mbit/s, le stockage et la retransmission nécessitent au moins 3,6 ms de transmission pour ce paquet, avant l’ajout des autres délais.

Le délai de propagation dépend de la distance et de la vitesse du signal :

Dans la fibre, le signal parcourt environ 200 000 km/s. Il faut 30 ms pour traverser 6 000 km à l’aller et au moins 60 ms pour l’aller-retour. Augmenter la bande passante ne peut pas raccourcir le câble.

Choisir la mesure adaptée à l’application

Un téléchargement bénéficie surtout du débit effectif. Les appels et les jeux rapides nécessitent une faible latence et une faible gigue, c’est-à-dire une faible variation du délai. Les files peuvent s’allonger aux heures chargées même lorsque la capacité annoncée d’une liaison reste la même.

Une page web peut nécessiter plusieurs échanges avant d’être complète. Le navigateur peut demander plusieurs fichiers en même temps, mais certaines requêtes dépendent de réponses précédentes. Le temps aller-retour compte pour ces dépendances ; le travail du serveur, le débit effectif disponible et le traitement par le navigateur comptent aussi. Un téléchargement volumineux rapide et une page interactive qui semble lente peuvent donc coexister sur la même connexion.

Une adresse IP identifie une interface réseau : la connexion d’un appareil à un réseau IP. Un ordinateur portable peut avoir des adresses différentes sur des réseaux différents. L’adresse indique au réseau où transmettre les paquets, et non l’identité d’une personne.

Lire IPv4 et IPv6

IPv4 utilise 32 bits, écrits sous la forme de quatre nombres décimaux séparés par des points. Chaque nombre représente 8 bits et va de 0 à 255. Par exemple, 192.168.1.10 s’écrit 11000000.10101000.00000001.00001010 en binaire. Un dernier nombre égal à 256 nécessiterait plus de 8 bits et serait invalide.

Il existe 4 294 967 296 valeurs possibles sur 32 bits, soit environ 4,3 milliards. La réserve centrale d’adresses IPv4 non attribuées a été épuisée le 3 février 2011. Les adresses existantes fonctionnent toujours ; l’épuisement signifie que la réserve centrale initiale de nouveaux blocs est vide.

IPv6 utilise 128 bits, ce qui permet environ 3,4 × 10³⁸ valeurs. Une adresse comporte huit groupes de quatre chiffres hexadécimaux. Les zéros en tête d’un groupe peuvent être omis et une suite de groupes composés uniquement de zéros peut être remplacée par ::.

2001:0db8:0000:0000:0000:ff00:0042:8329 devient 2001:db8::ff00:42:8329. Compte cinq groupes visibles : le double deux-points remplace trois groupes pour en retrouver huit. Utilise :: une seule fois pour que son développement reste clair. De nombreux hôtes utilisent IPv4 et IPv6 côte à côte.

Comprendre un préfixe

Dans 203.0.113.0/24, la barre oblique indique que les 24 premiers bits forment le préfixe réseau. Il reste huit bits :

Le bloc va de 203.0.113.0 à 203.0.113.255. Un réseau IPv4 ordinaire de cette taille réserve la première et la dernière valeurs, ce qui laisse 254 adresses pour les appareils. Le nombre après la barre oblique compte les bits de réseau ; ce n’est pas un numéro d’appareil.

Réutiliser des adresses privées

Trois plages IPv4 sont réservées aux réseaux privés :

• 10.0.0.0/8
• 172.16.0.0/12, de 172.16.0.0 à 172.31.255.255
• 192.168.0.0/16

Ces plages sont réutilisées dans des foyers et des organisations distincts et ne sont pas routées sur l’Internet public. Par exemple, 172.20.5.4 est privée, tandis que 172.32.0.1 se trouve hors de la plage privée en 172.

La traduction d’adresses réseau (NAT) permet à des appareils privés de partager une adresse IPv4 publique. Le routeur réécrit les adresses source et les ports sortants et enregistre les traductions. Il utilise la table pour envoyer les réponses au bon appareil privé. Une nouvelle connexion depuis l’extérieur doit pouvoir passer par cette correspondance ; l’adresse privée seule ne peut pas l’y diriger.

Rejoindre automatiquement un réseau

Le protocole de configuration dynamique des hôtes (DHCP) fournit un bail d’adresse, une passerelle par défaut et un résolveur DNS. La passerelle par défaut est le routeur utilisé pour atteindre les autres réseaux. Les baux et les attributions du fournisseur peuvent changer, et de nombreux appareils peuvent partager une adresse publique grâce à la NAT.

Une adresse MAC matérielle a un autre rôle : les adresses MAC courantes d’Ethernet et du Wi-Fi sont des identifiants de 48 bits utilisés pour la transmission sur une liaison locale. Les adresses IP permettent la transmission entre réseaux. Une adresse IP peut suggérer une localisation approximative, mais le partage et les changements d’attribution en font un mauvais identifiant pour une personne.

Un paquet avance vers sa destination un saut à la fois. Chaque routeur choisit lui-même la liaison suivante. Pour un paquet IP ordinaire, l’expéditeur ne fournit pas d’itinéraire complet.

Lire une table d’acheminement

Une table d’acheminement associe des préfixes de destination à des liaisons sortantes. Considère ces entrées :

Un paquet adressé à 203.0.113.57 correspond à l’entrée /24 et part sur la liaison 2. Un paquet destiné à 198.51.100.7 utilise la liaison 1. L’entrée /0 est la route par défaut, utilisée lorsqu’aucune entrée plus précise ne correspond.

Lorsque plusieurs entrées correspondent, choisis la correspondance du préfixe le plus long, c’est-à-dire celle qui précise le plus de bits de réseau. Il s’agit de précision, et non de la plus grande adresse affichée ou de la plus courte distance physique. Chaque routeur suivant répète la recherche dans sa propre table.

Pour commencer un trajet vers un autre réseau, un hôte envoie son paquet à la passerelle par défaut. Dans un foyer, il s’agit normalement du routeur domestique. L’adresse IP de destination du paquet désigne toujours l’extrémité distante ; la passerelle locale n’est que son premier saut.

Acheminement et routage ont des rôles différents

L’acheminement est l’action locale qui consiste à transmettre un paquet sur une liaison sortante. Le routage trouve les chemins et remplit les tables utilisées pour l’acheminement. Les protocoles de routage échangent des informations sur les destinations accessibles et réagissent lorsque des liaisons apparaissent ou tombent en panne. Une modification peut mettre du temps à se propager : disposer d’un autre trajet utilisable ne signifie donc pas que la réparation sera immédiate et sans perte.

Un système autonome (AS) est un réseau ou un ensemble de réseaux géré selon la politique de routage d’une organisation et identifié par un numéro d’AS. Des fournisseurs, des universités et des entreprises de contenu peuvent exploiter des AS. À l’intérieur d’un AS, l’opérateur choisit ses méthodes de routage. Entre les AS, le protocole BGP échange les routes.

Les décisions de BGP tiennent compte des accords commerciaux et des politiques de routage ainsi que des informations sur les chemins. Le choix d’une route qui parcourt moins de kilomètres n’est donc pas garanti.

Arrêter les boucles et examiner les sauts

Le champ durée de vie (TTL) d’IPv4 est une limite de sauts. Chaque routeur le réduit de un. Lorsqu’il atteint zéro, le routeur rejette le paquet et renvoie généralement une erreur. Cela empêche une boucle de routage de faire circuler un paquet indéfiniment.

Si un paquet part avec une TTL de 64 et arrive avec une TTL de 52, douze routeurs l’ont réduite :

Traceroute, appelé tracert sous Windows, envoie des sondes avec des limites de sauts croissantes. Les erreurs renvoyées par les routeurs successifs révèlent les sauts qui répondent et leurs temps aller-retour. Un passage de 15 ms à 90 ms peut suggérer une longue liaison, mais les temps seuls ne permettent pas d’identifier un câble sous-marin. Certains routeurs ne répondent pas aux sondes.

IP reste un service au mieux à toutes ces étapes. Ses routeurs essaient de transmettre les paquets sans garantir leur arrivée, leur ordre ou leur unicité. Les hôtes terminaux utilisent des protocoles de transport comme TCP lorsqu’une application a besoin d’un flux complet et ordonné.

Les personnes saisissent des noms comme www.example.com ; les routeurs ont besoin d’adresses IP. Le système de noms de domaine (DNS) fournit la correspondance et d’autres enregistrements. Un service peut conserver son nom lorsque son adresse change.

Suivre la hiérarchie des noms

Lis un nom de domaine de droite à gauche. Un point final non écrit représente la racine. Viennent ensuite un domaine de premier niveau (TLD) comme com, org, jp ou br, puis un domaine de deuxième niveau comme example, et enfin des sous-domaines facultatifs comme www ou mail.

Aucun serveur ne stocke tous les enregistrements de domaine. Les serveurs racine dirigent les résolveurs vers les serveurs de domaines de premier niveau. Ceux-ci les dirigent vers les serveurs faisant autorité pour un domaine, qui détiennent les enregistrements de ce domaine. Le service racine compte 13 identités nommées, exploitées par 12 organisations ; en octobre 2026, ces identités étaient servies par plus de 2 000 copies dans le monde. Treize noms ne signifient donc pas treize machines physiques.

Résoudre un nom absent du cache

Un ordinateur portable demande www.example.com à son résolveur récursif. Celui-ci peut appartenir à un FAI, à une organisation ou à un service DNS public. Sans information utile en cache, il parcourt la hiérarchie :

1. Il interroge un serveur racine, qui l’oriente vers les serveurs de com.
2. Il interroge un serveur de com, qui l’oriente vers les serveurs faisant autorité pour example.com.
3. Il interroge un serveur faisant autorité, qui renvoie une adresse comme 192.0.2.10.
4. Il renvoie cette réponse à l’ordinateur portable.

L’ordinateur peut alors se connecter au serveur web. La réponse DNS ne contient pas la page web.

Mettre les réponses en cache pour une durée limitée

Les résolveurs et les appareils conservent les réponses dans un cache. La durée de vie (TTL) d’un enregistrement fixe la durée pendant laquelle une réponse en cache peut être réutilisée. Une TTL de 3 600 secondes permet une heure de réutilisation. La plupart des recherches peuvent ainsi éviter un nouveau parcours de la hiérarchie.

Si un enregistrement d’adresse change, un cache existant peut encore fournir son ancienne réponse jusqu’à l’expiration de cette entrée. Cette visibilité retardée est souvent appelée « propagation DNS ». Cela ne signifie pas que le serveur faisant autorité envoie lentement la modification à chaque ordinateur. La TTL DNS est une durée en secondes ; la TTL IP limite les sauts.

Choisir le type d’enregistrement

Un nom peut renvoyer plusieurs adresses et plusieurs noms peuvent partager une adresse. Une recherche MX trouve des serveurs de messagerie, pas l’appareil personnel du destinataire.

Le DNS classique utilise couramment le port UDP 53 pour les échanges courts et prend aussi en charge TCP, notamment pour les réponses plus volumineuses. Les requêtes classiques ne sont pas chiffrées. DNS sur HTTPS protège la requête pendant son trajet jusqu’au résolveur ; celui-ci la traite toujours. DNSSEC vérifie l’authenticité des données DNS signées. L’authenticité et la confidentialité résolvent des problèmes différents : une réponse signée peut tout de même être lisible sur le trajet.

Un protocole définit le format et l’ordre des messages ainsi que les actions des participants lorsqu’ils envoient ou reçoivent des messages. Internet répartit ces tâches entre des couches, afin qu’une application puisse fonctionner sur de nombreux types de réseaux.

Donner un rôle à chaque couche

La description à cinq couches distingue les besoins des applications des signaux physiques qui transportent les bits.

Le protocole HTTP définit les requêtes et les réponses web. Il peut utiliser TCP sans avoir besoin de savoir si la liaison suivante est en Wi-Fi ou en fibre. Remplacer cette liaison peut laisser l’application web inchangée. La description TCP/IP à quatre couches regroupe les couches liaison et physique. Le modèle de référence OSI utilise sept couches ; c’est une autre façon de décrire les responsabilités du réseau.

Envelopper les données pour les transmettre

L’encapsulation ajoute des informations lorsque les données descendent dans la pile. TCP traite les octets de l’application comme un flux et les divise en segments, chacun doté d’un en-tête TCP. IP enveloppe un segment dans un paquet IP. Ethernet ou le Wi-Fi enveloppe le paquet dans une trame pour une liaison. Ethernet ajoute aussi une fin de trame pour la détection d’erreurs.

À destination, la désencapsulation défait ces enveloppes. Chaque couche lit ses propres informations et transmet le contenu restant à la couche supérieure. Une couche supérieure communique avec son homologue grâce aux services des couches inférieures ; les couches ne sont pas une succession de machines distinctes entre l’expéditeur et le destinataire.

Un message HTTP peut s’étendre sur plusieurs segments TCP, et un segment peut contenir des octets provenant de plusieurs messages. Les limites des segments TCP résultent du transport d’un flux d’octets et non des limites des messages de l’application.

Compter les octets ajoutés

Supposons qu’un segment transporte 1 460 octets de données web. Un en-tête TCP de 20 octets et un en-tête IPv4 de 20 octets donnent :

Ethernet ajoute un en-tête de 14 octets et une fin de trame de 4 octets, ce qui donne une trame de 1 518 octets. Ses 58 octets d’en-têtes et de fin de trame représentent environ 3,8 % de la trame. Ces nombres correspondent aux en-têtes indiqués ; des champs facultatifs peuvent allonger les en-têtes TCP et IP.

Que change un routeur ?

Un hôte exécute toute la pile. Un routeur assure normalement les fonctions des couches physique, liaison et réseau. Il retire la trame entrante, lit la destination IP, choisit une liaison sortante et crée une nouvelle trame pour cette liaison. Un commutateur local travaille normalement à la couche liaison.

Les trames changent à chaque saut. Les adresses IP de bout en bout restent les mêmes sur un trajet ordinaire, sauf là où la NAT les réécrit ; d’autres champs IP, dont la limite de sauts, peuvent changer. Le traitement TCP relève des extrémités.

De nombreuses applications au-dessus et de nombreuses technologies de liaison au-dessous partagent IP. C’est le rétrécissement du sablier d’Internet : une nouvelle application n’a pas besoin de reconcevoir le cœur du réseau. L’Internet Engineering Task Force (IETF) publie des documents ouverts sur les protocoles appelés RFC. La spécification de TCP est la RFC 9293, publiée en 2022.

Un fichier a besoin de tous ses octets dans le bon ordre, même lorsque le réseau perd ou réordonne des paquets. Le protocole TCP fournit ce flux d’octets ordonné grâce à la coopération des deux hôtes terminaux.

Identifier les programmes et ouvrir une connexion

Une adresse IP identifie une interface réseau. Un port identifie un service ou une extrémité de communication sur cet hôte. Les ports sont des nombres sur 16 bits allant de 0 à 65535. HTTP utilise couramment le port 80, HTTPS le 443 et DNS le 53. Un client choisit normalement un port source temporaire.

Une connexion TCP se distingue par les deux adresses IP et les deux ports. Par exemple, 198.51.100.23:51514 peut se connecter à 203.0.113.80:443 tandis qu’une autre connexion utilise un port client différent. Un ordinateur portable peut ainsi maintenir de nombreuses conversations à la fois.

TCP s’ouvre par une poignée de main en trois temps :

1. Le client envoie SYN, qui indique le début de sa numérotation de séquence.
2. Le serveur renvoie SYN-ACK, qui acquitte ce début et indique le sien.
3. Le client envoie ACK.

L’établissement ordinaire ajoute environ un temps aller-retour avant que les données puissent commencer à circuler. Plus tard, chaque extrémité peut fermer son sens d’envoi avec FIN.

Numéroter les octets et trouver un manque

Les numéros de séquence TCP comptent les octets, et non les paquets. Pour faciliter la lecture de l’exemple, utilise une numérotation à partir de 1 ; les connexions réelles commencent par des numéros de séquence initiaux choisis.

Si les trois arrivent, l’acquittement 3 001 signifie que tous les octets jusqu’à 3 000 sont arrivés et que 3 001 est le suivant.

Si le deuxième segment manque, le destinataire continue d’acquitter 1 001 même après l’arrivée du troisième. Il peut conserver les octets suivants, mais ne peut pas encore les transmettre sous forme de flux continu. L’expiration d’un délai ou la répétition d’acquittements identiques conduit l’expéditeur à retransmettre les octets manquants. Une fois le manque comblé, le destinataire peut faire avancer son acquittement et transmettre les données dans l’ordre.

Une somme de contrôle détecte la plupart des segments endommagés. Les données corrompues sont rejetées et récupérées par retransmission, comme les données manquantes.

Protéger le destinataire et le réseau

Deux mécanismes limitent la quantité de données envoyées mais pas encore acquittées :

La fenêtre de réception empêche un expéditeur rapide de submerger un destinataire lent. Le contrôle de congestion réagit à un trajet chargé, notamment aux pertes et à l’augmentation du délai, puis permet une augmentation progressive lorsque les conditions s’améliorent. Un destinataire rapide peut tout de même être joint par un réseau congestionné.

Comprendre le coût

Les routeurs acheminent les paquets IP ; ils ne réparent pas chaque flux TCP. La récupération aux extrémités signifie que des pertes de paquets peuvent se produire alors que l’application reçoit tout de même les bons octets. L’attente d’un segment manquant peut retarder les octets suivants. Si le trajet reste interrompu, TCP finit par signaler un échec. TCP ne fournit pas non plus de chiffrement : TLS ajoute cette protection pour le trafic web sécurisé.

Un fichier complet et du son en direct ont des besoins de transmission différents. Avant de choisir un protocole de transport, compare ce que permettrait l’attente d’un morceau manquant.

Comparer TCP et UDP

L’en-tête UDP de 8 octets contient les ports, une longueur et une somme de contrôle. UDP n’acquitte pas, ne retransmet pas et ne remet pas les datagrammes dans l’ordre. « Non fiable » signifie sans garantie de transmission ; la plupart des datagrammes peuvent tout de même arriver correctement sur un réseau en bon état.

Se demander si des données tardives sont utiles

Le téléchargement d’un relevé bancaire nécessite chaque octet : la retransmission vaut donc l’attente. TCP convient aussi aux courriels, aux mises à jour logicielles et aux transferts HTTP/1.1 ou HTTP/2. Son coût comprend l’établissement et l’attente causée par un manque dans le flux ordonné.

Pour du son en direct, un morceau qui arrive avec 200 ms de retard peut manquer son délai de lecture. Passer sur une très courte interruption peut être moins gênant que de mettre la conversation en pause. Les appels et les jeux rapides utilisent souvent un transport fondé sur UDP pour que leurs applications puissent décider quoi récupérer et quoi ignorer.

Le DNS utilise couramment UDP pour un court échange de questions et réponses. C’est une infrastructure essentielle : l’importance est donc un mauvais critère de choix. Ce qui compte, c’est l’exhaustivité, les délais à respecter et le protocole qui gère la récupération.

Ajouter de la fiabilité au-dessus d’UDP

QUIC fonctionne sur UDP et ajoute des flux fiables, un contrôle de congestion et un chiffrement intégré. HTTP/3 utilise QUIC pour transmettre les ressources web de manière fiable. Le service absent d’UDP est fourni par un autre protocole au-dessus de lui.

QUIC combine aussi l’établissement sécurisé plus efficacement que l’ouverture de TCP suivie d’une négociation TLS séparée. Un navigateur utilisant HTTP/3 dispose donc de services de récupération et de sécurité même si le transport UDP sous-jacent ne les fournit pas.

Internet transporte des paquets entre réseaux. Le World Wide Web est une application qui y fonctionne : des ressources liées, demandées par HTTP. Le courriel, les appels et les jeux utilisent aussi Internet.

Les débuts du Web

Tim Berners-Lee a proposé le Web au CERN en mars 1989. Le premier site, info.cern.ch, fonctionnait sur son ordinateur. Le CERN a placé le logiciel du Web dans le domaine public le 30 avril 1993. Le réseau de recherche qui allait devenir Internet avait débuté en 1969.

Trois éléments fonctionnent ensemble : les URL nomment les ressources ; HTTP les demande et les transmet ; HTML décrit des documents contenant des liens hypertextes. Les navigateurs affichent le HTML, utilisent CSS pour l’apparence et exécutent JavaScript pour l’interaction.

Lire une URL

Considère https://www.example.com:443/docs/guide.html?lang=en#intro.

Le DNS ne résout que le nom d’hôte. La requête HTTP contient le chemin et la chaîne de requête ; le navigateur conserve le fragment pour le traiter localement, par exemple pour trouver une section de la page.

Demander un service

Un navigateur agit comme client et demande des ressources à un programme serveur. Un nom d’hôte peut mener à de nombreux serveurs physiques qui font fonctionner un site populaire.

D’autres applications peuvent aussi utiliser HTTP. Une application météo appelle une API web pour obtenir des données structurées, souvent au format JSON. Elle présente ces données dans sa propre interface au lieu d’afficher du HTML.

Réutiliser des copies proches

Un réseau de diffusion de contenu (CDN) conserve des copies de ressources en plusieurs lieux. Le DNS ou le routage dirige les utilisateurs vers des serveurs adaptés, souvent proches, ce qui réduit la latence et répartit la charge.

Un cache du navigateur stocke sur l’appareil de l’utilisateur les ressources téléchargées auparavant. Réutiliser une image en cache encore utilisable peut éviter de la récupérer. Si un nouveau téléchargement est nécessaire, une copie proche sur un CDN peut raccourcir le trajet. Les deux caches économisent du travail à des endroits différents : l’un sur l’appareil, l’autre sur les serveurs du réseau.

HTTP définit un échange entre un client et un serveur. Une requête indique ce que le client veut ; une réponse indique le résultat et peut transporter une ressource. Une seule page nécessite généralement de nombreux échanges de ce type.

Lire une requête

Une requête HTTP/1.1 peut commencer ainsi :

GET /docs/guide.html HTTP/1.1
Host: www.example.com

La ligne de départ contient la méthode, le chemin et la version. GET demande une ressource. L’en-tête Host sélectionne le site, car plusieurs noms d’hôtes peuvent partager une adresse de serveur. Les en-têtes utilisent des lignes name: value pour fournir des informations supplémentaires ; un corps facultatif transporte les données soumises.

GET sert à récupérer des informations sans modifier l’état du serveur. POST soumet des données dans un corps, comme un formulaire ou un fichier. PUT peut enregistrer ou remplacer une ressource, et DELETE demande sa suppression.

Lire une réponse

Une réponse réussie peut commencer ainsi :

HTTP/1.1 200 OK
Content-Type: text/html
Content-Length: 5120

Après les en-têtes et une ligne vide vient le corps. Content-Type décrit comment l’interpréter ; ici, il s’agit de HTML. Content-Length indique une longueur de corps de 5 120 octets. Une réponse contenant une image pourrait utiliser image/png, tandis qu’une API pourrait renvoyer du JSON.

HTTP/2 et HTTP/3 transportent ces informations dans des trames binaires au lieu de la forme textuelle de HTTP/1.1. Les méthodes, les codes d’état, les en-têtes et les corps conservent leur signification.

Interpréter le résultat

Une réponse 301 fournit une nouvelle URL dans Location. Une réponse 304 indique qu’une copie en cache validée est toujours à jour. Un code 404 signifie que le serveur a répondu mais n’a pas trouvé de ressource au chemin demandé. Une panne DNS ou un serveur inaccessible ne produit aucun code d’état HTTP, car aucune réponse HTTP n’arrive.

Donner une continuité aux requêtes successives

HTTP est sans état : le protocole ne relie pas automatiquement une requête aux précédentes. Un serveur peut envoyer Set-Cookie avec un identifiant de session. Le navigateur inclut ensuite un en-tête Cookie dans les requêtes auxquelles ce cookie s’applique. Le serveur utilise l’identifiant pour retrouver les informations de session stockées, comme une connexion ou un panier. Les cookies peuvent aussi permettre le suivi des utilisateurs, que les paramètres des navigateurs et les règles de protection de la vie privée limitent.

Récupérer le HTML ne télécharge pas tout un site web. Le navigateur lit le HTML et demande les images, styles, scripts et polices auxquels il fait référence. HTTP/1.1 peut réutiliser une connexion TCP pour des requêtes successives. HTTP/2 transporte plusieurs échanges sur une connexion TCP ; HTTP/3 le fait sur QUIC. L’onglet Réseau d’un navigateur rend visibles ces requêtes individuelles, leurs états et leurs temps.

La saisie d’une URL HTTPS déclenche une séquence de protocoles qui coopèrent. HTTPS désigne du HTTP protégé par TLS. Pour suivre la séquence, distingue la recherche d’un serveur, la connexion à celui-ci, la protection de l’échange et la demande de contenu.

Suivre une nouvelle connexion

Pour une nouvelle connexion HTTPS utilisant HTTP/1.1 ou HTTP/2 :

1. Le navigateur vérifie les caches et, si nécessaire, demande au DNS l’adresse IP de l’hôte.
2. Il ouvre une connexion TCP sur le port 443 par une poignée de main en trois temps.
3. Une poignée de main TLS vérifie le serveur et établit les clés de chiffrement.
4. Le navigateur envoie une requête HTTP GET par la connexion protégée.
5. Le serveur renvoie une réponse contenant normalement du HTML.
6. Le navigateur demande les ressources référencées et affiche la page.

Tous les échanges réseau circulent dans des paquets IP. HTTP/3 utilise QUIC sur UDP avec TLS intégré : il n’effectue donc pas l’établissement TCP séparé de cette séquence. Les réponses en cache et les connexions réutilisées peuvent aussi éviter certaines étapes.

Si le DNS, l’établissement de TCP, l’établissement de TLS et le premier échange HTTP prennent chacun un aller-retour de 60 ms, le total avant le début de l’arrivée du contenu est d’environ :

Cet exemple omet le traitement par le serveur et d’autres délais. Un débit de données plus élevé ne peut pas supprimer ces quatre attentes, même si éviter une résolution ou réutiliser une connexion peut supprimer un échange.

Ce que TLS vérifie

TLS fournit le chiffrement, qui masque le contenu aux observateurs sur le trajet ; l’intégrité, qui détecte les modifications effectuées pendant la transmission ; et l’authentification, qui vérifie le serveur pour le nom demandé.

Un certificat numérique associe un nom de domaine à une clé publique. Une autorité de certification de confiance le signe. Le navigateur vérifie le nom, la période de validité et la chaîne de confiance, et le serveur prouve qu’il possède la clé privée correspondante. Une copie du certificat ne peut pas à elle seule fournir cette preuve, car les certificats sont publics.

Une différence de nom, un certificat expiré ou un signataire non fiable peuvent produire un avertissement du navigateur. Ne passe pas outre un avertissement de certificat : cela supprime la protection contre un serveur qui usurpe une identité.

Protection de la connexion et confiance dans le site

HTTPS protège pendant leur transmission le contenu des pages, les chemins et chaînes de requête des URL, les cookies, les mots de passe et les formulaires soumis. L’adresse IP du serveur, ainsi que le volume et les moments du trafic restent visibles. Le nom de domaine reste aussi visible dans de nombreuses connexions, selon la protection du DNS et de la poignée de main.

Un indicateur de connexion sécurisée indique que la connexion à ce domaine est protégée. Un site malhonnête peut obtenir un certificat valide pour son propre nom. Vérifie que le domaine est bien celui que tu souhaitais ; un certificat ordinaire vérifie le contrôle du domaine, pas l’honnêteté de chaque page. Le HTTP non chiffré, couramment sur le port 80, laisse l’échange applicatif lisible et modifiable le long du trajet.

Localiser l’étape qui a échoué

« Serveur introuvable » peut indiquer un problème DNS. Un délai d’attente dépassé peut signifier que les paquets ne passent pas ou qu’un serveur ne répond pas. Un avertissement de certificat indique un problème lié à TLS. Un code 404 ou 500 signifie qu’une réponse HTTP est arrivée : l’échec concerne alors la ressource demandée ou le traitement par le serveur. Ces indices permettent de cerner le problème sans considérer chaque échec de chargement comme une perte de connexion à Internet.

Les applications partagent le réseau à paquets mais organisent leurs échanges différemment. Un courriel peut attendre sur des serveurs que son destinataire soit en ligne. Un appel nécessite que le son arrive à temps. Un lecteur vidéo peut remplir une mémoire tampon et choisir un débit de données plus faible.

Suivre un courriel

SMTP envoie les courriels d’une application à un serveur de messagerie et entre les serveurs de messagerie. IMAP permet à un destinataire de consulter les courriels stockés sur le serveur et de synchroniser plusieurs appareils. La version 3 du protocole POP3 télécharge généralement les courriels sur un seul appareil.

Lorsque amira@example.org envoie un courriel à ben@example.net :

1. L’application d’Amira soumet le message à son serveur sortant avec SMTP.
2. Ce serveur demande au DNS les enregistrements MX de example.net.
3. Il envoie le message par SMTP à un serveur de réception indiqué dans ces enregistrements.
4. Le message attend dans la boîte aux lettres de Ben.
5. L’application de Ben y accède avec IMAP.

La partie ben désigne une boîte aux lettres ; example.net désigne son domaine. Plusieurs entrées MX avec des valeurs de préférence peuvent fournir d’autres serveurs de réception. L’expéditrice et le destinataire n’ont pas besoin d’être en ligne en même temps. Avec une messagerie web, le navigateur utilise HTTPS pour communiquer avec le fournisseur, tandis que les fournisseurs échangent toujours les courriels par SMTP.

La conception initiale de SMTP ne vérifiait pas les identités déclarées des expéditeurs. SPF, DKIM et DMARC aident les serveurs destinataires à vérifier l’autorisation et l’authenticité liées au domaine. Réussir ces vérifications ne rend pas chaque message souhaité ou honnête.

Messagerie et pairs

De nombreuses applications de messagerie utilisent les serveurs d’un fournisseur pour relayer les messages et les conserver pour les destinataires hors ligne. Avec le chiffrement de bout en bout, les extrémités prévues détiennent les clés du contenu. Un serveur relais peut transmettre le contenu chiffré sans le lire. C’est différent du chiffrement de la seule connexion au fournisseur, où celui-ci peut encore traiter le contenu en clair.

Dans une communication pair à pair (P2P), les hôtes jouent les rôles de client et de serveur. Un pair BitTorrent télécharge des morceaux de fichier auprès d’autres pairs tout en envoyant les morceaux qu’il possède. Des pairs supplémentaires peuvent ajouter de la capacité d’envoi. Les appels vidéo peuvent transmettre les médias directement entre les appareils, mais la NAT peut rendre un relais nécessaire. Utiliser un relais pour un appel ne transforme pas toutes les autres applications Internet en applications pair à pair.

Adapter un flux vidéo

Les services de streaming proposent de courts segments vidéo à plusieurs niveaux de qualité. Le lecteur mesure le débit effectif et demande par HTTP une version adaptée de chaque segment suivant. Il peut réduire la qualité lorsque la capacité disponible baisse, ce qui réduit le risque de vider la mémoire tampon de lecture.

À 5 Mbit/s constants, une heure consomme :

Divise par 8 pour convertir en octets : 2 250 000 000 octets, soit 2,25 GB. Ce calcul compte les données du flux indiqué ; le trafic protocolaire supplémentaire peut augmenter la consommation. Multiplier des mégabits par des secondes donne des mégabits : un résultat indiqué en MB ou en GB nécessite donc encore la conversion des bits en octets.

Des organisations indépendantes exploitent les réseaux d’Internet. Elles ont besoin d’identifiants et de normes techniques communs pour échanger du trafic. La gouvernance coordonne ces ressources partagées et les politiques qui influent sur leur utilisation.

Coordonner les identifiants

Les blocs d’adresses IP publiques et les enregistrements de domaines nécessitent des attributions coordonnées. Des attributions publiques contradictoires rendraient la transmission ambiguë. Les plages IP privées sont délibérément réutilisables parce qu’elles restent dans des réseaux privés distincts.

L’ICANN est une organisation à but non lucratif fondée en 1998 et basée aux États-Unis. Elle coordonne les règles du DNS à son niveau supérieur, notamment les domaines génériques de premier niveau et l’accréditation des bureaux d’enregistrement. Son organisation affiliée Public Technical Identifiers (PTI) assure les fonctions IANA : la gestion de la zone racine du DNS, des réserves centrales d’adresses et de numéros d’AS et des registres de paramètres de protocole comme les ports.

La supervision contractuelle des fonctions IANA par le gouvernement américain a pris fin le 1er octobre 2016. La transition de la supervision a confié celle-ci aux communautés mondiales qui utilisent ces fonctions, par l’intermédiaire des processus concernés.

Distinguer les noms des numéros

Cinq registres Internet régionaux (RIR) distribuent les adresses IP et les numéros de systèmes autonomes aux fournisseurs et aux organisations :

Les domaines suivent une autre chaîne. Un registre de noms de domaine exploite un domaine de premier niveau ; Verisign exploite .com. Un bureau d’enregistrement vend des enregistrements de domaines et un titulaire de nom de domaine détient un enregistrement pour une durée donnée, généralement renouvelée chaque année. Les domaines nationaux comme .jp et .br ont leurs propres opérateurs et règles nationales. Les RIR n’enregistrent pas les noms de domaine.

Rédiger les normes et exploiter les réseaux

L’IETF développe des protocoles comme IP, TCP, DNS, HTTP et TLS par un travail ouvert publié sous forme de RFC. Elle privilégie le consensus approximatif et les implémentations fonctionnelles. Chacun peut participer.

Le World Wide Web Consortium (W3C), fondé par Tim Berners-Lee en 1994, développe des normes web, notamment CSS et les règles pour l’accessibilité des contenus web (WCAG). Le WHATWG maintient HTML. L’Internet Society (ISOC) soutient l’IETF et promeut un Internet ouvert.

Les opérateurs choisissent les connexions, concluent des accords de transit et annoncent les routes avec BGP. Douze organisations exploitent le service racine du DNS. Les gouvernements fixent les lois applicables sur leur territoire concernant les télécommunications, la concurrence, la vie privée et les contenus. L’Union internationale des télécommunications (UIT) coordonne les travaux sur les télécommunications et le spectre radioélectrique à l’échelle internationale ; elle n’enregistre pas les domaines et n’attribue pas les blocs d’adresses Internet.

Faire participer différents acteurs

Un modèle multipartite fait intervenir les gouvernements, les entreprises, la société civile, la communauté technique et les universitaires. Le Forum sur la gouvernance de l’Internet (IGF) permet à ces groupes de discuter ; il ne prend pas de décisions contraignantes. Organisé pour la première fois en 2006, il est devenu un forum permanent de l’ONU en décembre 2025. La coordination par ces organismes donne au réseau des règles communes sans créer une organisation qui possède chaque liaison ou contrôle chaque service.

Les choix politiques concernant Internet ont des effets différents sur les utilisateurs, les opérateurs de réseau, les services en ligne et les gouvernements. Une argumentation utile identifie qui prend la décision, examine ses effets et met en balance un avantage et un coût.

Égalité de traitement et tarification nulle

La neutralité du Net est le principe selon lequel les FAI devraient traiter le trafic légal de manière égale, sans favoriser certains services en bloquant ou en ralentissant d’autres services, ni en leur imposant des frais particuliers. Ses partisans associent l’égalité de traitement à la concurrence et à la liberté d’expression : un nouveau service ne devrait pas avoir besoin d’un accord favorable avec chaque FAI. Ses opposants défendent une gestion souple des réseaux et des offres de services et avertissent que des règles strictes peuvent décourager l’investissement. Les règles nationales diffèrent et peuvent changer.

Supposons qu’un opérateur mobile applique une tarification nulle à une application vidéo : la regarder n’est pas décompté du forfait de données. Les utilisateurs de cette application disposent ainsi de plus de données utilisables. L’application favorisée obtient un avantage sur ses concurrentes, dont le trafic reste décompté. L’opérateur peut promouvoir l’offre et en retirer des avantages commerciaux. Un régulateur doit mettre en balance l’accessibilité financière et une concurrence équitable. Dire seulement que « les données gratuites sont une bonne chose » passe à côté de l’effet sur les services concurrents ; dire seulement que « l’offre est injuste » passe à côté de l’avantage immédiat pour l’utilisateur.

Concentration et contrôle gouvernemental

Quelques grandes entreprises d’informatique en nuage et de diffusion de contenu peuvent servir efficacement un très grand nombre de sites. Elles peuvent aussi créer des dépendances communes : la panne d’un fournisseur peut interrompre de nombreux services par ailleurs sans lien entre eux. La concentration pose donc à la fois une question d’efficacité et de résilience.

Les gouvernements peuvent filtrer des sites, exiger le stockage des données dans le pays ou couper l’accès. Les partisans peuvent invoquer la sécurité et l’ordre public ; les critiques soulignent les effets sur l’expression, les moyens de subsistance, l’éducation et les préjudices subis par les utilisateurs sans lien avec un incident. La fragmentation décrit le risque de voir les réseaux nationaux se séparer de plus en plus.

Pénurie d’adresses et protection des données

La réserve centrale d’adresses IPv4 est épuisée. Les transferts de blocs existants et le recours massif à la NAT permettent de continuer à utiliser IPv4, tandis qu’IPv6 fournit un espace d’adressage beaucoup plus vaste. La transition prend du temps, car les équipements et les services doivent continuer à fonctionner ensemble pendant la coexistence des deux protocoles.

Le chiffrement protège les informations privées contre l’interception et la surveillance. Certains services chargés de l’application de la loi recherchent un accès spécial aux données chiffrées. De nombreux spécialistes de la sécurité estiment qu’un accès intégré crée aussi des faiblesses que d’autres pourraient exploiter. Pour évaluer cette proposition, il faut tenir compte à la fois des besoins des enquêtes et de la sécurité des utilisateurs ordinaires. Les règles de protection des données varient selon les pays.

L’accès ne se limite pas à la couverture

L’UIT estimait qu’en 2025, environ 6 milliards de personnes étaient en ligne et 2,2 milliards hors ligne, une grande partie de cet écart concernant les pays à faible revenu et les zones rurales. L’accessibilité financière, les infrastructures et la possibilité d’utiliser effectivement l’accès déterminent qui profite des services en ligne. Un réseau qui atteint un village n’aide pas tout le monde de la même manière si son prix reste hors de portée.

Associe chaque proposition à l’acteur responsable. Les registres et l’ICANN coordonnent les noms ; les RIR coordonnent les adresses ; les organismes de normalisation élaborent les règles techniques ; les opérateurs choisissent les connexions et les services réseau ; les gouvernements légifèrent. Une politique d’enregistrement des domaines, la conception d’un protocole et une restriction nationale d’accès peuvent interagir tout en restant des décisions de nature différente.