# QUIC et HTTP/3 rendent-ils les pare-feu aveugles ?

Ils réduisent ce que voient les pare-feu anciens, sans rendre le trafic invisible. QUIC (RFC 9000, 2021) est le transport sous HTTP/3. Il passe par le port UDP 443 et chiffre presque tout, y compris une grande partie de ce que TCP laissait lisible, comme les numéros de paquets et les accusés de réception. Ses premiers paquets portent un ClientHello TLS 1.3 protégé uniquement par des clés que tout le monde peut dériver : un capteur qui comprend QUIC peut donc encore lire le nom du serveur et les paramètres de négociation. Les pare-feu et proxys conçus pour TCP ne savent souvent pas inspecter QUIC du tout. Dans les entreprises qui s'appuient sur l'inspection TLS ou le filtrage web, la pratique courante consiste à bloquer le port UDP 443, ce qui fait revenir les navigateurs à HTTP/2 sur TCP sans que les utilisateurs le remarquent. Sans une telle règle, QUIC apparaît simplement comme des flux UDP, avec horaires et volumes comme tout autre trafic, et les détections fondées sur les flux, comme le beaconing et les volumes d'envoi inhabituels, s'appliquent toujours. Vérifiez si votre pare-feu rend compte de QUIC avant de le supposer couvert.

FAQ: [Chiffrement et trafic chiffré](https://netsenx.com/fr/faq/encryption) · https://netsenx.com/fr/faq/do-quic-and-http3-blind-firewalls

## À lire ensuite

- https://netsenx.com/fr/encrypted-traffic-analysis
- https://netsenx.com/fr/what-is-ndr

## Questions liées

- [Le DNS over HTTPS peut-il cacher du trafic à la surveillance de sécurité ?](https://netsenx.com/fr/faq/can-dns-over-https-hide-traffic-from-security-monitoring)
- [Comment déchiffrer du trafic TLS pour un dépannage ?](https://netsenx.com/fr/faq/how-to-decrypt-tls-for-troubleshooting)
- [Comment fonctionne une négociation TLS ?](https://netsenx.com/fr/faq/how-does-a-tls-handshake-work)
- [Qu'est-ce qui a changé entre TLS 1.2 et TLS 1.3 ?](https://netsenx.com/fr/faq/what-changed-between-tls-1-2-and-tls-1-3)
- [Faut-il désactiver TLS 1.0 et 1.1 ?](https://netsenx.com/fr/faq/should-we-disable-tls-1-0-and-1-1)