Il existe un service que vous utilisez des centaines de fois par jour sans jamais lui dire merci : le DNS. Chaque fois que vous tapez mon-blog-prefere.fr, quelqu’un doit aller demander à un annuaire géant quelle est l’adresse IP correspondante. Ce « quelqu’un », c’est votre résolveur DNS. Et le plus souvent, c’est celui de votre fournisseur d’accès, configuré par défaut dans votre box, sans que personne ne vous ait demandé votre avis.

Bonne nouvelle : vous pouvez changer ça en deux minutes. Mauvaise nouvelle : il faut d’abord choisir par quoi le remplacer. C’est parti pour le grand tour des DNS publics.

Le DNS, l’annuaire que personne ne lit

Les ordinateurs ne parlent qu’en adresses IP (93.184.216.34), alors que les humains préfèrent les noms (example.com). Le DNS fait la traduction. Sans lui, il faudrait retenir des suites de chiffres pour chaque site, ce qui serait au mieux pénible, au pire un excellent argument pour retourner au Minitel.

Ce que l’on oublie souvent : le résolveur DNS voit la liste de tous les domaines que vous visitez. Pas le contenu des pages, mais bien les noms de sites. C’est un peu comme un standardiste qui ne sait pas ce que vous dites, mais qui sait exactement qui vous appelez, à quelle heure et combien de fois.

Pourquoi ne pas garder le DNS de son fournisseur d’accès ?

Soyons honnêtes : le DNS de votre opérateur fonctionne, la plupart du temps. Ce n’est donc pas une « nécessité » au sens strict. Mais changer présente de vrais avantages :

• La rapidité : les gros résolveurs publics sont répartis dans le monde entier et disposent de caches énormes. Résultat, les réponses sont souvent plus rapides que celles du serveur d’un opérateur, surtout quand il est surchargé.
• La fiabilité : quand le DNS de votre FAI tombe en panne, internet « ne marche plus » alors que votre connexion est parfaitement valide. Un DNS public de secours vous évite ce moment délicieux où toute la famille vous regarde comme si c’était votre faute.
• La vie privée : vous choisissez à qui vous confiez votre historique de noms de domaine, plutôt que de laisser cette décision à votre opérateur. À vous de lire la politique de confidentialité du fournisseur retenu.
• La sécurité : certains DNS bloquent les domaines connus pour héberger du malware ou du phishing, avant même que votre navigateur n’ait eu le temps de dire « euh, êtes-vous sûr ? ».
• Le filtrage : publicités, traqueurs, contenus adultes… certains DNS le font pour vous, sur tout votre réseau, sans rien installer sur chaque appareil.
• Moins de censure ou de redirections gênantes : certains DNS d’opérateurs bloquent des domaines ou redirigent les erreurs vers des pages de pub. Un DNS public tiers évite ces fantaisies.

Les quatre grands du DNS public

Voici les fournisseurs les plus connus, et surtout ce qui les distingue. Les adresses indiquées sont à saisir en « DNS primaire » et « DNS secondaire » dans votre configuration réseau.

AdGuard DNS : le videur de publicités

• Par défaut (publicités et traqueurs bloqués) : 94.140.14.14 et 94.140.15.15
• Avec filtrage adulte en plus : 94.140.14.15 et 94.140.15.16

AdGuard est le seul de la liste dont le mode par défaut filtre déjà : il bloque une grande partie des domaines publicitaires et de pistage. Pratique pour alléger tout un réseau d’un coup, y compris les objets connectés qui adorent bavarder avec des serveurs inconnus. La contrepartie : un blocage trop zélé peut parfois casser un site ou une appli légitime. AdGuard propose aussi une version « sans filtrage » si vous ne voulez que ses serveurs.

Cloudflare : la vitesse avant tout

• Sans filtrage : 1.1.1.1 et 1.0.0.1
• Blocage des malwares : 1.1.1.2 (secondaire : 1.0.0.2)
• Malwares + contenus adultes : 1.1.1.3 (secondaire : 1.0.0.3)

Le fameux 1.1.1.1 a une réputation de champion de la rapidité, et Cloudflare met en avant un engagement fort sur la vie privée, avec une conservation très limitée des journaux. Le gros avantage de Cloudflare est sa gamme claire : la même famille d’adresses, avec trois niveaux de filtrage, du brut de décoffrage jusqu’au « mode parental ».

Google Public DNS : le classique sans fioritures

• Sans filtrage : 8.8.8.8 et 8.8.4.4

Le doyen, et sans doute le plus connu, car 8.8.8.8 est devenu le réflexe de tout informaticien qui « teste si c’est le DNS ». Il est très fiable, très rapide, et ne filtre rien du tout. En revanche, vous confiez vos requêtes à Google, ce qui fera hausser un sourcil à ceux qui cherchent justement à réduire leur dépendance à l’entreprise de Mountain View. À chacun son niveau de confiance.

OpenDNS : le pionnier orienté famille

• Standard : 208.67.222.222 et 208.67.220.220
• FamilyShield (filtrage contenus adultes) : 208.67.222.123 et 208.67.220.123

Racheté par Cisco il y a quelques années, OpenDNS est l’un des plus anciens services de DNS public. Sa version FamilyShield est prête à l’emploi : aucune configuration, aucun compte à créer, vous changez deux adresses et le filtrage adulte est actif sur tout le réseau. Très pratique pour une maison avec des enfants.

Tableau récapitulatif

Fournisseur	Sans filtrage	Filtrage malwares	Filtrage publicités	Filtrage adulte
AdGuard	Option disponible, non listée ici	Oui (inclus)	Oui, par défaut	Oui, 94.140.14.15
Cloudflare	1.1.1.1	1.1.1.2	Non	1.1.1.3
Google	8.8.8.8	Non	Non	Non
OpenDNS	208.67.222.222	Selon l’offre	Non	208.67.222.123

Lequel choisir ?

• Vous voulez juste de la vitesse et de la simplicité : Cloudflare 1.1.1.1 ou Google 8.8.8.8.
• Vous voulez un peu de sécurité sans rien casser : Cloudflare 1.1.1.2.
• Vous voulez réduire les pubs et le pistage sur tout le réseau : AdGuard.
• Vous avez des enfants à la maison : OpenDNS FamilyShield, Cloudflare 1.1.1.3 ou AdGuard avec filtrage adulte.

Un conseil de bon sens : mélangez avec prudence. Si vous mettez en primaire un DNS filtrant et en secondaire un DNS non filtrant, les requêtes pourront être envoyées indifféremment à l’un ou à l’autre selon les systèmes, et votre filtrage deviendra aléatoire. Prenez le primaire et le secondaire du même fournisseur.

Comment les configurer

Deux approches possibles :

1. Sur la box ou le routeur : vous changez les DNS une seule fois, et tous les appareils du réseau en profitent. C’est l’option la plus propre, quand votre box le permet (ce qui n’est pas le cas de toutes, certaines box d’opérateurs étant pensées pour qu’on n’y touche surtout pas).
2. Appareil par appareil : dans les paramètres réseau de votre ordinateur ou de votre téléphone. Utile si vous voulez des réglages différents selon les machines, un peu fastidieux sinon.

Les petits pièges à connaître

• Les noms locaux disparaissent : si vous utilisez des noms de machines en interne (nas.maison, imprimante.lan), un DNS public ne les connaît pas. Votre routeur ou votre serveur DNS local doit rester l’interlocuteur pour le réseau interne, et ne transférer vers un DNS public que ce qu’il ne connaît pas.
• Le DNS classique n’est pas chiffré : sur le port 53, vos requêtes circulent en clair, et votre fournisseur d’accès peut donc toujours les observer. Pour y remédier, il faut utiliser DNS over HTTPS (DoH) ou DNS over TLS (DoT), que la plupart de ces services prennent en charge et que les navigateurs et systèmes modernes savent activer.
• Un DNS public n’est pas un VPN : il ne cache pas votre adresse IP et ne chiffre pas votre trafic. Il s’occupe uniquement de la traduction des noms.
• « Gratuit » ne veut pas dire « sans contrepartie » : lisez la politique de confidentialité du service choisi, notamment sur la durée de conservation des journaux.

Pour les plus motivés : hébergez votre propre DNS

Si l’idée de confier vos requêtes à un tiers vous chatouille, il existe une troisième voie : monter votre propre résolveur à la maison, avec Pi-hole, AdGuard Home ou Unbound. Vous gardez la main sur le filtrage, les journaux et les noms locaux, pour le prix d’un Raspberry Pi ou d’un petit conteneur qui traîne sur votre serveur. C’est un excellent projet du week-end, et vous pourrez enfin dire « c’est pas le DNS » en étant certain de ce que vous avancez.

En résumé

Changer de DNS, c’est l’un des réglages les plus rentables du réseau : deux minutes de travail, aucun matériel à acheter, et à la clé de la vitesse, de la fiabilité et, selon votre choix, un peu de sécurité, de tranquillité ou de vie privée en plus. Personne ne vous oblige à quitter le DNS de votre opérateur, mais c’est souvent la première chose à essayer quand « internet est lent » ou quand « ça marche pas ».

Et vous, quel DNS utilisez-vous ? Dites-le dans les commentaires, que l’on puisse lancer la traditionnelle querelle 1.1.1.1 contre 8.8.8.8.