Votre FAI vend vos requêtes DNS aux annonceurs — le chiffrement DNS l’empêche définitivement

Le 9 mars 2026, Quad9 active le support de DNS over HTTP/3 et DNS over QUIC sur l’intégralité de son réseau mondial de résolveurs. C’est la dernière brique d’une architecture de chiffrement DNS qui, en avril 2026, couvre l’essentiel des protocoles — DoH, DoT, DNSCrypt, DoH3, DoQ — et qui rend la collecte passive des requêtes DNS par les FAI structurellement impossible. Pourtant, la majorité des box Internet livrées en France continuent d’envoyer vos requêtes en clair sur le réseau de votre opérateur.

Votre fournisseur d’accès sait que vous allez sur leboncoin.fr avant d’acheter une voiture, sur seloger.com avant de déménager, et sur ameli.fr avant une consultation médicale. Ces données sont revendues aux enchères publicitaires en temps réel, sans que vous n’ayez jamais donné votre consentement explicite. La bonne nouvelle, c’est qu’il existe aujourd’hui quatre façons de couper ce robinet, et qu’aucune ne nécessite de compétence avancée.

Pourquoi votre FAI voit tout

Le DNS est le protocole qui traduit ettayeb.fr en adresse IP. Chaque fois que vous ouvrez un site, votre appareil envoie une requête DNS à un résolveur — par défaut, celui de votre FAI, configuré automatiquement par le DHCP de votre box. Cette requête part en clair, sans chiffrement, sur le port 53 en UDP ou TCP.

Votre opérateur enregistre trois choses : votre adresse IP source, le domaine demandé, et un horodatage. Ces journaux sont conservés plusieurs mois, parfois plusieurs années selon les juridictions. En Europe, la directive ePrivacy et le RGPD imposent des garde-fous, mais les opérateurs exploitent systématiquement le flou juridique autour de la finalité « légitime » de ces données pour les injecter dans leurs revenus publicitaires. Aux États-Unis, la situation est pire : le Congrès a abrogé en 2017 les protections FCC qui imposaient un opt-in explicite, ouvrant la voie à une monétisation sans restriction.

Le résultat est un profil de navigation d’une précision redoutable, croisé avec les données de géolocalisation et les horaires de connexion, que votre FAI vend aux régies programmatiques. Le chiffrement DNS coupe ce flux à la source.

DoH, DoT et DoQ : les trois protocoles qui verrouillent le port 53

Le chiffrement DNS repose aujourd’hui sur trois protocoles matures, chacun avec un positionnement différent dans l’écosystème.

DNS over HTTPS — DoH (RFC 8484). Les requêtes DNS sont encapsulées dans du HTTPS standard sur le port 443. C’est le protocole le plus difficile à bloquer, parce qu’il est indistinguable du trafic web normal. Firefox, Chrome et Edge l’activent nativement depuis 2020-2021 ; Android le supporte sans application tierce. Son principal défaut : un FAI peut forcer son propre résolveur via le paramètre use-application-dns.net dans le DHCP, une astuce que certains opérateurs exploitent.

DNS over TLS — DoT (RFC 7858). Les requêtes passent par une connexion TLS dédiée sur le port 853. Plus simple à bloquer qu’un flux HTTPS parce que le port est identifiable, mais plus léger en overhead réseau. C’est le choix par défaut de la fonction Private DNS d’Android, d’iOS depuis la version 14, et de la plupart des routeurs grand public récents. Quad9, Cloudflare, Google et NextDNS proposent tous un endpoint DoT.

DNS over QUIC — DoQ (RFC 9250). Le successeur désigné, activé par Quad9 en mars 2026. QUIC impose TLS 1.3 comme prérequis, fusionne l’établissement de connexion et le handshake chiffré en un seul aller-retour, et survit aux changements de réseau sans renégociation. Objectivement plus rapide que DoT et plus discret que DoH, mais encore en phase d’adoption côté clients. C’est la cible à viser pour qui déploie aujourd’hui.

Un mot sur DNSCrypt : le protocole est maintenu et Quad9 le supporte toujours, mais il n’a jamais été standardisé par l’IETF. C’est un vestige utile pour les environnements contraints, pas une cible de déploiement en 2026.

Quad9, NextDNS, Cloudflare : qui protège vraiment votre vie privée

Tous les résolveurs chiffrés ne se valent pas. La différence se joue sur un point précis : ce que le résolveur fait des métadonnées qu’il voit.

Quad9, fondation suisse à but non lucratif, ne stocke aucune donnée personnellement identifiable. Pas d’adresse IP, pas de logs, pas de revente — le modèle économique repose sur des subventions (Global Cyber Alliance, IBM, CleanDNS) et des dons. Le filtrage anti-malware est activé par défaut (9.9.9.9) et utilise 22 flux de threat intelligence. DNSSEC est validé sur tous les endpoints. Les adresses : 9.9.9.9 (IPv4), 2620:fe::fe (IPv6), DoH sur https://dns.quad9.net/dns-query, DoT sur tls://dns.quad9.net.

NextDNS, société commerciale fondée par les créateurs de la stack réseau de Netflix, propose un modèle « cloud Pi-hole » avec 132 points de présence et une interface de configuration granulaire. La politique de confidentialité interdit explicitement la revente et le partage des données. Les logs sont configurables par l’utilisateur : de zéro (no-logs) jusqu’à deux ans, avec choix de la juridiction de stockage (États-Unis, UE, Royaume-Uni, Suisse). Le filtrage couvre les trackers, les malwares, les cryptojackers et les DGA. C’est le meilleur compromis entre contrôle et simplicité pour un usage domestique avancé.

Cloudflare (1.1.1.1) chiffre les requêtes et supprime les logs sous 24 heures, mais son business model — un CDN qui voit passer une fraction massive du trafic mondial — crée une concentration de données qui inquiète les défenseurs de la vie privée. Leur partenariat historique avec APNIC pour les données de recherche est documenté et contractuel, pas un scandale, mais il rappelle que Cloudflare n’est pas une fondation philanthropique.

Google (8.8.8.8) est le pire choix pour la confidentialité : les données de résolution DNS sont croisées avec le reste de l’écosystème Google (compte, historique, publicités), et la politique de confidentialité conserve un flou calculé sur les usages internes.

Configurer le chiffrement DNS en dix minutes

Voici trois configurations qui couvrent l’essentiel des cas d’usage, du plus simple au plus flexible.

Android et iOS : Private DNS natif

Sur Android 9+ : Paramètres → Connexions → Plus de paramètres → DNS privé. Saisissez dns.quad9.net et activez. L’OS bascule automatiquement en DoT. Sur iOS 14+ : installez un profil de configuration via un outil comme dns.notjakob.com ou utilisez l’application NextDNS.

Routeur : bascule globale du réseau domestique

Si votre routeur supporte le DoT natif (Fritz!Box récent, OpenWrt, pfSense, OPNsense), configurez dns.quad9.net comme résolveur DoT sur le port 853. Tous les appareils du réseau bénéficient du chiffrement sans configuration individuelle.

# Exemple de configuration Unbound sur un routeur OpenWrt/pfSense
server:
  forward-zone:
    name: "."
    forward-tls-upstream: yes
    forward-addr: 9.9.9.9@853#dns.quad9.net
    forward-addr: 149.112.112.112@853#dns.quad9.net

Pour les routeurs sans support DoT, le protocole DoH passe sur le port 443 et se fond dans le trafic HTTPS — le blocage est techniquement plus difficile pour l’opérateur.

NextDNS + Pi-hole : le setup avancé

Le combo NextDNS (comme upstream chiffré) + Pi-hole (comme cache local et bloqueur de pubs) donne le contrôle le plus fin :

1. Déployez Pi-hole sur un Raspberry Pi ou un conteneur Docker.
2. Dans l’interface Pi-hole → Settings → DNS, décochez tous les upstream publics non chiffrés.
3. Cochez Custom 1 (IPv4) et saisissez l’adresse DoH de NextDNS (visible dans votre tableau de bord my.nextdns.io).
4. Activez DNSSEC pour empêcher l’empoisonnement de cache.

# Pi-hole + NextDNS via cloudflared (proxy DoH → DNS classique)
docker run -d --name cloudflared \
  --restart unless-stopped \
  cloudflare/cloudflared:latest \
  proxy-dns --address 0.0.0.0 --port 5053 \
  --upstream https://dns.nextdns.io/abc123

Le trafic fait : appareil → Pi-hole (blocage pub) → cloudflared (tunnel DoH) → NextDNS (résolution). Chaque maillon est sous votre contrôle.

Et DNSSEC dans tout ça

Le chiffrement DNS protège la confidentialité de vos requêtes. DNSSEC protège leur intégrité : il empêche un attaquant d’injecter une réponse falsifiée qui redirige ameli.fr vers un serveur de phishing. Les deux sont complémentaires, pas redondants.

Sans DNSSEC, un attaquant sur le même réseau Wi-Fi peut empoisonner le cache de votre résolveur et vous envoyer vers un faux site bancaire, même avec DoH activé — parce que DoH chiffre la requête vers le résolveur, mais ne vérifie pas que la réponse reçue est authentique. DNSSEC valide cryptographiquement la chaîne de confiance depuis la racine jusqu’au domaine interrogé. Quad9 et NextDNS l’activent par défaut ; Cloudflare le fait aussi, mais Quad9 bloque activement les domaines dont la signature DNSSEC échoue.

Sur Pi-hole, l’option est un simple interrupteur dans l’interface Settings → DNS → Use DNSSEC. Sur un serveur Unbound local, ajoutez auto-trust-anchor-file et configurez la racine de confiance.

Le verdict : quel résolveur pour quel usage

Le chiffrement DNS est devenu un standard de facto en 2026 — Firefox, Chrome, Edge, Android, iOS et la plupart des routeurs récents le supportent nativement. Passer son trafic DNS en clair est aujourd’hui un choix par défaut, pas une fatalité technique.

Pour un usage individuel sans configuration : Quad9 sur dns.quad9.net en Private DNS Android/iOS. Gratuit, DNSSEC actif, blocage malware activé, zéro log. Le meilleur rapport protection/simplicité.

Pour un foyer qui veut bloquer pubs et trackers en plus : NextDNS en upstream DoH/DoT, éventuellement couplé à Pi-hole pour le cache local. Le plan gratuit couvre 300 000 requêtes par mois, largement suffisant pour un foyer. L’interface de configuration des listes de blocage est la plus aboutie du marché.

Pour un homelab qui veut tout maîtriser : Unbound en résolveur récursif local, avec forwarding DoT vers Quad9 pour la résolution externe et DNSSEC en validation stricte. Aucune dépendance à un tiers, zéro log externe.

Pour une entreprise : NextDNS ou Control D en plan payant, avec des profils de configuration par service (RH, marketing, R&D), du filtrage de contenu catégoriel, et une isolation des logs par juridiction. Le coût marginal est de l’ordre de 2 € par poste et par mois, contre un risque de fuite de données dont le coût médian dépasse les 4 millions d’euros selon l’édition 2025 du rapport IBM/Ponemon.

Références

• Quad9 Service Addresses & Features — configuration des endpoints DoH, DoT, DoH3, DoQ, DNSCrypt
• Quad9 Enables DNS Over HTTP/3 and DNS Over QUIC — annonce du 9 mars 2026
• dnsprivacy.org — Public Resolvers — liste tenue à jour des résolveurs supportant DoT, DoH et DoQ
• NextDNS Privacy Policy — politique de non-revente et mécanisme WYSIWWH
• RFC 8484 — DNS Queries over HTTPS (DoH)
• RFC 7858 — Specification for DNS over Transport Layer Security (DoT)
• RFC 9250 — DNS over Dedicated QUIC Connections
• Cloudflare — Encrypted Client Hello — ECH, la dernière pièce du puzzle