AdGuard Home remplace Pi-hole comme standard du blocage DNS auto-hébergé en 2026
AdGuard Home 0.107.77 et Pi-hole v6 se disputent le blocage DNS réseau en 2026. Le DNS chiffré natif, le contrôle par client et le contrôle parental intégré font pencher la balance pour tout nouveau déploiement. Si vous démarrez aujourd’hui, l’écart est tranché.
Février 2025, Pi-hole sort sa v6 — la plus grosse refonte de son histoire. Juin 2026, AdGuard Home publie 0.107.77 en corrigeant un path traversal CVE en moins de deux semaines. Les deux projets sont en pleine forme. Et pourtant, en avril 2026, la question ne se pose plus dans les mêmes termes qu’il y a trois ans : pour un nouveau déploiement, AdGuard Home est le meilleur choix, et l’écart n’est pas un match nul. Pi-hole garde une niche — le résolveur récursif avec unbound, l’analytique long terme, la communauté — mais il ne peut plus prétendre au titre de standard par défaut.
Le principe est le même des deux côtés : vous installez un serveur DNS sur votre réseau, vous le configurez comme résolveur, et chaque requête vers un domaine de pub, de tracking ou de malware reçoit une réponse vide. L’asset publicitaire ne charge jamais, et ce pour tous les appareils — smartphones, télés connectées, consoles, caméras IoT — sans installer la moindre extension nulle part. Une seule machine, un seul point de configuration, et votre réseau entier est nettoyé.
Pi-hole v6 — la refonte qui efface vingt ans de rustine
Pi-hole est né en 2014 sur un Raspberry Pi avec une promesse simple : transformer un nano-ordinateur en trou noir pour les pubs. Douze ans plus tard, il affiche 50 000 étoiles GitHub, une communauté qui a répondu à toutes les questions imaginables, et une fiabilité forgée sur des millions d’installations. La version v6, publiée en février 2025, est une rupture architecturale : le moteur FTL (un démon C basé sur dnsmasq) absorbe désormais l’interface web et une véritable API REST directement dans le binaire. Lighttpd et PHP disparaissent de la stack. La configuration migre dans /etc/pihole/pihole.toml. En clair, Pi-hole v6 a fait ce qu’AdGuard Home fait depuis le premier jour : tourner sur un seul binaire.
Ce qui reste l’atout de Pi-hole, c’est son écosystème. FTL conserve une base SQLite avec 365 jours de rétention des requêtes par défaut — un trésor pour qui vit dans Grafana. Les intégrations Home Assistant, les tableaux de bord PADD, les applications mobiles tierces, les fils Reddit où chaque message d’erreur a déjà une réponse : Pi-hole a douze ans de troubleshooting capitalisé. Le couplage canonique avec unbound — un résolveur récursif local qui interroge les serveurs racine directement, sans passer par un tiers — reste la configuration la plus aboutie en matière de vie privée DNS. Aucun fournisseur, pas même Quad9 ou Cloudflare, ne voit votre flux complet de requêtes.
Les limites sont structurelles. Pi-hole ne fait que du DNS en clair sur le port 53. Il ne peut pas répondre à des clients en DoH, DoT ou DoQ. Si vous voulez du chiffrement sortant, vous devez installer cloudflared (proxy DoH) ou unbound à côté — un deuxième service à déployer, surveiller et mettre à jour. Le filtrage par client repose sur un système de groupes (introduit en v5, maintenu en v6) qui fonctionne pour des cas simples — une liste stricte pour le VLAN des enfants, une permissive pour votre homelab — mais n’offre ni SafeSearch, ni blocage de services par plage horaire, ni presets de contrôle parental. Tout cela se bricole avec des regex, des cron jobs et des listes tierces.
AdGuard Home — le DNS chiffré natif change tout
AdGuard Home est né en 2018 sous l’impulsion d’AdGuard, l’éditeur connu pour ses bloqueurs de pubs. Écrit en Go et distribué comme un binaire unique sans dépendance, il s’installe en dix minutes sur Linux, Windows, macOS, FreeBSD ou OpenWrt — là où Pi-hole exige Linux ou Docker. Son atout décisif en 2026 : le DNS chiffré natif, dans les deux sens.
AdGuard Home parle DoH, DoT et DoQ en sortie sans aucun composant externe. Le résolveur amont par défaut est Quad9 en DoH (https://dns10.quad9.net/dns-query) — vos requêtes quittent le domicile chiffrées sans que vous ayez touché à rien. Mieux : il peut aussi agir comme serveur DNS chiffré. Donnez-lui un certificat TLS et vos appareils le consultent en DoH, DoT ou DoQ depuis l’extérieur. Le test qui tue : prenez un téléphone Android, ouvrez les paramètres de DNS privé, pointez-le vers votre instance AdGuard Home. Ça marche. Avec Pi-hole, c’est impossible — rien n’écoute sur le port 853. Si le DNS chiffré côté client est sur votre wishlist, la comparaison est déjà pliée.
Le contrôle par client est l’autre différenciateur massif. AdGuard Home traite les clients comme des objets de première classe : vous définissez un client par IP, CIDR, MAC ou ClientID (un identifiant intégré au nom d’hôte pour les connexions DoT/DoQ, qui suit l’appareil même hors du réseau local), puis vous lui attribuez ses propres résolveurs amont, ses listes de blocage, son SafeSearch forcé (Google, YouTube, Bing, DuckDuckGo), son filtre adulte et son blocage de services avec plages horaires. Bloquer TikTok et YouTube sur la tablette des enfants les soirs de semaine en cinq clics, sans une ligne de regex, c’est la promesse tenue d’AdGuard Home.
L’interface est sensiblement plus moderne : navigation plus claire, dashboard responsive, assistant de configuration qui explique chaque option. La syntaxe de filtrage couvre l’intégralité du format AdGuard avec des modificateurs comme $client, $dnstype, $dnsrewrite et $important, ce qui permet à une seule règle de faire ce que Pi-hole émule avec une regex, un enregistrement DNS local et un cron job.
Le vrai fossé : le DNS chiffré est devenu la baseline
En 2026, le DNS chiffré n’est plus un luxe de power user. Android impose le DNS privé (DoT) par défaut depuis plusieurs versions. Firefox et Chrome activent le DoH automatiquement. Les FAI monétisent les logs DNS — Verizon et T-Mobile ont été épinglés pour revente de données de navigation issues des requêtes DNS, et le phénomène n’est pas confiné aux États-Unis. Un Pi-hole seul bloque les pubs sur votre réseau mais laisse votre FAI lire chaque domaine que vous consultez en amont. Ajouter cloudflared ou unbound corrige le problème, et la configuration est bien documentée — comptez vingt minutes de travail supplémentaire. Mais pour un nouveau déploiement, obtenir le DNS chiffré sans cette étape est un argument qui pèse.
Les deux outils partagent la même limite fondamentale : ni l’un ni l’autre ne bloque les pubs YouTube, Twitch ou Facebook dans les applis. Ces publicités sont servies depuis les mêmes domaines que le contenu, et le blocage DNS ne peut pas les séparer. Ce que vous bloquez, ce sont les domaines de pubs tierces, les traqueurs, la télémétrie et les malware domains. Quiconque promet plus vous vend quelque chose.
Côté maintenance, les deux projets sont en excellente santé en 2026. Pi-hole se met à jour avec pihole -up et bénéficie de douze ans de réponses communautaires. AdGuard Home est soutenu par l’entreprise AdGuard et livre des correctifs en quelques jours : v0.107.75 a patché une vulnérabilité DoQ/DoH en mai 2026, v0.107.77 a corrigé un path traversal (CVE-2026-XXXXX) en juin 2026. Prenez cela comme la preuve d’un projet activement maintenu — et comme le rappel de garder le vôtre à jour, puisque votre serveur DNS voit tout.
La sauvegarde est triviale des deux côtés : Teleporter exporte toute la configuration Pi-hole dans une archive, et AdGuardHome.yaml contient l’intégralité de la configuration d’AdGuard Home — un seul fichier que vous pouvez versionner dans Git. Si vous utilisez Docker, reconstruire l’un ou l’autre est un non-événement.
Verdict
La question n’est pas « lequel est le meilleur dans l’absolu » — c’est « quel est votre point de départ ».
Vous démarrez aujourd’hui un nouveau déploiement, surtout pour un réseau familial avec des enfants. Installez AdGuard Home. Le DNS chiffré natif dans les deux sens, le contrôle par client avec SafeSearch, le blocage de services par plage horaire et le contrôle parental intégré sont des fonctionnalités que vous utiliserez réellement — et Pi-hole ne les propose pas sans services annexes et regex maison. Le binaire unique tourne sur à peu près n’importe quelle machine, et l’assistant de configuration vous prend par la main. Le verdict de HomelabCompass et de Selfhostr converge : pour un nouveau déploiement en 2026, AdGuard Home est le meilleur choix, et ce n’est pas un pile ou face.
Vous avez déjà Pi-hole v5/v6 avec unbound et tout fonctionne. Restez sur Pi-hole. Migrer un résolveur qui tourne pour des fonctionnalités que vous n’utiliserez pas n’a aucun sens. Le couple Pi-hole + unbound reste la configuration la plus aboutie en matière de vie privée DNS — aucun tiers ne voit votre flux complet de requêtes, pas même Quad9. Pi-hole v6 a modernisé la stack sans que vous ayez à lever le petit doigt.
Vous voulez un an d’historique de requêtes et des tableaux de bord Grafana. Pi-hole. La base long terme de FTL et l’écosystème de dashboards, d’intégrations Home Assistant et d’écrans PADD n’a pas d’équivalent côté AdGuard Home.
Votre « serveur » est un NAS, un PC Windows ou un routeur OpenWrt. AdGuard Home. Pi-hole exige Linux ou Docker, sans exception. AdGuard Home tourne nativement sur Windows, macOS, FreeBSD et OpenWrt.
Le blocage DNS réseau est l’un des changements les plus rentables que vous puissiez faire sur votre réseau domestique. Il réduit le tracking sur des appareils où vous ne pouvez pas installer d’extensions, coupe une partie du trafic en bloquant les assets publicitaires avant leur chargement, et vous donne une visibilité sur ce que vos objets connectés interrogent vraiment. Les deux outils sont gratuits, open source, et transforment un Raspberry Pi ou une VM à quelques euros par mois en rempart pour tous vos appareils. Le plus dur n’est pas de choisir entre Pi-hole et AdGuard Home — c’est de franchir le pas.
Références
- Pi-hole — Network-wide ad blocking
- Pi-hole v6 Release Notes — Février 2025
- Pi-hole Documentation
- AdGuard Home — Official Site
- AdGuard Home GitHub — AdguardTeam/AdGuardHome
- AdGuard Home v0.107.77 Release Notes — Juin 2026
- Selfhostr — Pi-hole vs AdGuard Home 2026
- HomelabCompass — Pi-hole vs AdGuard Home (2026)
- SaaSCompared — Pi-hole vs AdGuard Home in 2026
- Noted.lol — Block Everything You Hate Online with AdGuard Home
- Pi-hole + unbound — Official Guide