DNS publics

Les DNS publics sont des serveurs DNS opérés par de grandes entreprises ou organisations à but non lucratif, utilisables gratuitement par n’importe qui. Les plus connus : 8.8.8.8 (Google), 1.1.1.1 (Cloudflare), 9.9.9.9 (Quad9). Ce guide compare leurs performances, leurs fonctionnalités (vie privée, filtrage, sécurité), et explique comment et pourquoi changer ses DNS.

Pourquoi changer ses DNS

• Vitesse : un DNS plus rapide réduit le temps de résolution avant chaque connexion. Gain typique : 10-50 ms par requête, perceptible sur la navigation quotidienne.
• Vie privée : le DNS de votre FAI peut journaliser et exploiter votre historique de navigation. Les DNS publics audités le font moins (voire pas du tout).
• Sécurité : certains DNS bloquent automatiquement les domaines malveillants connus (phishing, malware). Filet de sécurité supplémentaire.
• Filtrage parental : variantes DNS qui bloquent les contenus pour adultes (CleanBrowsing Family, Quad9 Family).
• Résistance à la censure : si votre FAI bloque certains sites via DNS (cas en France pour des sites de jeux d’argent ou de piratage), changer de DNS contourne le blocage.
• Support DoH/DoT : les DNS modernes chiffrent les requêtes DNS, empêchant l’écoute par le réseau.

Google Public DNS : 8.8.8.8 et 8.8.4.4

Lancé en 2009, c’est le DNS public le plus utilisé au monde. IPs : 8.8.8.8 (primaire) et 8.8.4.4 (secondaire). En IPv6 : 2001:4860:4860::8888 et ::8844.

Avantages : très rapide partout dans le monde grâce à l’infrastructure Google, fiable, supporte DoH/DoT. Inconvénients : Google reste un acteur publicitaire, la confidentialité absolue des requêtes DNS face à Google peut faire débat (Google s’engage à ne pas associer les requêtes à des comptes Google, mais on doit lui faire confiance).

Cloudflare : 1.1.1.1 (et 1.0.0.1)

Lancé en avril 2018, Cloudflare DNS est positionné comme l’option vie privée. IPs : 1.1.1.1 (primaire) et 1.0.0.1 (secondaire). IPv6 : 2606:4700:4700::1111 et ::1001.

Argument vie privée : audit annuel par KPMG, engagement à ne pas conserver les requêtes plus de 24h, partenariat avec l’APNIC pour la recherche. Variantes :

• 1.1.1.1 : standard, sans filtrage.
• 1.1.1.2 : bloque le malware.
• 1.1.1.3 : bloque malware + contenu adulte.

Cloudflare propose aussi son app gratuite « 1.1.1.1 with WARP » qui chiffre la connexion comme un VPN léger.

Quad9 : 9.9.9.9

Opéré par une association à but non lucratif suisse (IBM, Global Cyber Alliance, Packet Clearing House). Spécifiquement orienté sécurité.

Particularité : Quad9 bloque par défaut les domaines connus pour héberger du malware, du phishing, des kits d’exploitation. La base de menaces est alimentée par plus de 20 partenaires en cybersécurité.

• 9.9.9.9 : sécurité activée (par défaut).
• 9.9.9.10 : sécurité désactivée (équivalent DNS classique).
• 9.9.9.11 : sécurité activée + DNSSEC strict.

OpenDNS : 208.67.222.222 et 208.67.220.220

Racheté par Cisco en 2015 et rebranded en « Cisco Umbrella » côté entreprise. Le DNS public OpenDNS Home reste gratuit pour particuliers, avec création de compte pour filtrage personnalisable.

Bon pour le filtrage parental avancé. Moins rapide que les concurrents (réseau moins étendu géographiquement).

Autres DNS publics

• AdGuard DNS : 94.140.14.14 et 94.140.15.15. Bloque pubs et trackers au niveau DNS. Variantes Family et non-filter.
• NextDNS : freemium, IP personnalisée par utilisateur, dashboard analytics, filtrage hyper configurable. Excellente option si on veut du contrôle fin.
• FDN (Free DNS) : opéré par l’association French Data Network. 80.67.169.12, anti-censure, neutralité réseau. Bon pour activisme et conscience.
• Yandex DNS : 77.88.8.8 — moins recommandé hors Russie pour des raisons géopolitiques.

DNS chiffré : DoH et DoT

Par défaut, les requêtes DNS circulent en clair sur le réseau. N’importe qui sur le chemin (FAI, hotspot, intermédiaire) peut les voir. DoH (DNS over HTTPS) et DoT (DNS over TLS) chiffrent ces requêtes.

• DoH : DNS encapsulé dans HTTPS, port 443. Difficile à distinguer du trafic web normal — résistant à la censure. Supporté nativement par Firefox, Chrome, Edge.
• DoT : DNS sur TLS, port 853. Plus simple à implémenter côté admin réseau, mais identifiable comme du trafic DNS.

Cloudflare, Google, Quad9, NextDNS supportent tous DoH et DoT. À configurer dans les paramètres de votre OS ou navigateur.

Comment changer ses DNS

Sur Windows 10/11

• Paramètres > Réseau et Internet > Wi-Fi (ou Ethernet) > Propriétés du matériel.
• Attribution de serveur DNS > Modifier > Manuel.
• Saisir IPv4 et IPv6 + activer DoH si disponible.

Sur macOS

• Préférences Système > Réseau > Avancé > DNS.
• Ajouter les IPs en haut de la liste (l’OS utilise par ordre).

Sur iPhone

• Réglages > Wi-Fi > « i » du réseau > Configurer DNS > Manuel > Ajouter serveurs.

Sur Android

• Paramètres > Réseau et Internet > DNS privé > Nom d’hôte (utiliser dns.google, 1dot1dot1dot1.cloudflare-dns.com, etc.) pour DoT.

Sur la box (recommandé pour le foyer entier)

Aller dans l’interface admin 192.168.1.1 > section DHCP ou DNS > configurer les serveurs distribués. Tous les appareils connectés en hériteront automatiquement.

Performance comparée des DNS publics

Mesures typiques depuis la France (2024-2025) :

• Cloudflare 1.1.1.1 : ~10-15 ms (souvent le plus rapide en Europe).
• Google 8.8.8.8 : ~12-18 ms.
• Quad9 9.9.9.9 : ~15-25 ms.
• FAI Orange/Free : ~5-10 ms (souvent imbattable en latence pure, mais variabilité).
• OpenDNS : ~20-30 ms.

Outils de mesure : DNS Benchmark (Windows, Steve Gibson), namebench (Google, multi-OS), dig +noall +stats domain @1.1.1.1 en CLI.

FAQ : DNS publics

Quel DNS public choisir ?

Vie privée : Cloudflare 1.1.1.1 (audité KPMG). Sécurité : Quad9 9.9.9.9 (blocklist menaces). Vitesse globale : Cloudflare ou Google. Filtrage adulte : Cloudflare 1.1.1.3 ou CleanBrowsing Family.

Faut-il configurer DNS primaire + secondaire ?

Oui, toujours en couple pour la résilience. Mixer deux fournisseurs (1.1.1.1 + 8.8.8.8 par exemple) garantit que si l’un tombe, l’autre prend le relais.

Le DNS de mon FAI surveille-t-il mes requêtes ?

Techniquement il peut. La loi française impose la conservation des données de connexion (logs DNS inclus dans certains cas) pendant 1 an. Changer pour un DNS public chiffré (DoH) sort vos requêtes de la surveillance FAI.

DNS public et HADOPI : protection ?

Non. HADOPI surveille les flux peer-to-peer (BitTorrent), pas les requêtes DNS. Changer de DNS ne change rien à la détection HADOPI.

Changer de DNS peut-il casser des sites ?

Rare. Cas particulier : certains services (banques, intranet) reposent sur des résolutions DNS internes uniquement disponibles via le DNS FAI ou entreprise. Le DNS public ne les résoudrait pas. Solution : restaurer le DNS FAI pour ces cas.