Le système de noms de domaine, ou DNS, traduit les noms de sites en adresses IP utilisables par les appareils. La plupart des foyers emploient le résolveur du fournisseur d’accès à Internet, souvent sans le savoir. Configurer Quad9 DNS à la maison remplace ce maillon pour bloquer une part des domaines associés à des menaces connues. Cette modification se réalise sur la box, le routeur ou chaque terminal, mais elle demande quelques vérifications préalables. Une erreur d’adresse, d’IPv6 ou de protocole peut sinon laisser certains appareils sur l’ancien résolveur.
Comment changer ses DNS avant de sécuriser le réseau familial ?
Le réglage le plus courant consiste à saisir 9.9.9.9 comme serveur primaire et 149.112.112.112 comme serveur secondaire sur la box ou le routeur. Cette paire active le service sécurisé par défaut, avec blocage de domaines malveillants et contrôle DNSSEC. Vérifiez aussi la gestion de l’IPv6, du DHCP et du chiffrement, puis testez le résolveur utilisé par chaque type d’appareil. Le changement est gratuit et ne réclame ni application ni équipement particulier.
1. Vérifiez les adresses du service sécurisé avant toute saisie
L’adresse DNS Quad9 9.9.9.9 correspond au résolveur public sécurisé destiné au grand public. Son serveur secondaire est 149.112.112.112. Ces deux adresses IPv4 forment le service Secure standard, celui qui combine protection contre les domaines dangereux et validation des réponses DNS.
Ne confondez pas cette configuration avec les adresses 9.9.9.11 et 149.112.112.11. Elles correspondent à une variante sécurisée qui transmet une information de localisation approximative aux réseaux de diffusion de contenu. Une saisie incomplète ne bloque pas forcément la navigation, mais elle réduit la redondance en cas d’indisponibilité d’un résolveur.
Le filtrage ne fonctionne pas comme un contrôle parental. Un nom de domaine contenant le mot volcan, par exemple, n’est pas bloqué pour son thème. Le mécanisme vise les domaines répertoriés pour des activités malveillantes, comme l’hameçonnage, les logiciels malveillants ou certaines infrastructures de commande.
2. Choisissez où changer DNS sur une box internet
Modifier le DNS sur la box internet applique généralement le réglage à tous les appareils qui reçoivent leur configuration par le protocole Dynamic Host Configuration Protocol, ou DHCP. C’est la méthode la plus cohérente pour les téléviseurs connectés, consoles, enceintes et objets domotiques. L’interface d’administration peut toutefois conserver les DNS du fournisseur d’accès à Internet pour la téléphonie ou certains services opérateur.
Un routeur personnel placé derrière la box offre souvent davantage d’options. Il faut alors désactiver le Wi-Fi de la box ou éviter un double réseau, afin que les appareils ne récupèrent pas des paramètres contradictoires. Sur un ordinateur ou un smartphone, le réglage individuel reste utile pour un test, mais il ne protège pas le reste du foyer.
Avant d’enregistrer la modification, notez les adresses DNS actuelles. Ce relevé permet un retour rapide en arrière si un équipement ancien ne résout plus certains noms locaux ou si une fonction de la box réagit mal.
3. Contrôlez IPv4, IPv6 et DHCP sur le réseau domestique
Un réseau familial utilise souvent IPv4 et IPv6 en parallèle. Changer uniquement les serveurs IPv4 peut donc laisser une partie des requêtes partir vers les DNS du fournisseur via IPv6. Il faut contrôler les deux rubriques dans l’interface de la box, puis renseigner les adresses IPv6 proposées par le service choisi lorsque le firmware le permet.
Le DHCP doit diffuser les nouveaux paramètres aux appareils. Un redémarrage de la box, puis une reconnexion au Wi-Fi, suffisent souvent à renouveler le bail réseau. Certains objets connectés gardent pourtant leur configuration en mémoire plusieurs heures et nécessitent un redémarrage manuel.
Cette vérification évite un faux sentiment de protection. Pour sécuriser réseau domestique avec DNS, tous les chemins de résolution doivent converger vers le même résolveur, sans exception invisible entre IPv4 et IPv6.
4. Activez le chiffrement DNS lorsque la box le permet
Le DNS classique transmet les requêtes sans chiffrement entre l’appareil et le résolveur. Les protocoles DNS-over-TLS (DoT) et DNS-over-HTTPS (DoH) protègent ce trajet contre l’observation locale, par exemple sur un réseau Wi-Fi public. À domicile, ils ajoutent une couche de confidentialité, mais ne remplacent ni le chiffrement HTTPS des sites ni un logiciel de sécurité.
Le DoT utilise habituellement le port 853. Le DoH passe par le trafic web chiffré et dépend désormais de HTTP/2 chez ce résolveur. Depuis le 15 décembre 2025, les clients encore limités à HTTP/1.1 ne peuvent plus employer le DoH et doivent être mis à jour ou configurés en DoT.
Toutes les box ne proposent pas ces protocoles pour les requêtes sortantes. Dans ce cas, un navigateur peut activer le DoH pour sa propre navigation, tandis que les autres appareils utilisent le DNS classique. Il faut donc vérifier le protocole réellement utilisé au lieu de supposer que le chiffrement est généralisé.
La configuration du DNS illustre la place croissante de la technologie dans la vie quotidienne, jusque dans les réglages les moins visibles de la maison connectée.
5. Mesurez ce que bloque la protection DNS et DNSSEC
Le filtrage des domaines malveillants intervient avant l’ouverture de la connexion vers le site demandé. Lorsqu’un domaine figure dans les flux de renseignements sur les menaces, le résolveur renvoie généralement une réponse négative, appelée NXDOMAIN. Cela limite les erreurs de clic et certains scénarios d’infection, sans analyser les fichiers déjà présents sur un appareil.
La validation DNSSEC vérifie les signatures cryptographiques des zones qui utilisent cette extension. Si la chaîne de signatures est invalide, aucune réponse considérée comme fiable n’est fournie. Cette protection réduit le risque de falsification d’une réponse DNS, mais elle ne rend pas légitime un site frauduleux hébergé sur un domaine techniquement valide.
Un blocage peut exceptionnellement concerner un service légitime après une compromission ou une erreur de classement. Testez alors le site sur un autre réseau avant de modifier toute la configuration. Désactiver le résolveur pour un seul incident affaiblit la protection de l’ensemble des appareils.
6. Évaluez la confidentialité DNS pour la famille et EDNS Client-Subnet
La confidentialité DNS pour la famille repose d’abord sur une collecte limitée des données de résolution. La configuration standard ne transmet pas les données EDNS Client-Subnet par défaut. Cette extension peut révéler une portion de l’adresse réseau de l’utilisateur à certains services afin d’orienter la requête vers un serveur de contenu proche.
L’absence de cette donnée favorise la discrétion, mais peut parfois conduire à un routage moins précis vers un réseau de diffusion de contenu, ou CDN. La conséquence reste généralement limitée à un choix de serveur moins proche géographiquement. Pour un foyer, le compromis est souvent acceptable, sauf usages très sensibles à la latence comme certains jeux en ligne ou flux en direct.
La variante avec les adresses se terminant par .11 existe précisément pour les personnes qui privilégient cette optimisation. Elle doit être choisie consciemment, car elle modifie l’équilibre entre confidentialité et performance de distribution.
7. Testez le résolveur réellement utilisé après le changement
Après l’enregistrement, ouvrez plusieurs sites depuis un ordinateur, un téléphone et un appareil connecté. Vérifiez que la navigation reste normale, puis consultez les paramètres réseau de chaque système pour confirmer les serveurs reçus. Un appareil configuré manuellement peut ignorer le DHCP de la box et continuer à employer une adresse antérieure.
Un test DNS doit aussi porter sur les fuites liées au navigateur, à un réseau privé virtuel ou à une application qui embarque son propre DoH. Si les résultats affichent le résolveur du fournisseur d’accès, le réglage est incomplet. Contrôlez en priorité l’IPv6, les réglages de confidentialité du navigateur et les paramètres du routeur.
Conservez enfin une trace de la date du changement et des adresses installées. Cette précaution facilite le diagnostic lors d’une panne et aide à distinguer un blocage DNS d’un problème de connexion internet.
Remplacer les DNS de la maison renforce utilement la première étape de navigation, sans transformer le réseau en environnement invulnérable. Une mise à jour régulière de la box, des appareils et des mots de passe reste indispensable pour conserver une protection cohérente.