DNS over HTTPS 2026 : Cloudflare vs NextDNS vs Quad9 vs auto-hébergé, et ce que DoH laisse fuiter

Table des matières

• Pourquoi DoH et DoT comptent en 2026
• Cloudflare 1.1.1.1 - analyse approfondie
• NextDNS - analyse approfondie
• Quad9 - analyse approfondie
• Résolveur auto-hébergé - analyse approfondie
• Tableau comparatif : 5 options × 10 critères
• Recommandations par profil

Qu'est-ce que le DNS-over-HTTPS et pourquoi est-ce important ?

Le DNS-over-HTTPS (DoH) chiffre les requêtes DNS à l'intérieur du trafic HTTPS standard sur le port 443, les rendant indiscernables de la navigation web ordinaire. Sans chiffrement, chaque nom d'hôte que vous résolvez - chaque site visité - transite en clair, lisible par votre FAI, les opérateurs WiFi publics et les équipements d'interception. En 2026, le DNS non chiffré reste le vecteur de surveillance réseau le plus largement exploité.

Pourquoi DoH et DoT comptent en 2026

Le DNS a été conçu en 1983 avec une seule exigence : l'exactitude. La confidentialité n'était pas à l'ordre du jour. Chaque requête DNS que vous envoyez - le nom d'hôte de chaque site visité, chaque API appelée, chaque mise à jour vérifiée par votre téléphone - transite en clair par défaut. Votre FAI peut la lire. L'opérateur d'un réseau WiFi public peut la lire. Tout État gérant un boîtier d'interception sur un réseau de transit peut la lire.

En 2026, ce n'est pas une menace théorique. Des mandats réglementaires de filtrage basé sur le DNS sont actifs dans l'UE, au Royaume-Uni, en Australie, en Inde et dans des dizaines d'autres pays. Des FAI dans plusieurs pays monétisent les journaux de requêtes DNS en les vendant à des courtiers en données. L'injection de contenu par DPI - où votre FAI réécrit les réponses DNS ou injecte du contenu dans les connexions HTTP - a été documentée dans au moins 14 pays en 2025. Le DNS non chiffré est simultanément la surface d'attaque la plus facile de votre réseau et celle laissée le plus souvent non corrigée.

Deux protocoles répondent à ce problème. Le DNS-over-TLS (DoT) encapsule le DNS dans une connexion TLS sur le port 853. Il chiffre la requête, mais comme ce port est exclusif au DoT, les opérateurs réseau peuvent identifier et bloquer ce trafic trivialement. Le DNS-over-HTTPS (DoH) envoie les requêtes DNS à l'intérieur du HTTPS standard sur le port 443, indiscernable pour un observateur passif du trafic web ordinaire. Cela rend le DoH bien plus difficile à censurer et élève considérablement le coût de la surveillance.

Au-delà de ces deux protocoles, le DNS-over-QUIC (DoQ) fait tourner une sémantique équivalente au DoH sur le transport QUIC, éliminant la surcharge du handshake TCP et améliorant la latence sur les réseaux mobiles. Cloudflare et quelques autres fournisseurs supportent DoQ en 2026, mais le support au niveau OS reste limité.

Il vaut la peine de nommer explicitement l'évolution du modèle de menace depuis 2020 - notre guide de modélisation des menaces pour utilisateurs techniques explique comment formaliser le vôtre. Il y a trois ans, le principal argument pour un DNS chiffré était la journalisation par les FAI. Cela reste vrai, mais trois vecteurs supplémentaires ont émergé :

Exposition RGPD et protection des données. Dans l'UE, les journaux de requêtes détenus par un résolveur constituent des données personnelles au sens de l'article 4(1). Si vous routez tout le DNS de votre foyer via un fournisseur commercial avec rétention, vous créez une relation de responsable de traitement à laquelle la plupart des utilisateurs n'ont jamais consenti de façon significative.

MITM sur WiFi public. Les cafés, aéroports, hôtels et salles de conférence procèdent couramment à l'interception DNS. Avec un DNS non chiffré, ils peuvent vous rediriger silencieusement. Le DoH élimine ce vecteur d'attaque, car l'endpoint du résolveur est vérifié par certificat TLS.

Contournement de la censure. Les blocages DNS imposés par l'État sont la première couche d'infrastructure de censure dans la plupart des pays. Chiffrer et tunneliser le DNS via un endpoint sur le port 443 contourne cette couche sans nécessiter un VPN complet. Pour les utilisateurs en environnements à accès restreint, le DoH est souvent l'outil de confidentialité minimum viable.

Les sections suivantes évaluent les quatre principales options disponibles en 2026 : Cloudflare 1.1.1.1, NextDNS, Quad9 et les résolveurs auto-hébergés.

Cloudflare 1.1.1.1 - analyse approfondie

Cloudflare a lancé 1.1.1.1 en avril 2018 comme résolveur public orienté confidentialité. En 2026, il reste le résolveur DNS public le plus rapide par latence médiane mondiale et l'endpoint DoH le plus largement déployé sur internet, intégré par défaut dans Chrome sur Android, plusieurs firmwares de routeurs et l'infrastructure iOS Private Relay.

Support protocolaire. 1.1.1.1 supporte DoH (RFC 8484), DoT (RFC 7858) et DoQ (RFC 9250). L'endpoint DoH est https://cloudflare-dns.com/dns-query et https://1.1.1.1/dns-query. Le serveur DoT est one.one.one.one sur le port 853.

Posture de confidentialité. Cloudflare publie un rapport annuel de confidentialité audité par KPMG. Engagements clés : ne pas vendre les données de requêtes DNS à des tiers, ne pas utiliser les données de 1.1.1.1 pour cibler des publicités, suppression des journaux d'IP complètes sous 25 heures. Des métadonnées de résolveur stub (IP tronquées, comptages agrégés de requêtes) sont conservées à des fins opérationnelles. Cloudflare est incorporé aux États-Unis, soumis aux NSL et aux ordres FISA Section 702. Pour les modèles de menace incluant la procédure légale du gouvernement américain, c'est une limitation non négligeable.

Variantes de filtrage. Cloudflare exploite trois résolveurs distincts. Le 1.1.1.1 de base n'applique aucun filtrage. Le 1.1.1.2 (Cloudflare Security) bloque les domaines malveillants et de phishing connus. Le 1.1.1.3 (Cloudflare Family) ajoute le filtrage de contenus adultes. Les équivalents DoH utilisent des sous-domaines : security.cloudflare-dns.com et family.cloudflare-dns.com.

Latence. Le réseau Anycast de Cloudflare couvre plus de 300 points de présence. La latence médiane depuis l'Europe occidentale est d'environ 5 à 12ms, la plus basse de tout résolveur public majeur.

Historique d'audit. Trois audits KPMG ont été publiés (2019, 2021, 2023), confirmant la conformité aux pratiques de données déclarées. Le prochain audit couvre les opérations 2025.

Verdict. Cloudflare 1.1.1.1 est le bon choix pour les utilisateurs qui privilégient la latence et le support multi-plateforme, et dont le modèle de menace n'inclut pas spécifiquement la procédure légale américaine.

NextDNS - analyse approfondie

NextDNS a été lancé en 2019 comme résolveur public configurable. Son différenciateur principal est la personnalisation par compte : listes de blocage, listes blanches, analytiques, contrôles parentaux et politiques par appareil. En 2026, NextDNS compte environ 2 millions d'utilisateurs actifs et traite plus de 200 milliards de requêtes par mois.

Support protocolaire. NextDNS supporte DoH, DoT, DoQ et DNSCrypt. Chaque compte obtient un endpoint de résolveur unique (https://dns.nextdns.io/XXXXXX) permettant l'application de politiques par compte.

Posture de confidentialité. NextDNS est incorporé au Delaware (États-Unis). Le modèle de confidentialité est basé sur des analytiques opt-in : par défaut, la journalisation des requêtes est désactivée. Si vous activez les journaux, vous choisissez la période de rétention. NextDNS déclare ne pas vendre les données de requêtes ni les utiliser pour la publicité. La juridiction américaine implique la même mise en garde NSL/FISA que Cloudflare. Pour les utilisateurs qui désactivent entièrement la journalisation, l'exposition pratique est minimale.

Listes de blocage et personnalisation. NextDNS propose plus de 40 listes de blocage curées : réseaux publicitaires, trackers, malwares, phishing, coinminers, contenus adultes, réseaux sociaux, etc. Vous pouvez les combiner, ajouter des domaines personnalisés et créer des listes blanches par appareil. Ce niveau de contrôle n'a pas d'équivalent chez Cloudflare ou Quad9.

Tarification. Tier gratuit : 300 000 requêtes par mois, toutes fonctionnalités. Le plan Pro coûte 1,99 $/mois ou 19,90 $/an, sans limite de requêtes.

Performance. NextDNS opère des datacenters en Europe et en Amérique du Nord, avec une empreinte plus petite que Cloudflare. La latence médiane depuis l'Europe occidentale est d'environ 15 à 25ms.

Verdict. NextDNS est le meilleur choix pour les utilisateurs qui veulent un contrôle de filtrage poussé, des politiques par appareil et des analytiques en temps réel. La juridiction américaine et le réseau PoP plus petit sont les deux principales limitations par rapport à Quad9.

Quel résolveur DNS choisir pour la confidentialité : Quad9 ou Cloudflare ?

Pour les utilisateurs soucieux de leur vie privée, Quad9 est le choix le plus solide : c'est une organisation à but non lucratif suisse, elle ne journalise pas les adresses IP, applique DNSSEC et n'a aucune incitation aux revenus publicitaires. Cloudflare 1.1.1.1 est plus rapide (médiane ~10ms vs ~13ms en Europe) et audité par KPMG, mais c'est une société américaine soumise aux procédures légales NSL/FISA. Choisissez Cloudflare pour la vitesse ; choisissez Quad9 si votre modèle de menace inclut une contrainte légale étatique américaine.

Quad9 - analyse approfondie

Quad9 a été lancé en novembre 2017. En 2020, il a déplacé son siège de San Francisco à Zurich, en Suisse, et s'est restructuré en fondation suisse à but non lucratif. Cette décision était délibérée : le droit suisse offre l'un des régimes de protection des données les plus solides pour un résolveur, sans obligation de rétention des journaux de requêtes ni cadre de surveillance équivalent à la FISA Section 702 américaine.

Support protocolaire. Quad9 supporte DoH (https://dns.quad9.net/dns-query), DoT (dns.quad9.net sur le port 853) et DNSCrypt. Le support DoQ est en cours de développement mais pas encore disponible en production à mi-2026.

Posture de confidentialité. L'engagement central de Quad9 est de ne pas journaliser les adresses IP des utilisateurs finaux en production. Le contenu des requêtes (le nom d'hôte interrogé) est utilisé de façon agrégée pour le renseignement sur les menaces mais n'est pas lié aux adresses IP. Quad9 publie un rapport de transparence annuel. En tant que fondation suisse, il n'est pas soumis aux NSL américains ni aux ordres FISA.

Filtrage malware. Le flux de sécurité de Quad9 agrège le renseignement sur les menaces de plus de 25 partenaires incluant F-Secure, Secureworks, Abuse.ch et plusieurs CERT nationaux. L'endpoint par défaut (9.9.9.9) bloque les domaines associés aux malwares, ransomwares, phishing et infrastructure C2 de botnets. Un endpoint non filtré est disponible sur 9.9.9.10 pour les utilisateurs qui veulent le chiffrement sans blocage.

Performance. Quad9 opère environ 200 PoPs, principalement en Europe et en Amérique du Nord. La latence médiane depuis l'Europe occidentale est de 8 à 18ms.

Verdict. Quad9 est l'option de résolveur public la plus solide pour les utilisateurs avec un modèle de menace sérieux. Juridiction suisse, structure à but non lucratif, absence de journalisation des IP et filtrage malware robuste en font la recommandation par défaut pour les utilisateurs souhaitant un résolveur géré sans auto-hébergement.

Résolveur auto-hébergé - analyse approfondie

Auto-héberger un résolveur DNS élimine entièrement le problème de journalisation par des tiers. Aucune entité externe ne reçoit votre journal de requêtes. La contrepartie est la complexité opérationnelle.

Les quatre options les plus pratiques en 2026 sont :

Unbound. Résolveur récursif et validateur maintenu par NLnet Labs. Unbound effectue une validation DNSSEC complète et supporte DoT comme forwarder upstream. Il ne supporte pas nativement le serveur DoH côté client mais se couple bien avec un frontend DoH comme dnsdist. Unbound est le choix de référence pour les utilisateurs voulant un résolveur léger et auditable.

AdGuard Home. Serveur DNS complet avec interface web intégrée, moteur de blocage et politiques par client. AdGuard Home supporte DoH, DoT, DoQ et DNSCrypt côté upstream comme côté listener. La configuration prend moins de 30 minutes sur n'importe quel système Linux. AdGuard Home est open-source (GPL-3.0) et activement maintenu.

Pi-hole avec proxy DoH. Pi-hole est le bloqueur DNS domestique le plus connu, ciblant principalement les publicités et trackers. Par défaut, il ne chiffre pas les requêtes upstream. L'ajout de dnscrypt-proxy ou cloudflared comme proxy DoH local fournit le chiffrement. Cette configuration à deux composants fonctionne mais comporte plus de pièces mobiles qu'AdGuard Home.

dnscrypt-proxy. Proxy flexible et léger supportant DoH, DoT, DNSCrypt et DNSCrypt anonymisé (routage des requêtes via un relais pour masquer le résolveur à l'IP source). dnscrypt-proxy est l'outil adapté aux utilisateurs voulant une flexibilité protocolaire maximale ou un routage anonymisé.

Considérations de déploiement. Pour un usage domestique, un Raspberry Pi 4 exécutant AdGuard Home gère le trafic du foyer à moins de 5% de charge CPU. Pour une petite équipe ou un bureau, un VPS à 6 $/mois suffit. Une option est le Cloud VPS Contabo (lien affilié), avec accès root complet et des centres de données en Europe, aux États-Unis et en Asie, pour choisir la juridiction. Le risque opérationnel principal est la disponibilité : si votre résolveur tombe et que vous l'avez configuré comme seul nameserver, la résolution DNS échoue pour tous les appareils. Configurer un upstream de secours - idéalement Quad9 ou un autre résolveur sans journalisation - atténue ce risque.

Verdict. L'auto-hébergement est l'option confidentialité maximale et vaut l'investissement en configuration pour les utilisateurs avancés, les familles soucieuses de leur vie privée et les petites équipes. AdGuard Home est le point de départ recommandé pour la plupart des utilisateurs.

Ce que DoH ne cache pas, et quand un VPN est le meilleur outil

DoH chiffre une seule chose : la question « quelle est l'adresse IP de ce nom d'hôte ? ». Il ne chiffre pas la destination de votre trafic ensuite. C'est le malentendu le plus fréquent, alors voici qui voit encore quoi une fois DoH activé.

Trois conclusions en découlent.

DoH seul n'empêche pas votre FAI de dresser un profil de navigation. Les adresses IP de destination restent visibles sur chaque connexion, et le champ Server Name Indication de la poignée de main TLS transporte encore le nom d'hôte en clair sur la plupart des sites. Encrypted Client Hello (ECH) comble cette faille, et Chrome comme Firefox le prennent en charge depuis fin 2023, mais il ne fonctionne que si l'hébergeur du site l'a activé, ce qui concerne aujourd'hui surtout les sites derrière Cloudflare. Voyez ECH comme un bonus, pas comme une garantie.

DoH déplace la confiance, il ne la supprime pas. Votre FAI ne voit plus vos requêtes ; votre résolveur, si. C'est pourquoi la comparaison des résolveurs ci-dessus compte, et pourquoi les options auto-hébergées obtiennent les meilleures notes : ce sont les seules où le résolveur, c'est vous.

Un VPN masque aussi la couche IP, mais vous faites alors confiance au fournisseur VPN. Avec un VPN, votre FAI voit une seule connexion chiffrée vers un seul serveur. Le fournisseur VPN prend la place qu'occupait votre FAI, donc les questions deviennent : la politique sans journaux est-elle auditée, où l'entreprise est-elle établie, et pouvez-vous inspecter l'application ?

Utiliser DoH et un VPN ensemble sans fuite

Combiner les deux ne pose pas de problème, mais les détails décident si cela aide ou fuit. La plupart des applications VPN résolvent le DNS via leurs propres serveurs dans le tunnel et bloquent les requêtes qui tentent d'aller ailleurs. Si vous imposez en plus un résolveur DoH tiers au niveau du système, vos requêtes peuvent sortir du tunnel, ce qui annule l'intérêt. Proton, par exemple, indique que ses applications intègrent une protection contre les fuites DNS, déconseille de régler un service DNS tiers dans les paramètres système pendant la connexion, et précise qu'un DNS personnalisé ne peut pas être combiné avec son bloqueur NetShield, puisque NetShield fonctionne justement en filtrant vos requêtes DNS.

La règle pratique :

• À la maison, sans VPN : activez DoH sur tout le système avec l'un des résolveurs ci-dessus (Quad9 ou auto-hébergé pour la meilleure confidentialité).
• Sur un Wi-Fi public, ou si vous ne voulez pas que votre FAI voie les IP de destination : connectez un VPN et laissez-le gérer le DNS dans le tunnel. Gardez votre résolveur DoH pour les moments où le VPN est coupé.
• Après chaque changement : lancez un test de fuite DNS avec le VPN actif et vérifiez que seul le résolveur du VPN apparaît. Notre guide de détection des fuites réseau explique la marche à suivre.

Pour essayer la partie VPN sans payer, Proton VPN propose une offre gratuite sans limite de données et sans publicité (un appareil, un choix réduit de pays). Sa politique sans journaux est auditée par Securitum chaque année depuis 2022 et ses applications sont open source ; l'offre payante ajoute le filtrage DNS NetShield contre les publicités, traqueurs et domaines malveillants. Lien affilié : nous pouvons toucher une commission si vous passez à l'offre payante, sans surcoût pour vous. Pour comparer avec les alternatives, voir Proton VPN vs Mullvad et notre comparatif VPN pour utilisateurs techniques.

Tableau comparatif : 5 options × 10 critères

Recommandations par profil

Utilisateur avancé à domicile. Déployez AdGuard Home sur un Raspberry Pi ou un mini PC. Configurez Quad9 DoH comme résolveur upstream. Vous obtenez un contrôle local des listes de blocage, aucune journalisation externe des requêtes, un upstream de juridiction suisse et une protection malware. La configuration prend deux heures ; la maintenance est inférieure à 30 minutes par mois.

Développeur avec VPN. Utilisez NextDNS avec la journalisation désactivée. Le système de politiques par appareil permet d'activer ou désactiver le blocage par environnement. L'endpoint DoH s'intègre proprement dans les configurations VPN en split-tunnel. Si votre fournisseur VPN offre son propre résolveur chiffré - voir notre comparatif VPN pour utilisateurs techniques - préférez-le : cela réduit le nombre d'entités pouvant corréler vos requêtes.

Famille avec enfants. NextDNS Pro avec les stacks Threat Intelligence + Native Tracking Protection + Contrôles parentaux activés. Le système de politiques par appareil permet des règles plus strictes pour les appareils des enfants sans affecter ceux des adultes. Activez la journalisation pendant une semaine pour affiner les listes, puis passez la rétention à une heure ou désactivez-la.

Profil paranoïaque ou entreprise. Unbound auto-hébergé sur un VPS durci dans une juridiction que vous contrôlez, avec validation DNSSEC activée, absence de journalisation forwarder, et routage anonymisé dnscrypt-proxy pour l'étape récursive. Coupler avec un pare-feu réseau bloquant tout UDP/53 et TCP/853 sortant sauf via votre stack contrôlé.

Pour tous les profils : quelle que soit l'option choisie, appliquez également le DNS chiffré au niveau de l'OS ou du routeur plutôt que de s'appuyer uniquement sur le DoH au niveau du navigateur. Le DoH navigateur crée un split où certaines applications utilisent votre résolveur configuré et d'autres l'endpoint propre au navigateur. La configuration système comble cet écart. Une fois tout en place, vérifiez l'ensemble avec notre guide de détection des fuites réseau.

Ressources internes : État de la vie privée des navigateurs 2026 couvre le fingerprinting, l'identité TLS et le durcissement au niveau OS qui complètent le chiffrement DNS. Comme chaque navigateur embarque un DoH par défaut différent, notre comparatif des navigateurs privacy - Brave vs Tor vs Mullvad Browser vs LibreWolf détaille la manière dont chacun gère le DoH et le fingerprinting. Mode Isolement iOS et performances JSC examine les compromis du mode isolation maximale sur les appareils Apple. Pour les opérateurs gérant leurs propres propriétés web, notre vérificateur d'en-têtes de sécurité HTTP audite les en-têtes de réponse que votre serveur envoie - HSTS, CSP et politiques referrer qui complètent une posture DNS chiffrée.