Résolveur DNS de l’entreprise : savoir lequel vous utilisez et en changer sans coupure

Ce qui se passe le 24 novembre, et pourquoi c’est le moment de vérifier

Quad9 exploite un service public et gratuit de résolution DNS, connu pour bloquer les domaines malveillants. En mai 2026, le tribunal judiciaire de Paris a ordonné à Google, à DNS4EU et à Quad9 de bloquer des sites diffusant illégalement des matchs de tennis, à la demande de beIN Sports. Quad9 n’a pas appliqué ces blocages : la fondation explique qu’elle ne peut pas identifier de manière fiable ses utilisateurs français sans porter atteinte à leur vie privée, et qu’elle refuse de modifier ses réponses. Condamnée en octobre à une astreinte, elle a annoncé qu’elle cesserait de servir les utilisateurs situés en France à partir du 24 novembre 2026, tout en poursuivant son appel.

Ce n’est pas un cas isolé. Cisco a déjà retiré son service OpenDNS de France en 2024 dans un contexte comparable. Le résolveur européen dns0.eu a fermé fin octobre 2025, faute de moyens selon ses responsables. Et Mullvad arrête ses serveurs DNS chiffrés publics le 2 novembre 2026, en orientant ses utilisateurs vers Quad9. Un résolveur public gratuit peut donc disparaître ou se retirer d’un pays avec quelques semaines de préavis : mieux vaut savoir précisément lequel votre entreprise utilise.

Le résolveur DNS, l’annuaire que tous vos appareils consultent

Pour joindre un site, une messagerie ou un logiciel en ligne, un ordinateur doit d’abord traduire un nom de domaine en adresse IP. Il ne le fait pas seul : il pose la question à un résolveur DNS. Le résolveur répond à partir de sa mémoire (son cache) ou interroge à son tour la chaîne des serveurs qui font autorité sur chaque domaine, depuis la racine jusqu’au serveur du nom demandé, par exemple celui de l’Afnic pour les adresses en .fr. Les postes ne parlent jamais directement à ces serveurs : tout passe par le résolveur.

Dans une petite entreprise, la chaîne est souvent la suivante : les postes reçoivent automatiquement l’adresse de la box comme serveur DNS, et la box transmet les questions au résolveur du fournisseur d’accès. Mais ce schéma est fréquemment modifié, par un prestataire ou par un salarié, pour utiliser un résolveur public. Si ce résolveur ne répond plus, les noms ne sont plus traduits : les sites, la messagerie et les applications en ligne semblent en panne alors que la connexion fonctionne.

Le résolveur voit aussi la liste des domaines consultés depuis l’entreprise. Son choix est donc à la fois une question de continuité de service, de sécurité et de confiance envers son exploitant.

Savoir quel résolveur vous utilisez : box, pare-feu, serveur, postes

Le réglage peut se trouver à plusieurs endroits, et il faut tous les passer en revue. Les adresses de Quad9 à repérer sont 9.9.9.9 et 149.112.112.112, ainsi que leurs variantes 9.9.9.10, 9.9.9.11 et 9.9.9.12, ou le nom dns.quad9.net pour le DNS chiffré.

• Sur un poste Windows : ouvrez l’invite de commandes et tapez ipconfig /all. Les adresses figurent à la ligne « Serveurs DNS ». Si elles pointent vers la box, le réglage se trouve plus haut dans la chaîne ; si une adresse de Quad9 apparaît, le poste a été configuré manuellement.
• Dans les paramètres réseau de Windows 11 : la rubrique « Attribution du serveur DNS » de la connexion Wi-Fi ou Ethernet indique si le réglage est automatique ou manuel, et si un chiffrement DNS est activé.
• Dans le navigateur : Chrome et Firefox ont leur propre réglage de DNS sécurisé, qui peut désigner un fournisseur précis et contourner le réglage du système. Vérifiez la section Sécurité ou Confidentialité de chaque navigateur utilisé.
• Sur les smartphones Android : le réglage « DNS privé » peut contenir le nom d’hôte d’un fournisseur de DNS chiffré.
• Sur la box : selon le modèle, les serveurs DNS distribués aux appareils se règlent dans l’interface d’administration ; sur une Freebox, par exemple, ils figurent dans les paramètres du réseau local, partie DHCP.
• Sur un pare-feu ou un routeur professionnel : les résolveurs utilisés et ceux distribués aux postes se trouvent dans sa configuration ; c’est souvent le prestataire qui y a accès.
• Sur un serveur Windows avec Active Directory : les postes interrogent le serveur, qui transmet les noms extérieurs à des « redirecteurs ». C’est dans ces redirecteurs qu’il faut chercher une éventuelle adresse de Quad9.

Les alternatives : résolveur du fournisseur d’accès ou résolveur public

Il n’existe pas de bon choix universel, mais quelques options documentées. Avant de choisir, demandez-vous si vous voulez un filtrage des domaines malveillants, qui gère le réglage, et de quel recours vous disposez si le service change.

Le résolveur du fournisseur d’accès est la solution par défaut : il ne demande aucun réglage et le fournisseur reste votre interlocuteur en cas de problème. Les fournisseurs d’accès appliquent les blocages de sites ordonnés par la justice, que l’Arcom peut faire étendre aux sites miroirs. Les résolveurs publics, eux, se règlent manuellement :

• DNS4EU : résolveur public européen lancé en juin 2025 avec un cofinancement de l’Union européenne, exploité par la société tchèque Whalebone au sein d’un consortium. Il propose plusieurs variantes : protection contre les sites malveillants et frauduleux, avec en option un filtrage pour les enfants et un blocage des publicités, et une version sans filtrage. La variante de protection répond sur 86.54.11.1 et 86.54.11.201, et en chiffré sur protective.joindns4.eu. Son service public gratuit est présenté comme destiné aux utilisateurs individuels : une entreprise doit vérifier ses conditions avant de l’adopter. DNS4EU était visé par la même décision de mai 2026 que Quad9.
• FDN : l’association française French Data Network met à disposition des résolveurs ouverts, ns0.fdn.fr (80.67.169.12) et ns1.fdn.fr (80.67.169.40), accessibles en DNS chiffré DoT et DoH depuis 2023.
• Cloudflare : son service 1.1.1.1 for Families propose une variante qui bloque les logiciels malveillants, sur 1.1.1.2 et 1.0.0.2.

Le filtrage des domaines malveillants : utile, mais pas suffisant

Beaucoup d’entreprises avaient choisi Quad9 pour son blocage des domaines malveillants : quand un poste cherche à joindre un site d’hameçonnage ou un serveur de logiciel malveillant connu, le résolveur ne donne pas l’adresse et la connexion échoue. La variante de protection de DNS4EU et la variante anti-logiciels malveillants de Cloudflare fonctionnent sur le même principe. Si vous quittez Quad9, choisissez un remplaçant qui conserve cette fonction, sinon vous perdez une protection sans vous en apercevoir.

Ce filtrage a deux limites. Il bloque des domaines connus comme malveillants et ne remplace ni les mises à jour, ni l’antivirus, ni la vigilance face aux e-mails piégés. Surtout, il ne protège que les appareils qui interrogent réellement ce résolveur : un navigateur réglé sur un autre DNS sécurisé ou un téléphone avec son propre DNS privé y échappent. C’est pourquoi l’agence américaine NSA recommande aux entreprises d’utiliser un résolveur désigné et de bloquer l’usage des autres résolveurs depuis le réseau.

Changer de résolveur sans coupure, étape par étape

Le changement est simple techniquement, mais une erreur d’ordre peut couper internet à tout un bureau. La méthode suivante limite le risque :

• Faites l’inventaire : notez, pour la box, le pare-feu, le serveur, chaque poste et chaque téléphone, les résolveurs actuellement réglés, avec une capture d’écran. C’est aussi votre plan de retour en arrière.
• Testez le nouveau résolveur avant de basculer : sous Windows, la commande nslookup suivie d’un nom de domaine puis de l’adresse du résolveur interroge ce résolveur précis sans rien modifier. Essayez vos sites et services habituels.
• Réglez toujours deux adresses du même fournisseur et de la même variante, pour qu’une panne de l’une ne coupe pas la résolution et que le filtrage reste cohérent.
• Changez au plus haut de la chaîne : sur les redirecteurs du serveur s’il y en a un, sinon sur la box ou le pare-feu qui distribue les réglages aux postes. Les appareils les reprennent lorsqu’ils renouvellent leur connexion ; reconnectez-les ou redémarrez-les.
• Corrigez ensuite les réglages manuels repérés sur les postes, les navigateurs et les téléphones, sans quoi ils continueront d’interroger Quad9.
• Basculez un jour calme, bien avant le 24 novembre, et vérifiez le lendemain avec ipconfig /all que chaque poste utilise le bon résolveur.

DNS chiffré : DoH et DoT, à activer en connaissance de cause

Par défaut, les questions DNS circulent en clair et peuvent être lues ou modifiées sur le trajet. Deux protocoles les chiffrent. DNS over TLS (DoT) utilise un port dédié, le 853, ce qui permet à un administrateur de repérer ce trafic. DNS over HTTPS (DoH) passe par le port 443, comme toute la navigation web, et se confond avec elle.

Windows 11 permet de choisir, dans les paramètres de la connexion, un chiffrement « Chiffré uniquement (DNS over HTTPS) », à condition que le résolveur réglé le prenne en charge. Chrome, par défaut, passe au DNS chiffré lorsque le fournisseur actuel le propose et revient au DNS classique sinon. Android chiffre en DoT via son réglage « DNS privé ». DNS4EU et FDN publient des adresses DoH et DoT.

Pour une entreprise, le chiffrement est un plus, à une condition : qu’il pointe vers le résolveur choisi par l’entreprise. Un DoH réglé poste par poste ou navigateur par navigateur échappe au filtrage et aux réglages centraux. Si vous activez le DNS chiffré, notez-le dans votre inventaire, faites-le de façon homogène et confiez la configuration à la personne qui gère votre réseau.

Questions fréquentes