DNS CleanBrowsing : adresses du filtre Famille et tests

Qu'est-ce que le DNS CleanBrowsing ?

CleanBrowsing DNS est un service DNS de filtrage gratuit : pointez votre routeur ou votre appareil vers 185.228.168.168 et 185.228.169.168, et son filtre Famille bloque les contenus pour adultes, impose SafeSearch et empêche les enfants d'accéder aux sites de VPN et de proxy. Il ne demande ni compte ni application. Il existe trois filtres gratuits, Famille, Adulte et Sécurité, chacun avec ses propres adresses, ainsi que des offres payantes avec des catégories personnalisées.

Le filtrage se fait au moment de la résolution. Pour un nom bloqué, CleanBrowsing répond NXDOMAIN (« domaine inexistant »), donc la page ne se charge jamais : Chrome affiche DNS_PROBE_FINISHED_NXDOMAIN, les autres navigateurs une erreur semblable du type « serveur introuvable ».

Le service gratuit a des limites que CleanBrowsing indique sur sa page des filtres : il est bridé, sans support et non personnalisable. Les offres payantes commencent à 75 $ par an (gratuit ou payant) et ajoutent plus de 26 catégories, des listes d'autorisation et de blocage et des rapports. Selon CleanBrowsing, ses filtres gratuits traitent plus de 355 milliards de requêtes par mois dans plus de 70 centres de données.

Adresses des serveurs DNS CleanBrowsing (IPv4, IPv6, DoH, DoT)

Voici les adresses des filtres gratuits d'après la page des filtres de CleanBrowsing, vérifiées le 26 octobre 2026. Utilisez les deux adresses du même filtre, et aussi la paire IPv6 si votre réseau prend en charge l'IPv6.

Le filtre Adulte a deux adresses secondaires publiées. La page des filtres indique 185.228.169.11 ; le guide de configuration de CleanBrowsing donne 185.228.169.10. Les deux ont fonctionné comme filtre Adulte dans notre test, mais .10 répond NXDOMAIN à un nom bloqué comme l'adresse principale, alors que .11 renvoie 185.228.168.254, un serveur qui affiche une page « Website Blocked » de CleanBrowsing.

Les six adresses IPv6 ont répondu depuis notre connexion et ont filtré exactement comme leurs jumelles IPv4.

Famille, Adulte, Sécurité : ce que bloque chaque filtre

Famille bloque les sites pour adultes, à contenu mixte, les VPN et proxys ainsi que les logiciels malveillants et le phishing, avec SafeSearch imposé. Adulte bloque les sites pour adultes et les menaces, mais laisse tranquilles Reddit, les VPN et YouTube. Sécurité ne bloque que les menaces.

Nous avons interrogé chaque filtre sur les mêmes noms le 26 octobre 2026, depuis l'Inde. Une coche signifie qu'il a bloqué le nom (NXDOMAIN) ou l'a redirigé vers la version sécurisée du moteur de recherche.

Trois résultats vont au-delà des descriptions de CleanBrowsing :

• Le filtre Adulte impose bien SafeSearch. La page « Free vs Paid » de CleanBrowsing dit que non ; sa page des filtres dit que oui. Il a redirigé Google, Bing et DuckDuckGo vers leurs versions sécurisées, comme Famille.
• Le réglage YouTube de Famille est Modéré, pas Strict (voir la section suivante).
• Les applications sociales restent ouvertes sur tous les filtres gratuits. TikTok, Instagram et Discord se sont résolus normalement ; bloquer les réseaux sociaux ou les jeux demande une offre payante ou un contrôle sur l'appareil.

SafeSearch et YouTube : ce que fait vraiment le filtre Famille

CleanBrowsing impose SafeSearch par le DNS : la requête vers un moteur de recherche renvoie l'adresse de sa version verrouillée en mode sûr. Pour Google, c'est forcesafesearch.google.com (216.239.38.120), qui sert des résultats avec SafeSearch verrouillé, quels que soient les réglages du navigateur.

Les filtres Famille et Adulte ont répondu 216.239.38.120 pour www.google.com et pour les sites nationaux comme www.google.co.in, et ont redirigé Bing vers strict.bing.com et DuckDuckGo vers safe.duckduckgo.com. Le filtre Sécurité les a laissés tels quels.

C'est sur YouTube que la promesse et la mesure divergent. Le guide SafeSearch de CleanBrowsing dit que le filtre Famille gratuit utilise le mode restreint Strict. La méthode DNS de Google a deux cibles : restrict.youtube.com pour Strict (216.239.38.120) et restrictmoderate.youtube.com pour Modéré (216.239.38.119). Le filtre Famille a répondu 216.239.38.119, donc Modéré, pour les cinq noms d'hôte YouTube que Google liste, y compris youtubei.googleapis.com de l'application. Le filtre Adulte ne restreint pas YouTube.

# Family filter: Google SafeSearch, Bing and YouTube (DNS Robot, 26 Oct 2026)
dig @185.228.168.168 www.google.com +short
# 216.239.38.120   <- forcesafesearch.google.com

dig @185.228.168.168 www.bing.com +short | head -1
# strict.bing.com.

dig @185.228.168.168 www.youtube.com +short
# 216.239.38.119   <- restrictmoderate.youtube.com (Moderate)

Test de vitesse CleanBrowsing : nos résultats depuis l'Inde

Nous avons chronométré chaque adresse le 26 octobre 2026 depuis une connexion résidentielle Jio en Inde : la médiane de cinq requêtes d'un nom populaire (en cache) et de cinq noms tout neufs (hors cache), plus 20 requêtes pour compter les fois où un serveur n'a pas répondu en moins de 2 secondes. Les filtres famille de Cloudflare et d'OpenDNS ont été testés en parallèle.

Les deux adresses d'un filtre ne se valent pas. CleanBrowsing indique le nom du serveur qui répond (dig @185.228.168.168 id.server CH TXT) : depuis notre connexion, chaque adresse 185.228.168.x a répondu depuis Singapour et chaque adresse 185.228.169.x depuis Londres, ce qui a à peu près doublé les temps en cache (63–79 ms contre 152–166 ms) et fait perdre davantage de requêtes. Les adresses IPv6 passaient d'une ville à l'autre d'une requête à l'autre.

Cloudflare et OpenDNS ont répondu environ deux fois plus vite pour les noms en cache, car tous deux répondaient depuis l'Inde ; pour les noms tout neufs, l'écart était faible (52–68 ms contre 66–75 ms). En Europe ou en Amérique du Nord, l'ordre peut changer : mesurez depuis votre propre connexion.

CleanBrowsing en DNS over HTTPS et DNS over TLS

Les trois filtres gratuits répondent en DNS chiffré. Cela empêche votre fournisseur d'accès ou le propriétaire d'un Wi-Fi de lire ou de modifier vos requêtes, et sur les téléphones le filtre reste actif en données mobiles.

• DNS over TLS (DoT) : le nom d'hôte du filtre sur le port 853, par exemple family-filter-dns.cleanbrowsing.org ; le DNS privé d'Android l'utilise. Les trois noms d'hôte ont terminé une négociation TLS 1.3 avec un certificat *.cleanbrowsing.org valide et ont filtré comme le DNS classique ; sur une connexion ouverte, la médiane de Famille était de 78 à 89 ms sur trois essais.
• DNS over HTTPS (DoH) : https://doh.cleanbrowsing.org/doh/family-filter/ (ou adult-filter, security-filter). Il a répondu à des requêtes RFC 8484 standard, médiane de 83 ms pour Famille. Utilisez-le dans Windows 11, les navigateurs et les profils Apple.
• Les offres payantes disposent de leurs propres noms d'hôte DoT et chemins DoH avec un code de compte, affichés dans le tableau de bord de CleanBrowsing.

# curl can resolve through a DoH server: allowed sites load, blocked ones don't resolve
curl -sI --doh-url https://doh.cleanbrowsing.org/doh/family-filter/ https://example.com | head -1
# HTTP/2 200

curl -sSI --doh-url https://doh.cleanbrowsing.org/doh/family-filter/ https://www.reddit.com
# curl: (6) Couldn't resolve host name

CleanBrowsing est-il sûr ? Confidentialité, journaux et DNSSEC

Pour les filtres gratuits, la politique de confidentialité de CleanBrowsing indique qu'il n'enregistre ni ne conserve d'informations personnelles identifiables comme votre adresse IP, et qu'il ne vend, ne loue ni ne partage de données personnelles. Il conserve en revanche des données de requêtes anonymisées (les domaines demandés), peut les garder indéfiniment et les partage sous forme anonymisée avec ses marques sœurs NOC, DNSArchive et Trunc.

Il ne transmet pas non plus votre réseau aux autres serveurs DNS : le test o-o.myaddr.l.google.com de Google n'a vu que les serveurs de CleanBrowsing et aucun EDNS Client Subnet, comme chez Cloudflare. OpenDNS FamilyShield a transmis notre sous-réseau /24 dans un cas sur deux.

Le DNSSEC est le point faible. Un résolveur qui valide doit refuser un domaine dont les signatures sont cassées (les domaines de test comme dnssec-failed.org doivent renvoyer SERVFAIL). La réponse de CleanBrowsing dépendait du serveur : les nœuds indiquant la version logicielle v1.6a ont renvoyé une adresse pour un domaine cassé dans 27 requêtes sur 27, alors que les nœuds v1.7a, dont toutes les réponses de Londres, l'ont refusé. Cloudflare 1.1.1.3 et OpenDNS FamilyShield ont refusé les 20 requêtes. Tant que les anciens nœuds ne sont pas mis à jour, CleanBrowsing ne vous protège pas de façon fiable contre les réponses falsifiées.

Comment configurer le DNS CleanBrowsing

Pour le contrôle parental, commencez par le routeur : tous les appareils de votre Wi-Fi sont filtrés, consoles et téléviseurs connectés compris, et rien sur l'appareil de l'enfant ne peut être désactivé. Configurez ensuite chaque téléphone ou ordinateur portable qui sort de la maison, car le réglage du routeur ne s'applique ni en données mobiles ni sur un autre Wi-Fi.

Sur votre routeur (le mieux pour le contrôle parental)

• Ouvrez la page d'administration du routeur, généralement à l'adresse 192.168.1.1 ou 192.168.0.1. Notre guide de connexion au routeur donne l'adresse et le mot de passe par défaut de chaque marque et de chaque fournisseur d'accès.
• Trouvez les champs DNS sous Internet, WAN ou DHCP. CleanBrowsing recommande de les régler dans les paramètres WAN, afin que cela couvre tout votre réseau.
• Remplacez les serveurs existants par 185.228.168.168 et 185.228.169.168. Dans la section IPv6, saisissez 2a0d:2a00:1:: et 2a0d:2a00:2::, ou désactivez le DNS IPv6 si le routeur n'accepte pas de serveurs IPv6 personnalisés.
• Enregistrez, redémarrez le routeur et reconnectez vos appareils pour qu'ils prennent le changement en compte.

Android : DNS privé (Wi-Fi et données mobiles)

Android 9 et versions ultérieures peuvent envoyer toutes les requêtes à CleanBrowsing en DoT grâce au DNS privé, sur tous les réseaux :

• Ouvrez Paramètres → Réseau et Internet → DNS privé (sous Paramètres avancés sur certains téléphones ; sur Samsung, Connexions → Plus de paramètres de connexion → DNS privé).
• Choisissez Nom d'hôte du fournisseur DNS privé et saisissez family-filter-dns.cleanbrowsing.org (ou adult-filter-dns.cleanbrowsing.org / security-filter-dns.cleanbrowsing.org).
• Touchez Enregistrer. Si « Impossible de se connecter » s'affiche, vérifiez l'orthographe ; certains réseaux scolaires et professionnels bloquent le port 853.

iPhone et iPad

• Le mieux : un profil DNS chiffré. Sur l'iPhone, ouvrez la page des profils Apple de CleanBrowsing, choisissez le filtre Famille et téléchargez le profil (iOS 14 ou ultérieur). Ouvrez ensuite Réglages → Profil téléchargé → Installer. Il utilise le DoH sur tous les réseaux, Wi-Fi et cellulaire.
• Un seul réseau Wi-Fi : allez dans Réglages → Wi-Fi, touchez le (i) à côté du réseau, puis Configurer le DNS → Manuel. Supprimez les serveurs existants et ajoutez 185.228.168.168 et 185.228.169.168.
• Un profil peut être supprimé dans les Réglages, et une application VPN contourne n'importe quel filtre DNS. Utilisez Temps d'écran → Contenu et confidentialité pour bloquer l'installation de nouvelles applications, avec un code Temps d'écran que vous seul connaissez.

Sous Windows 11 et 10

• Ouvrez Paramètres → Réseau et Internet, choisissez Wi-Fi (puis Propriétés matérielles) ou Ethernet.
• À côté de Attribution du serveur DNS, cliquez sur Modifier, choisissez Manuel et activez IPv4.
• Saisissez 185.228.168.168 comme DNS préféré et 185.228.169.168 comme DNS auxiliaire. Sous Windows 11, réglez DNS sur HTTPS sur Activé (modèle manuel) et saisissez https://doh.cleanbrowsing.org/doh/family-filter/ pour les deux.
• Activez IPv6, ajoutez 2a0d:2a00:1:: et 2a0d:2a00:2::, puis Enregistrer. Sous Windows 10, utilisez Panneau de configuration → Centre Réseau et partage → Modifier les paramètres de la carte, ou la ligne PowerShell ci-dessous.

# PowerShell as administrator (use "Ethernet" for a wired connection)
Set-DnsClientServerAddress -InterfaceAlias "Wi-Fi" -ServerAddresses 185.228.168.168,185.228.169.168,2a0d:2a00:1::,2a0d:2a00:2::
ipconfig /flushdns

Sous macOS

• Ouvrez Réglages Système → Réseau, sélectionnez Wi-Fi (ou Ethernet) et cliquez sur Détails.
• Dans l'onglet DNS, supprimez les anciens serveurs, cliquez sur + et ajoutez 185.228.168.168, 185.228.169.168, 2a0d:2a00:1:: et 2a0d:2a00:2::, puis cliquez sur OK.
• Pour un DNS chiffré qui suit un MacBook sur d'autres réseaux, installez plutôt le même profil Apple (macOS 11 Big Sur ou ultérieur).

# Terminal alternative, then clear the DNS cache
networksetup -setdnsservers Wi-Fi 185.228.168.168 185.228.169.168 2a0d:2a00:1:: 2a0d:2a00:2::
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

Comment les enfants contournent les filtres DNS (et comment les en empêcher)

Un filtre DNS ne fonctionne que tant que l'appareil l'interroge. Voici les moyens habituels de contourner CleanBrowsing, et ce qui arrête chacun :

• Saisir un autre serveur DNS, comme 8.8.8.8. Solution : sur le routeur, n'autorisez le port 53 que vers la plage de CleanBrowsing, 185.228.168.0/23, et redirigez ou bloquez tout le reste (règles ci-dessous).
• DNS over HTTPS dans le navigateur. Famille a répondu NXDOMAIN pour dns.google, cloudflare-dns.com, mozilla.cloudflare-dns.com, dns.quad9.net, dns.nextdns.io et d'autres noms d'hôte DoH, ainsi que pour use-application-dns.net, le domaine canari qui empêche Firefox d'activer le DoH tout seul. Un serveur DoH saisi par adresse IP passe quand même, car le navigateur n'a pas besoin de résolution pour l'atteindre : sur les ordinateurs que vous gérez, désactivez donc le DNS sécurisé par stratégie.
• DNS privé d'Android réglé sur dns.google : Famille ne résout pas ce nom d'hôte sur votre Wi-Fi, mais cela fonctionne en données mobiles. Bloquez le port TCP 853 sortant sauf vers CleanBrowsing, et réglez le DNS privé du téléphone lui-même sur CleanBrowsing.
• Applications VPN et proxys web. Famille a bloqué tous les sites de VPN et de proxy que nous avons essayés, ce qui arrête les proxys web. Une application VPN téléchargée dans un magasin d'applications peut quand même se connecter, et le DNS passe alors dans le tunnel, où aucun filtre DNS ne le voit : contrôlez donc l'installation des applications avec Google Family Link ou Temps d'écran.
• IPv6 et autres réseaux. Le DNS IPv6 du fournisseur d'accès, le Wi-Fi d'un voisin ou les données mobiles contournent tous le réglage du routeur : configurez les serveurs IPv6 et installez le DNS privé ou le profil Apple sur le téléphone de l'enfant.

# Linux/OpenWrt router (iptables; br-lan = your LAN interface)
# Redirect every plain DNS query from the LAN to CleanBrowsing Family
iptables -t nat -A PREROUTING -i br-lan -p udp --dport 53 ! -d 185.228.168.0/23 -j DNAT --to-destination 185.228.168.168:53
iptables -t nat -A PREROUTING -i br-lan -p tcp --dport 53 ! -d 185.228.168.0/23 -j DNAT --to-destination 185.228.168.168:53

# Block DNS over TLS to anyone but CleanBrowsing
iptables -A FORWARD -i br-lan -p tcp --dport 853 ! -d 185.228.168.0/23 -j REJECT

Vérifiez ensuite chaque appareil avec le Test de fuite DNS de DNS Robot : tous les résolveurs listés doivent appartenir à CleanBrowsing. Si Google, Cloudflare ou votre fournisseur d'accès apparaît dans la liste, quelque chose sur cet appareil contourne le filtre. Une fois le DNS chiffré bloqué, certains iPhone avertissent que le réseau bloque le DNS chiffré ; voici ce que cela signifie.

CleanBrowsing, Cloudflare 1.1.1.3 et OpenDNS FamilyShield : comparatif

Cloudflare 1.1.1.3 et OpenDNS FamilyShield sont les deux autres grands filtres famille gratuits. Nous avons passé les mêmes tests sur chacun le 26 octobre 2026 ; les adresses viennent de la documentation de Cloudflare et de la page FamilyShield d'OpenDNS.

Choisissez CleanBrowsing Famille pour les plus jeunes : c'est le seul des trois qui bloque les contenus mixtes de type Reddit et restreint YouTube, et il bloque les sites de VPN et les serveurs DoH que les enfants utilisent pour contourner les filtres. Choisissez Cloudflare 1.1.1.3 pour bloquer les sites pour adultes et les logiciels malveillants avec SafeSearch et des réponses rapides, quand Reddit et YouTube peuvent rester ouverts ; consultez notre guide du DNS Cloudflare. OpenDNS FamilyShield bloque les sites pour adultes, les VPN et les proxys, mais n'impose pas SafeSearch et laisse passer le site de test de logiciels malveillants.

Comment vérifier que CleanBrowsing fonctionne

Le domaine de test de CleanBrowsing, badexample.com, est bloqué par les trois filtres mais se résout normalement avec les autres résolveurs. Interrogez-le avec votre DNS habituel, sans nommer de serveur : NXDOMAIN signifie que vos requêtes arrivent chez CleanBrowsing.

# Through your device's normal DNS (Windows, macOS, Linux)
nslookup badexample.com
# ** server can't find badexample.com: NXDOMAIN

# Which CleanBrowsing server answered? Ask one directly
dig @185.228.168.168 id.server CH TXT +short
# "CleanBrowsing v1.6a - dns-edge-asia-singapore10"

Si badexample.com renvoie une adresse, votre appareil n'utilise pas CleanBrowsing : cherchez un VPN, le réglage de DNS sécurisé du navigateur ou un second serveur DNS. Pour voir vers quoi pointe réellement un domaine bloqué, consultez-le avec le DNS Lookup de DNS Robot, qui interroge des résolveurs publics non filtrés.