DNS Cloudflare : 1.1.1.1 et 1.0.0.1, adresses IPv4 et IPv6

Qu'est-ce que le DNS Cloudflare ?

Le DNS Cloudflare désigne en général 1.1.1.1, le résolveur DNS public et gratuit que Cloudflare a lancé le 1er avril 2018. Un résolveur est le serveur auquel votre appareil demande de convertir un nom comme github.com en adresse IP. Votre FAI vous en fournit un par défaut ; 1.1.1.1 est une alternative que vous pouvez configurer sur la plupart des routeurs et sur n'importe quel ordinateur ou téléphone.

Le terme recouvre aussi un second produit, bien distinct : le DNS faisant autorité de Cloudflare, le service qui héberge les enregistrements DNS d'un domaine (la zone que vous modifiez dans le tableau de bord Cloudflare). Il s'adresse aux propriétaires de sites web et n'a rien à voir avec le résolveur que vous utilisez chez vous. Ce guide traite d'abord du résolveur ; la partie hébergement a sa propre section vers la fin.

L'adresse 1.1.1.1 elle-même appartient à l'APNIC, le registre internet régional de la zone Asie-Pacifique. Cloudflare y fait tourner son résolveur dans le cadre d'un accord de recherche avec APNIC Labs, ce qui explique qu'une adresse aussi facile à retenir ait été disponible.

Adresses des serveurs DNS Cloudflare (IPv4 et IPv6)

Voici les adresses à saisir dans n'importe quel champ de réglage DNS (Cloudflare). Utilisez les deux : la seconde sert de solution de repli si votre appareil ne parvient pas à joindre la première. Pour interroger 1.1.1.1 directement depuis un terminal, utilisez les commandes sous le tableau.

# Interroger 1.1.1.1 directement (macOS, Linux et Windows avec les outils BIND)
dig @1.1.1.1 dnsrobot.net A +short

# Quel centre de données Cloudflare a répondu ?
dig @1.1.1.1 id.server CH TXT +short
# "nag01"

# Équivalent intégré à Windows
nslookup dnsrobot.net 1.1.1.1

Les deux paires mènent au même service grâce à l'anycast : des centaines de centres de données Cloudflare annoncent les mêmes adresses, et votre requête part vers le plus proche sur le réseau. Vous pouvez voir lequel vous a répondu avec dig @1.1.1.1 id.server CH TXT. Depuis notre machine de test en Inde, la réponse était "nag01", un site Cloudflare situé à Nagpur.

Si votre réseau dispose de l'IPv6, ajoutez aussi la paire IPv6 : 2606:4700:4700::1111 est l'adresse IPv6 de 1.1.1.1 et 2606:4700:4700::1001 celle de 1.0.0.1. Sinon, votre appareil peut continuer à utiliser le serveur DNS IPv6 que lui fournit votre FAI et contourner 1.1.1.1 sans que vous le remarquiez. C'est une question de couverture, pas de vitesse : depuis notre ligne domestique Jio, 1.1.1.1 a répondu avec une médiane de 30 ms en IPv6 et de 29 ms en IPv4 (15 requêtes en cache chacune, 26 octobre 2026).

1.1.1.1 for Families : filtres contre les malwares et les contenus pour adultes

Le résolveur 1.1.1.1 standard ne bloque rien. Cloudflare propose deux versions filtrées sur d'autres adresses, réunies sous le nom 1.1.1.1 for Families. Elles sont gratuites elles aussi, et il suffit de saisir d'autres adresses pour passer de l'une à l'autre.

Un domaine bloqué renvoie 0.0.0.0 (ou :: en IPv6), si bien que la page ne se charge tout simplement pas. Vous pouvez le vérifier avec les domaines de test de Cloudflare : dig @1.1.1.2 malware.testcategory.com et dig @1.1.1.3 nudity.testcategory.com ont tous deux renvoyé 0.0.0.0 lors de notre test, alors que les mêmes noms se résolvent normalement via 1.1.1.1.

Adresses DNS over HTTPS et DNS over TLS

Le DNS classique circule en clair sur le port 53 : n'importe qui sur le trajet, y compris votre FAI, peut lire chaque nom que vous consultez. Cloudflare répond aussi via deux protocoles chiffrés :

• DNS over HTTPS (DoH) : https://cloudflare-dns.com/dns-query. Il passe par le port 443 et ressemble à du trafic web ordinaire. Les navigateurs utilisent leurs propres noms d'hôte Cloudflare pour le même résolveur quand vous choisissez Cloudflare dans leur réglage de DNS sécurisé : mozilla.cloudflare-dns.com dans Firefox et chrome.cloudflare-dns.com dans Chrome.
• DNS over TLS (DoT) : nom d'hôte one.one.one.one sur le port 853. Le réglage DNS privé d'Android accepte ce nom d'hôte (il se connecte en DoT, ou en DNS over HTTP/3 sur les téléphones récents).
• Versions filtrées : remplacez le nom d'hôte par security.cloudflare-dns.com (malwares) ou family.cloudflare-dns.com (malwares + adultes), en DoH comme en DoT.

# DoH au format JSON : aucun client spécial nécessaire
curl -s -H 'accept: application/dns-json' \
  'https://cloudflare-dns.com/dns-query?name=dnsrobot.net&type=A'
# {"Status":0, ... "Answer":[{"name":"dnsrobot.net","type":1,"TTL":300,"data":"172.67.150.248"}, ...]}

Le DNS Cloudflare est-il confidentiel ? Ce qu'il enregistre

La confidentialité est le principal argument de 1.1.1.1, et Cloudflare publie ses engagements dans sa politique de confidentialité de 1.1.1.1. En résumé :

• Votre adresse IP complète n'est pas stockée sur disque, hormis dans un échantillon aléatoire de paquets représentant au plus 0,05 % du trafic de Cloudflare, conservé pour le dépannage. Cloudflare tronque l'adresse (le dernier octet en IPv4, les 80 derniers bits en IPv6) et supprime même la version tronquée sous 25 heures.
• Les journaux du résolveur sont supprimés sous 25 heures. Seules des statistiques agrégées, comme celles affichées sur Cloudflare Radar, sont conservées plus longtemps.
• Cloudflare ne vend pas les données du résolveur et ne s'en sert pas pour cibler des publicités. L'APNIC reçoit des données de requêtes pour ses recherches, mais jamais les adresses IP qui les ont émises.
• 1.1.1.1 n'envoie pas l'EDNS Client Subnet (une partie de votre IP) aux serveurs DNS des sites web. Google Public DNS, lui, l'envoie aux serveurs de noms qui le prennent en charge.
• L'un des Big Four de l'audit a examiné ces engagements à deux reprises ; Cloudflare en a publié les résultats en 2020, puis de nouveau en avril 2026.

1.1.1.1 protège donc mieux votre vie privée qu'un résolveur de FAI classique, qui peut conserver vos requêtes, s'en servir pour la publicité ou les transmettre sur réquisition. Il n'est pas anonyme pour autant : Cloudflare voit chaque requête au moment où il y répond. Le chiffrement (DoH, DoT ou le DNS privé sur votre téléphone) cache vos requêtes au réseau intermédiaire, pas au résolveur, et un VPN ne fait que déplacer cette confiance vers le fournisseur du VPN.

Cloudflare vs Google vs Quad9 : notre test de vitesse

Sur la plupart des benchmarks publics, 1.1.1.1 figure parmi les résolveurs les plus rapides au monde, mais le chiffre qui compte est celui mesuré depuis votre réseau. Nous avons lancé le même test le 4 octobre 2026 depuis deux endroits en Inde : une connexion domestique Jio dans l'Andhra Pradesh, et notre serveur web dans un centre de données de Navi Mumbai. Chaque résolveur a reçu 15 requêtes pour un nom populaire (en cache) et 15 requêtes pour des noms tout neufs qu'il n'avait jamais vus (hors cache). Le tableau indique la médiane.

Pour une vue mondiale, le classement des résolveurs de DNSPerf (30 derniers jours, consulté le 4 octobre 2026) place 1.1.1.1 à 13,63 ms en moyenne, Google à 19,47 ms et Quad9 à 21,62 ms. Nos propres mesures depuis l'Inde racontent une histoire plus nuancée.

Trois points ressortent. Depuis le centre de données, tous les résolveurs ont répondu aux noms en cache en 2 à 3 ms, car les trois ont un site à proximité. Sur la connexion domestique, Cloudflare a été le plus rapide pour les noms en cache (26 ms contre 31 à 53 ms pour Google). Pour les noms que personne n'avait encore demandés, Google a été plus rapide sur les deux réseaux, et Quad9 le plus lent.

La leçon : il n'y a pas de gagnant universel. Les réponses en cache dépendent de la distance entre le centre de données le plus proche du fournisseur et votre FAI, et les réponses hors cache de la vitesse à laquelle le fournisseur joint les serveurs DNS du site lui-même. Testez depuis votre propre connexion avant de changer.

Pour voir le classement de votre propre connexion, lancez le Test de vitesse DNS de DNS Robot : il chronomètre Cloudflare, Google, Quad9 et neuf autres résolveurs publics en DNS-over-HTTPS depuis votre navigateur, les classe selon le temps médian d'une requête en cache et compare le gagnant à votre DNS actuel sur des noms de domaine tout neufs.

Comment configurer le DNS Cloudflare (1.1.1.1)

Faites le changement sur le routeur si vous le pouvez : tous les appareils de votre Wi-Fi utiliseront alors 1.1.1.1 sans autre réglage. Changez-le sur un seul appareil quand vous n'avez pas accès au routeur, ou quand l'appareil quitte la maison (ordinateurs portables, téléphones).

Sur votre routeur

• Ouvrez la page d'administration de votre routeur. Elle se trouve généralement à 192.168.1.1 ou 192.168.0.1 ; notre guide de connexion au routeur indique l'adresse et le mot de passe par défaut de plus de 80 routeurs et fournisseurs d'accès.
• Trouvez les réglages DNS, en général sous Internet, WAN ou DHCP.
• Passez du DNS automatique ou de celui du FAI au mode manuel, puis saisissez 1.1.1.1 et 1.0.0.1. Ajoutez 2606:4700:4700::1111 et 2606:4700:4700::1001 dans la section IPv6 s'il y en a une.
• Enregistrez, puis redémarrez le routeur ou reconnectez vos appareils pour qu'ils récupèrent les nouveaux réglages.

Sous Windows 11 et 10

• Ouvrez Paramètres → Réseau et Internet, choisissez Wi-Fi ou Ethernet, puis cliquez sur votre connexion.
• À côté de Attribution du serveur DNS, cliquez sur Modifier et choisissez Manuel.
• Activez IPv4 et saisissez 1.1.1.1 comme DNS préféré et 1.0.0.1 comme DNS auxiliaire. Sous Windows 11, vous pouvez régler DNS sur HTTPS sur Activé (modèle automatique).
• Activez IPv6 et saisissez 2606:4700:4700::1111 et 2606:4700:4700::1001, puis enregistrez.
• Windows 10 n'a pas d'option DNS distincte dans les Paramètres. Appuyez sur Win + R, lancez ncpa.cpl, faites un clic droit sur votre carte réseau et ouvrez Propriétés → Protocole Internet version 4 (TCP/IPv4) → Propriétés → Utiliser l'adresse de serveur DNS suivante, et de même sous Protocole Internet version 6 (TCP/IPv6). Le script PowerShell ci-dessous fonctionne sur les deux versions.

# PowerShell (en tant qu'administrateur) : définir 1.1.1.1 sur la carte réseau active
$if = (Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object -First 1).Name
Set-DnsClientServerAddress -InterfaceAlias $if -ServerAddresses 1.1.1.1,1.0.0.1,2606:4700:4700::1111,2606:4700:4700::1001

# Effacer les anciennes réponses en cache
ipconfig /flushdns

Sur macOS

• Ouvrez Réglages Système → Réseau, choisissez Wi-Fi (ou Ethernet) et cliquez sur Détails à côté de votre réseau.
• Ouvrez l'onglet DNS, cliquez sur + et ajoutez 1.1.1.1, 1.0.0.1, 2606:4700:4700::1111 et 2606:4700:4700::1001.
• Supprimez les anciennes entrées dont vous ne voulez plus, puis cliquez sur OK.

# Alternative en Terminal (remplacez Wi-Fi par "Ethernet" en filaire)
networksetup -setdnsservers Wi-Fi 1.1.1.1 1.0.0.1 2606:4700:4700::1111 2606:4700:4700::1001

# Vider le cache DNS de macOS
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

Sur Android et iPhone

• Android 9 ou version ultérieure : allez dans Paramètres → Réseau et Internet → DNS privé (sous Paramètres avancés sur certains téléphones), choisissez Nom d'hôte du fournisseur DNS privé et saisissez one.one.one.one. Vos requêtes sont alors chiffrées, y compris sur les données mobiles.
• iPhone et iPad : allez dans Réglages → Wi-Fi, touchez le (i) à côté de votre réseau, puis Configurer le DNS → Manuel. Supprimez les serveurs existants et ajoutez 1.1.1.1 et 1.0.0.1. Ce réglage ne s'applique qu'à ce réseau Wi-Fi.
• DNS chiffré sur tous les réseaux, y compris les données mobiles : installez l'application gratuite 1.1.1.1 de Cloudflare sur iOS ou Android. Elle démarre en mode WARP, qui fait aussi passer le reste de votre trafic par Cloudflare ; passez-la en mode 1.1.1.1 (DNS uniquement) si vous voulez seulement le DNS chiffré.

Comment vérifier que vous utilisez bien 1.1.1.1

Le plus rapide est la page de test de Cloudflare, one.one.one.one/help. Elle indique si vos requêtes atteignent 1.1.1.1, si elles sont chiffrées (DoH ou DoT) et quel centre de données a répondu.

Depuis un terminal, demandez à Cloudflare qui vous êtes. Sans la partie @1.1.1.1, la requête part vers le résolveur que votre appareil utilise réellement :

# Renvoie votre IP publique uniquement si la requête a bien atteint Cloudflare
dig whoami.cloudflare CH TXT +short
# "203.0.113.45"

# Windows : avec 1.1.1.1 configuré sur ce PC, la ligne Serveur affiche 1.1.1.1 (ou one.one.one.one)
nslookup example.com

# Test DNSSEC : SERVFAIL signifie que votre résolveur valide DNSSEC (1.1.1.1 le fait, mais Google, Quad9 et de nombreux FAI aussi)
dig dnssec-failed.org | grep status

Si whoami.cloudflare ne renvoie rien, ou si nslookup affiche toujours le résolveur de votre FAI, quelque chose prend le pas sur votre réglage : le routeur qui transmet au DNS de son FAI, des serveurs DNS IPv6 encore en mode automatique, un VPN ou un réseau qui intercepte le port 53 (voir plus bas). Le réglage de DNS sécurisé d'un navigateur ne modifie pas ces tests en terminal, mais il change ce que voit la page d'aide. Si vous avez changé le DNS sur le routeur plutôt que sur l'appareil, il est normal que nslookup affiche le routeur, et certains routeurs ne transmettent pas la requête whoami : fiez-vous alors à la page d'aide. Après chaque changement, videz votre cache DNS pour que d'anciennes réponses ne faussent pas le résultat.

Le DNS Cloudflare pour votre domaine (serveurs de noms et proxy)

Si vous possédez un site web, « DNS Cloudflare » signifie héberger les enregistrements DNS de votre domaine chez Cloudflare. C'est gratuit sur toutes les offres. Vous ajoutez le domaine à Cloudflare, puis vous remplacez, chez votre registrar, les serveurs de noms par les deux que Cloudflare vous attribue. Les serveurs de noms standard de Cloudflare suivent le modèle name.ns.cloudflare.com, où le nom est un prénom. dnsrobot.net fonctionne lui-même ainsi : ses serveurs de noms sont sofia.ns.cloudflare.com et terin.ns.cloudflare.com, ce que vous pouvez vérifier avec notre NS Lookup.

Chaque enregistrement A, AAAA ou CNAME dispose d'un interrupteur de proxy :

• Avec proxy (nuage orange) : les requêtes renvoient les adresses IP de Cloudflare plutôt que celles de votre serveur, et le trafic web passe par le CDN et le pare-feu de Cloudflare. C'est pourquoi une recherche sur dnsrobot.net affiche 172.67.150.248 et 104.21.0.129, et non notre serveur. Les enregistrements avec proxy utilisent toujours un TTL automatique de 300 secondes.
• DNS uniquement (nuage gris) : Cloudflare répond simplement avec votre enregistrement tel que vous l'avez saisi. Utilisez ce mode pour les serveurs de messagerie, SSH, les serveurs de jeu et tout ce qui n'est pas du HTTP ou du HTTPS.
• Tous les autres types d'enregistrement, dont MX et TXT, ne peuvent pas passer par le proxy. Cloudflare les sert toujours en DNS uniquement, exactement tels que vous les saisissez.

Le DNS Cloudflare ne fonctionne pas ? Causes fréquentes

Quand des sites cessent de se charger après le passage à 1.1.1.1, la cause est généralement l'une des suivantes :

• Votre réseau intercepte le DNS. Certains FAI, hôtels et pare-feu d'entreprise redirigent toute requête sur le port 53 vers leur propre résolveur, quel que soit votre réglage. Si dig @1.1.1.1 whoami.cloudflare CH TXT revient vide au lieu d'afficher votre IP, c'est ce qui se passe. Le DNS chiffré (DoH ou DoT) permet de le contourner là où il est autorisé.
• Des équipements ou des FAI qui détournent 1.1.1.1. Avant le lancement du résolveur en 2018, certains routeurs de FAI et portails captifs Wi-Fi Cisco utilisaient 1.1.1.1 comme adresse interne, et certains FAI l'envoyaient dans un trou noir ou la filtraient. Sur ces réseaux, 1.1.1.1 n'atteint jamais Cloudflare. Si 1.0.0.1 fonctionne mais pas 1.1.1.1, c'est la cause probable.
• Une panne Cloudflare, rare. Le 14 juillet 2025, une erreur de configuration a mis 1.1.1.1 hors ligne dans le monde entier pendant 62 minutes, et le 27 juin 2024, un détournement BGP l'a rendu injoignable depuis certains réseaux pendant plusieurs heures. Si même cela est de trop pour vous, utilisez un autre fournisseur comme 8.8.8.8 en DNS secondaire.
• Un domaine dont le DNSSEC est cassé. 1.1.1.1 valide les signatures : un domaine avec une erreur DNSSEC échoue donc ici avec SERVFAIL, alors qu'un résolveur qui ne valide pas peut encore répondre. C'est au propriétaire du domaine de corriger le problème.
• Des réponses obsolètes. Après le changement, votre appareil et votre navigateur gardent les anciennes réponses en cache jusqu'à l'expiration de leur TTL. Videz le cache, puis testez à nouveau.

Si plus rien ne se résout, suivez notre guide serveur DNS ne répond pas. Et si un site affiche une page d'erreur Cloudflare plutôt qu'une erreur DNS, c'est le proxy du site qui est en cause, pas votre résolveur ; consultez notre article sur l'erreur Cloudflare 520.