Configurer NextDNS : limite gratuite et tous les appareils

Qu'est-ce que NextDNS ?

NextDNS est un résolveur DNS qui fait office de pare-feu que vous réglez vous-même. Vous créez une configuration sur my.nextdns.io, choisissez ce qu'elle bloque (publicités et traqueurs, malwares et hameçonnage, sites pour adultes, applications comme TikTok ou Fortnite), puis vous pointez chaque appareil vers elle avec votre ID de configuration. C'est gratuit jusqu'à 300 000 requêtes par mois ; l'offre Pro, sans limite, coûte 1,99 $ par mois aux États-Unis.

Comme il agit au niveau du DNS, le blocage couvre toutes les applications, pas seulement le navigateur, et s'exécute sur les serveurs de NextDNS plutôt que sur votre appareil : un nom bloqué reçoit 0.0.0.0 (ou, en option, une page de blocage) au lieu de sa vraie adresse. NextDNS Inc. a été fondée en mai 2019 dans le Delaware par Romain Cointepas et Olivier Poitrey et exploite son propre réseau anycast, avec des serveurs de deux fournisseurs différents à chaque emplacement.

NextDNS est-il gratuit ? La limite de 300 000 requêtes et les prix

Oui, avec un plafond mensuel. L'offre gratuite comprend 300 000 requêtes par mois, des appareils illimités, des configurations illimitées et toutes les fonctionnalités. NextDNS vous envoie un e-mail à 250 000 requêtes, puis à 300 000. Au-delà du plafond, il ne vous coupe pas : selon ses propres mots, il « devient un résolveur DNS standard, sans filtrage ni journalisation » jusqu'au mois suivant.

Cela fait environ 10 000 requêtes par jour. Savoir si cela suffit dépend du nombre d'appareils qui partagent le compte : surveillez le compteur de l'onglet « Analytics » pendant une semaine avant de payer.

Comment fonctionne l'ID de configuration NextDNS

Chaque configuration a un court ID, affiché dans l'onglet « Setup » de my.nextdns.io (l'API, la CLI et l'application Mac de NextDNS l'appellent l'ID de profil). NextDNS a besoin de cet ID dans chaque requête pour savoir quels réglages appliquer, et chaque protocole le transporte à sa façon :

L'IP liée est le point faible. Le DNS classique en IPv4 n'a pas de place pour un ID : NextDNS associe donc les requêtes à votre IP publique, ce qui se rompt dès qu'elle change, comme c'est souvent le cas sur les lignes domestiques dynamiques et derrière un CGNAT. Un nom d'hôte DDNS ou une URL de mise à jour aide ; le DNS chiffré évite le problème.

Pour nommer un appareil dans les journaux, placez le nom avant l'ID en DoT, avec -- pour une espace (John--Router-abc123.dns.nextdns.io), ou après l'ID en DoH (https://dns.nextdns.io/abc123/Office%20PC).

Configurer NextDNS sur chaque appareil

Inscrivez-vous sur my.nextdns.io, ouvrez l'onglet « Setup » et copiez votre ID : l'onglet affiche vos points de terminaison exacts et détecte l'appareil que vous utilisez. Voici les méthodes qu'il propose pour chaque plateforme (vérifié le 26 octobre 2026). Remplacez abc123 par votre ID.

Android : DNS privé

Android 9 et les versions suivantes intègrent le DNS privé (DNS over TLS), et c'est la seule méthode Android citée par NextDNS. Il couvre le Wi-Fi et les données mobiles pour toute application qui utilise le DNS du système.

1. Ouvrir Paramètres > Réseau et InternetSur les téléphones Samsung, c'est Paramètres > Connexions.
2. Appuyer sur DNS privéCertains téléphones le placent sous Paramètres avancés ou Plus de paramètres de connexion.
3. Choisir Nom d'hôte du fournisseur DNS privé
4. Saisir abc123.dns.nextdns.io et appuyer sur EnregistrerUtilisez votre propre ID, puis ouvrez un site web : si les pages ne se chargent plus, le nom d'hôte est faux ou le réseau bloque le port 853.

iPhone, iPad et Mac : l'application ou apple.nextdns.io

Sur iPhone et iPad, NextDNS recommande son application de l'App Store. L'alternative est un profil de configuration, qui utilise le DNS chiffré intégré d'Apple (iOS 14 et macOS 11 ou ultérieur) sans application en cours d'exécution :

1. Ouvrir apple.nextdns.io sur l'appareilSaisissez votre ID de configuration. Vous pouvez ajouter un nom d'appareil, les réseaux Wi-Fi où NextDNS doit être désactivé et les domaines à exclure.
2. Appuyer sur Download
3. Installer le profiliPhone et iPad : Réglages > Profil téléchargé > Installer. Mac : ouvrez le fichier .mobileconfig, puis Réglages Système > Général > Gestion de l'appareil, double-cliquez sur le profil NextDNS et cliquez sur Installer.

Sur un Mac, vous pouvez aussi installer l'application de NextDNS depuis nextdns.io/download/macos/stable, sa méthode recommandée pour Mac, et saisir votre ID de profil quand elle le demande.

Windows 11 : DNS over HTTPS ou l'application

Windows 11 sait envoyer le DNS over HTTPS en natif, et NextDNS le cite parmi ses méthodes recommandées :

1. Ouvrir Paramètres > Réseau et Internet > Wi-Fi (ou Ethernet)Pour le Wi-Fi, cliquez sur Propriétés matérielles.
2. Cliquer sur Modifier à côté de Attribution du serveur DNS et choisir Manuel
3. Activer IPv4 et définir le serveur préféréDNS préféré : 45.90.28.0. DNS sur HTTPS : Activé (modèle manuel), avec le modèle https://dns.nextdns.io/abc123.
4. Définir le serveur secondaire et enregistrerAutre DNS : 45.90.30.0, avec le même modèle. Cliquez sur Enregistrer.

Windows 10 n'a pas de réglage DNS over HTTPS : utilisez donc l'application de nextdns.io/download/windows/stable. Faites un clic droit sur son icône de la zone de notification, ouvrez « Settings… », collez votre Configuration ID, puis choisissez « Enable » dans le même menu.

Chrome, Edge, Brave et Firefox

Pour ne couvrir qu'un navigateur, réglez son DNS sécurisé sur un fournisseur personnalisé : https://dns.nextdns.io/abc123. Dans Chrome, c'est Paramètres > Confidentialité et sécurité > Sécurité > Utiliser un DNS sécurisé > « Ajouter un fournisseur de services DNS personnalisé ».

Dans Firefox, choisissez Protection maximale (Max Protection) sous DNS via HTTPS. NextDNS demande ce mode strict parce que les autres modes de Firefox se rabattent sur le DNS du système quand une résolution échoue, ce qui laisse passer les domaines bloqués.

Routeurs, Linux et la CLI NextDNS

Pour un routeur, NextDNS recommande sa CLI open source : un petit proxy qui transforme le DNS classique de chaque appareil en DNS over HTTPS et peut envoyer le nom et le modèle de chaque appareil dans vos journaux. Elle fonctionne sur OpenWrt, AsusWRT-Merlin, pfSense, OPNsense, UniFi, EdgeOS, Firewalla, Synology, DD-WRT et la plupart des distributions Linux. Gardez votre ID de configuration sous la main, puis exécutez :

sh -c 'sh -c "$(curl -sL https://nextdns.io/install)"'

# Afterwards
nextdns restart   # restart the service
nextdns log       # show its log

# Run the install command again to upgrade or uninstall

Si votre routeur ne peut pas l'exécuter, saisissez les deux adresses IPv6 de l'onglet « Setup » comme serveurs DNS, ou la paire IPv4 avec une IP liée. Avec dnsmasq, add-cpe-id=abc123 joint votre ID à chaque requête, sans besoin de lier l'IP.

Les meilleurs réglages NextDNS à modifier

La première configuration d'un nouveau compte n'est pas vide. D'après le code du tableau de bord (lu le 26 octobre 2026), les flux de renseignement sur les menaces, Google Safe Browsing, la protection contre le cryptojacking, les homographes IDN, le typosquatting, les DGA et les contenus CSAM, une liste de blocage des publicités et traqueurs, le blocage des traqueurs déguisés, la journalisation et l'EDNS Client Subnet anonymisé sont activés. Restent désactivés, entre autres, la protection contre le DNS rebinding, que NextDNS conseille d'activer sauf si vous utilisez des domaines qui résolvent vers des IP privées, et les blocages des domaines récemment enregistrés et parqués. À partir de là, ces réglages comptent le plus.

Listes de blocage : en ajouter une, pas cinq

Le catalogue de listes de blocage de NextDNS, qui alimente l'onglet « Privacy », comptait 83 listes le 26 octobre 2026. Plus n'est pas mieux : chaque liste ajoutée apporte des faux positifs, et certaines listes du catalogue ne sont plus mises à jour depuis des années.

Un bon départ est la liste par défaut plus une liste maintenue comme HaGeZi Multi PRO ou OISD. Quand quelque chose ne marche plus, chaque entrée bloquée de l'onglet « Logs » indique « Blocked by » avec le nom de la liste, et vous pouvez autoriser le domaine à partir de là.

Protection native contre le suivi

Elle bloque la télémétrie que les systèmes d'exploitation et les appareils envoient d'eux-mêmes. Le 26 octobre 2026, elle couvrait huit fabricants : Windows, Apple, Samsung, Xiaomi, Huawei, Alexa, Roku et Sonos. Ajoutez seulement les fabricants dont vous possédez les appareils, un par un, et consultez les journaux si une fonction de cet appareil cesse de marcher.

Contrôle parental

Bloquez des catégories entières (pornographie, jeux d'argent, rencontres, piratage, jeux vidéo, réseaux sociaux, streaming vidéo) ou l'un des 43 services nommés, de TikTok et Roblox à Discord et ChatGPT. Vous pouvez aussi imposer SafeSearch et le mode restreint de YouTube, et utiliser Recreation Time pour n'autoriser certains sites, applications ou jeux qu'à des heures précises de la journée.

Journaux, durée de conservation et lieu de stockage

Les journaux sont activés dans une nouvelle configuration. Dans « Settings », vous pouvez les désactiver ou les conserver 1 heure, 6 heures, 1 jour, 1 semaine, 1, 3 ou 6 mois, 1 an ou 2 ans, stockés aux États-Unis, dans l'Union européenne ou en Suisse (la page d'accueil de NextDNS cite aussi le Royaume-Uni). Journaux désactivés, la politique de confidentialité de NextDNS indique que chaque requête et sa réponse sont supprimées juste après l'envoi de la réponse, et que les données des utilisateurs ne sont ni vendues ni partagées.

Vitesse et confidentialité de NextDNS : le test de DNS Robot

Nous avons chronométré les points de terminaison publics de NextDNS sans compte, depuis une connexion domestique en Inde, le 26 octobre 2026 : une requête d'échauffement, puis la médiane de 5 résolutions de example.com, deux fois à une minute d'intervalle. test.nextdns.io nous a indiqué quel serveur NextDNS avait répondu.

Premièrement, le nom d'hôte chiffré est la voie rapide. dns.nextdns.io utilise le pilotage DNS « ultralow » de NextDNS pour choisir un serveur proche, alors que les adresses anycast vont là où le routage les envoie : depuis notre réseau, la seconde paire (45.90.30.0, 2a07:a8c1::) a atterri en Europe avec une latence environ cinq fois plus élevée. Préférez DoH ou DoT ; avec des IP classiques, testez les deux, ou chronométrez-les depuis votre propre navigateur avec notre test de vitesse DNS.

Deuxièmement, NextDNS valide DNSSEC : il a renvoyé SERVFAIL pour dnssec-failed.org. Sans ID, il n'a pas non plus transmis de sous-réseau client au nom de test de Google o-o.myaddr.l.google.com, qui n'a vu que le serveur NextDNS de Mumbai ; Google Public DNS a transmis notre vrai sous-réseau /24, AdGuard un autre /24, Cloudflare aucun. Une configuration se comporte autrement : son réglage « EDNS Client Subnet anonymisé », activé par défaut, envoie un sous-réseau que NextDNS a conçu pour garder la vitesse des CDN sans révéler votre propre adresse. Vous pouvez le désactiver dans « Settings ».

Comment vérifier que NextDNS fonctionne (test.nextdns.io)

Ouvrez test.nextdns.io dans un navigateur de l'appareil. Il renvoie quelques lignes de JSON sur le résolveur qui a résolu la page. Voici ce qu'il a affiché sur notre Mac avec le DNS du FAI, puis via NextDNS en DoH (adresses retirées) :

Not using NextDNS:
{
  "status": "unconfigured",
  "resolver": "<your ISP's resolver>",
  "srcIP": "<your public IP>",
  "server": "vultr-blr-1"
}

Using NextDNS (DoH, no configuration ID):
{
  "status": "ok",
  "protocol": "DOH",
  "client": "<your public IP>",
  "srcIP": "<your public IP>",
  "anycast": false,
  "server": "ls-bom-1",
  "clientName": "unknown-doh"
}

• unconfigured : cet appareil n'utilise pas NextDNS. resolver indique qui a posé la question à la place ; le tableau de bord le nomme (pour nous, notre FAI, Reliance Jio).
• ok : NextDNS a répondu. protocol indique comment la requête est arrivée (DOH, DOT, UDP, etc.) et server nomme l'emplacement NextDNS (bom, c'est Mumbai).
• mismatch : affiché par l'onglet « Setup », qui lance le test avec votre ID : NextDNS a répondu sans cette configuration (une adresse IPv4 non liée, un point de terminaison sans votre ID, ou un autre ID).

Si un site ne se charge pas, comparez sa vraie réponse publique dans DNS Lookup avec celle que reçoit votre appareil : 0.0.0.0 signifie que NextDNS l'a bloqué, et l'onglet « Logs » dit quelle liste. Le test de fuite DNS montre chaque résolveur que votre appareil utilise réellement : il repère donc un VPN ou un navigateur qui contourne NextDNS.

NextDNS, AdGuard DNS ou Cloudflare : lequel pour les familles ?

Les trois filtrent au niveau du DNS, mais conviennent à des personnes différentes. Nous avons envoyé les mêmes noms à chaque point de terminaison public le 26 octobre 2026 :

Choisissez NextDNS si vous voulez décider de ce qui est bloqué pour chaque personne ou appareil et consulter les journaux. Choisissez les serveurs publics gratuits d'AdGuard DNS (94.140.14.14) si vous voulez bloquer les publicités sans aucun compte. Choisissez Cloudflare for Families si le filtrage des malwares et des contenus pour adultes vous suffit : 1.1.1.3 est gratuit, sans compte, et ne bloque aucune publicité. Notre guide des DNS Cloudflare liste toutes les adresses Families.

NextDNS ne fonctionne pas ? Causes courantes

• Un VPN est connecté : sur iPhone et Mac, son DNS remplace le profil NextDNS.
• Vous avez dépassé 300 000 requêtes : les comptes gratuits cessent de filtrer jusqu'à la réinitialisation du mois.
• Votre IP publique a changé : les configurations à IP liée ne correspondent plus. Reliez-la à nouveau, utilisez DDNS ou passez à DoH ou DoT.
• Le réseau bloque le port 853 : DoT (DNS privé d'Android) l'utilise et les pare-feu le bloquent facilement ; DoH utilise le port 443, comme le trafic web.
• Safari ne fait rien sur un lien bloqué : NextDNS signale que Safari sur iOS ignore silencieusement les liens vers des domaines bloqués avec 0.0.0.0. Activez la Block Page.
• Les publicités YouTube s'affichent encore : NextDNS indique que le DNS ne peut pas les bloquer. Utilisez un bloqueur de publicités dans le navigateur.
• Firefox le contourne : quand son propre DNS over HTTPS est activé, il ignore le DNS du système. Pointez-le vers votre URL NextDNS avec Protection maximale.