DNS Quad9 : 9.9.9.9, IPv6 et configuration

Qu'est-ce que le DNS Quad9 ?

Quad9 DNS est un résolveur DNS public gratuit, à l'adresse 9.9.9.9 (secondaire 149.112.112.112), qui refuse de résoudre les domaines connus pour diffuser des malwares ou du phishing. Vous configurez votre routeur, votre ordinateur ou votre téléphone pour l'utiliser à la place du serveur DNS de votre FAI, et chaque requête est comparée aux listes de menaces de plus de 20 partenaires de renseignement sur les menaces avant d'obtenir une réponse. Pas de compte, pas d'application à installer, pas de frais.

Il est géré par la Quad9 Foundation, une fondation à but non lucratif basée à Zurich (Suisse), fondée par la Global Cyber Alliance, IBM et Packet Clearing House (PCH). IBM a donné l'adresse 9.9.9.9 au projet. Quad9 est en production depuis août 2016 et sa page À propos (consultée le 26 octobre 2026) annonce plus de 230 clusters de résolveurs dans plus de 110 pays et en moyenne plus de 670 millions de requêtes bloquées par jour.

Adresses des serveurs DNS Quad9 (IPv4 et IPv6)

Voici les adresses du service recommandé de Quad9, celui que veulent la plupart des gens : blocage des malwares plus validation DNSSEC. Saisissez toutes celles que votre appareil peut accueillir.

Les quatre atteignent le même service en anycast : votre requête arrive au site Quad9 le plus proche. Toutes les adresses Quad9 que nous avons interrogées ont été servies par res700.bom2, un résolveur à Mumbai (BOM est le code aéroportuaire de Mumbai). Quad9 demande d'ajouter la paire IPv6 même sans IPv6, car la plupart des systèmes ignorent les adresses qu'ils ne peuvent pas utiliser. La documentation Windows de Microsoft indique la seconde sous la forme 2620:fe::fe:9 ; les deux ont répondu lors de notre test.

# Ask Quad9 directly (macOS, Linux, or Windows with BIND tools)
dig @9.9.9.9 example.com +short

# Which Quad9 site answered?
dig @9.9.9.9 id.server CH TXT +short
# "res700.bom2"

# Windows built-in equivalent
nslookup example.com 9.9.9.9

Tous les services Quad9 : 9.9.9.9, 9.9.9.10 et 9.9.9.11

Quad9 fait tourner le même résolveur derrière quatre jeux d'adresses. Ils diffèrent par deux interrupteurs : le blocage des domaines malveillants, et la transmission ou non d'une partie de votre adresse IP (EDNS Client Subnet, ou ECS) aux serveurs DNS des sites web.

9.9.9.12 n'apparaît que sur le site de documentation de Quad9 ; les quatre ont répondu lors de notre test. L'URL DoH est le nom d'hôte suivi de /dns-query.

L'ECS échange de la confidentialité contre de la vitesse. Les CDN utilisent votre sous-réseau pour choisir un serveur proche. Quad9 y voit une fuite de confidentialité : 9.9.9.9 ne l'envoie jamais, et sa documentation suggère 9.9.9.11 si vous n'atteignez pas un site Quad9 proche ou si un site vous sert le contenu de la mauvaise région. Le nom d'écho de Google montre la différence :

# DNS Robot's test, 26 October 2026 (our real prefix replaced with a documentation one)
dig @9.9.9.9 o-o.myaddr.l.google.com TXT +short
"2620:171:bf:f003:9999::178"           # only Quad9's own server address

dig @9.9.9.11 o-o.myaddr.l.google.com TXT +short
"edns0-client-subnet 203.0.113.0/24"   # our /24 was passed on
"2620:171:bf:f003:9999::178"

En IPv6, 9.9.9.11 a transmis un /48. 9.9.9.9, 9.9.9.10 et le 1.1.1.1 de Cloudflare n'ont envoyé aucun sous-réseau ; le 8.8.8.8 de Google en a aussi envoyé un, un /24.

Comment Quad9 bloque les malwares (et ce qu'il ne bloque pas)

Quad9 ne traque pas les menaces lui-même. Il reprend des listes de domaines malveillants (malwares, phishing, ransomwares, logiciels espions, kits d'exploitation) fournies par ses partenaires de renseignement sur les menaces et les met à jour plusieurs fois par jour ou presque en temps réel. Si vous interrogez un domaine listé, Quad9 répond comme s'il n'existait pas, et votre appareil n'obtient jamais l'adresse du serveur.

Il ne bloque ni les publicités, ni les traqueurs, ni les contenus pour adultes, ne prévoit pas de filtrage de contenu et ne compte pas le spam comme une menace. Pour un filtre adulte, utilisez par exemple le 1.1.1.3 de Cloudflare.

Quad9 documente un domaine de test, isitblocked.org, que ses services de blocage refusent. Lors du test de DNS Robot le 26 octobre 2026 :

Un blocage et un domaine qui n'existe vraiment pas renvoient tous deux NXDOMAIN. Le nombre d'AUTHORITY les distingue : un blocage affiche AUTHORITY: 0, un domaine inexistant AUTHORITY: 1 (l'enregistrement SOA de la zone), comme l'a montré un nom .com inventé lors de notre test.

dig @9.9.9.9 isitblocked.org | grep -E "status|AUTHORITY"
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 4916
;; flags: qr rd ad; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1

# The same name through the unfiltered service
dig @9.9.9.10 isitblocked.org +short
74.208.236.124

Quad9 DNS sur HTTPS, TLS et QUIC

Le DNS en clair sur le port 53 peut être lu par quiconque se trouve sur le trajet, FAI compris. Chaque service Quad9 répond aussi via des protocoles chiffrés :

• DNS sur TLS (DoT) : dns.quad9.net sur le port 853 (dns10, dns11 ou dns12.quad9.net pour les autres services). C'est le nom d'hôte qu'attend le réglage DNS privé d'Android.
• DNS sur HTTPS (DoH) : https://dns.quad9.net/dns-query. Quad9 a commencé à désactiver HTTP/1.1 pour le DoH le 15 décembre 2025 ; il faut donc HTTP/2 ou plus récent, et Quad9 cite MikroTik RouterOS comme client qui en est dépourvu.
• DNS sur QUIC (DoQ) et DoH sur HTTP/3 : sur tous les services Quad9 depuis le 31 mars 2026. Le DoQ utilise les mêmes noms d'hôte sur le port 853 ; des clients comme Chrome passent d'eux-mêmes à HTTP/3. Quad9 prend aussi en charge DNSCrypt.

# Which protocol did Quad9 receive your query on? (do53-udp, do53-tcp, dot, doh…)
dig +short txt proto.on.quad9.net

# Windows PowerShell
Resolve-DnsName -Type txt proto.on.quad9.net

Lors du test de DNS Robot, le DoT s'est connecté en TLS 1.3 sur le port 853 aux quatre services et en IPv6, avec un certificat pour dns.quad9.net, et proto.on.quad9.net a répondu dot via TLS et doh via HTTPS. Le DoH en HTTP/1.1 a reçu HTTP 505 (« requires HTTP/2 »), et le format JSON ?name= que proposent Cloudflare et Google a renvoyé HTTP 400 : Quad9 ne parle que le format binaire de la RFC 8484.

Le chiffrement coûte surtout du temps à la première requête. Une nouvelle connexion DoH vers Quad9 a pris en tout 260 ms en médiane (Cloudflare 87 ms, Google 150 ms) ; sur une connexion DoT ouverte, les requêtes vers 9.9.9.9 ont pris 48 ms en médiane, proche du DNS en clair.

Vitesse et DNSSEC de Quad9 : le test de DNS Robot

Nous avons chronométré chaque adresse Quad9 depuis une connexion domestique Jio en Inde le 26 octobre 2026, à côté de Cloudflare et de Google : cinq tours entrelacés par serveur, chacun avec un nom en cache (example.com) et un nom tout neuf dans notre propre zone de test. Le tableau indique la médiane de cinq mesures.

Cloudflare a été le plus rapide dans les deux cas, ses requêtes en cache se situant toutes entre 26 et 31 ms. Les médianes de Quad9 étaient correctes mais la dispersion était grande : des requêtes isolées en cache vers 9.9.9.9 et 149.112.112.112 ont pris 316 ms et 563 ms, et une requête IPv6 a expiré. Google a été le plus lent pour les noms tout neufs. Vos chiffres seront différents, alors lancez le Test de vitesse DNS depuis votre propre appareil avant de changer.

DNSSEC : chaque adresse Quad9 valide. Toutes, y compris le 9.9.9.10 non filtré et le 9.9.9.12, ont renvoyé SERVFAIL pour les domaines volontairement cassés dnssec-failed.org et brokendnssec.net, et ont activé le drapeau ad pour un domaine correctement signé. Cela correspond à la page de service de Quad9 ; sa FAQ (« deux services sur trois ») et ses profils Apple (« No DNSSEC » pour 9.9.9.10) ne correspondent pas à ce que nous avons mesuré.

Qui gère Quad9, et est-ce privé ?

Quad9 est exploité par la Quad9 Foundation, une fondation d'utilité publique à but non lucratif basée à Zurich, financée par des sponsors et des dons. Sa politique de confidentialité indique :

• Les adresses IP comptent comme des données personnelles selon la plus stricte des définitions suisse (LPD), américaine et européenne (RGPD), pour tous les utilisateurs, où qu'ils vivent.
• Votre adresse IP n'est jamais stockée. Elle reste en mémoire seulement les quelques microsecondes à millisecondes nécessaires pour répondre, et n'est jamais liée aux noms que vous interrogez.
• Ce qui est conservé, ce sont des compteurs : site, préfixe réseau (pas plus fin qu'un /24 en IPv4 ou un /56 en IPv6), numéro d'AS, région, type de requête, protocole et nombre par nom de domaine. Ils peuvent être archivés, mais la politique affirme qu'aucun ne contient d'information personnelle.
• Rien n'est vendu ni partagé avec des annonceurs. Les partenaires de renseignement sur les menaces reçoivent des compteurs pour les domaines qu'ils ont fournis, jamais d'IP source.
• Juridiction suisse : Quad9 ne répond qu'aux demandes approuvées par les autorités suisses, et le service suisse de surveillance a confirmé que sa loi de surveillance (SPTA) ne s'applique pas au résolveur ; il n'y a donc aucune obligation de conserver les métadonnées des utilisateurs.

Aucun résolveur n'est pourtant anonyme : Quad9 voit toujours chaque requête, et le DNS en clair reste lisible sur le trajet si vous n'utilisez pas DoT ou DoH.

Quad9, Cloudflare et Google DNS : comparatif

Les trois sont gratuits et valident DNSSEC. Les vraies différences sont le blocage, la confidentialité et le droit auquel répond chaque opérateur :

Choisissez Quad9 pour une protection contre les malwares sur chaque appareil et les conditions de confidentialité les plus strictes. Choisissez Cloudflare si la vitesse compte avant tout (il était le plus rapide depuis notre ligne) ou si vous voulez un filtre adulte. Choisissez Google pour des réponses fidèles aux CDN, puisqu'il envoie l'ECS. Nos guides DNS Cloudflare et DNS Google détaillent les deux avec la même précision.

Comment configurer le DNS Quad9

Configurez Quad9 sur le routeur pour couvrir d'un coup tous les appareils de votre Wi-Fi, ou sur l'appareil lui-même pour les téléphones et ordinateurs portables qui quittent la maison.

Sur Android (DNS privé)

• Ouvrez Paramètres et cherchez DNS privé (sur un Pixel, c'est sous Réseau et Internet ; sur Samsung, sous Connexions → Plus de paramètres de connexion).
• Choisissez Nom d'hôte du fournisseur DNS privé.
• Saisissez dns.quad9.net (ou dns10.quad9.net / dns11.quad9.net pour les autres services) et appuyez sur Enregistrer.
• Ouvrez on.quad9.net dans votre navigateur pour vérifier que cela a fonctionné.

Le DNS privé chiffre chaque requête avec DoT, y compris en données mobiles ; notre guide du DNS privé explique ce qu'il masque.

Sur iPhone et iPad

• Rapide, un seul réseau Wi-Fi (non chiffré) : allez dans Réglages → Wi-Fi, touchez (i) à côté de votre réseau, puis Configurer le DNS → Manuel. Supprimez les anciens serveurs, ajoutez 9.9.9.9, 149.112.112.112, 2620:fe::fe et 2620:fe::9, puis touchez Enregistrer.
• Chiffré, sur tous les réseaux : ouvrez le guide de configuration iOS de Quad9 dans Safari (les autres navigateurs ne fonctionnent pas) et téléchargez un profil (Quad9 recommande HTTPS). Allez ensuite dans Réglages, touchez Profil téléchargé, puis Installer, et saisissez votre code.
• Vérifiez le résultat sur on.quad9.net.

Sous Windows 11 et 10

• Windows 11 : ouvrez Paramètres → Réseau et Internet, choisissez Wi-Fi ou Ethernet, cliquez sur Modifier à côté de Attribution du serveur DNS et choisissez Manuel.
• Activez IPv4 : préféré 9.9.9.9, auxiliaire 149.112.112.112, chacun avec DNS sur HTTPS réglé sur Activé (modèle automatique) ; Windows connaît déjà l'adresse DoH de Quad9.
• Activez IPv6 si vous en avez (2620:fe::fe et 2620:fe::9, DoH activé), puis Enregistrer. La liste DoH intégrée de Windows contient 2620:fe::fe:9 plutôt que 2620:fe::9 ; utilisez-la comme adresse auxiliaire si Activé (modèle automatique) n'est pas proposé. Les ordinateurs portables qui passent sur des réseaux bloquant le DoH peuvent avoir besoin du « mode de secours en texte brut ».
• Windows 10 : appuyez sur Win + R, lancez ncpa.cpl, faites un clic droit sur votre carte réseau et ouvrez Propriétés → Protocole Internet version 4 (TCP/IPv4) → Propriétés → Utiliser l'adresse de serveur DNS suivante. Répétez pour IPv6.

# PowerShell (as administrator): set Quad9 on the active adapter
$if = (Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object -First 1).Name
Set-DnsClientServerAddress -InterfaceAlias $if -ServerAddresses 9.9.9.9,149.112.112.112,2620:fe::fe,2620:fe::9
ipconfig /flushdns

# "doh" means encrypted, "do53-udp" means plain DNS
Resolve-DnsName -Type txt proto.on.quad9.net

Sur macOS

• Ouvrez Réglages Système → Réseau, choisissez Wi-Fi (ou Ethernet) et cliquez sur Détails.
• Ouvrez DNS, cliquez sur + et ajoutez 9.9.9.9, 149.112.112.112, 2620:fe::fe et 2620:fe::9. Supprimez les anciennes entrées avec –, puis cliquez sur OK.
• Pour le DNS chiffré sous macOS Big Sur ou plus récent, installez plutôt le profil de Quad9 : téléchargez-le dans Safari, puis approuvez-le dans Réglages Système.

# Terminal alternative (use "Ethernet" if wired)
networksetup -setdnsservers Wi-Fi 9.9.9.9 149.112.112.112 2620:fe::fe 2620:fe::9

# Flush the macOS DNS cache
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

Sur votre routeur

• Ouvrez la page d'administration du routeur (souvent 192.168.0.1 ou 192.168.1.1) et connectez-vous.
• Trouvez les réglages DNS, en général sous Internet, WAN ou DHCP, et passez de automatique à manuel.
• Saisissez 9.9.9.9 et 149.112.112.112, ainsi que 2620:fe::fe et 2620:fe::9 dans la section IPv6 s'il y en a une. Enregistrez, puis reconnectez vos appareils.
• Si votre routeur prend en charge un DNS amont chiffré (pfSense et OPNsense, par exemple), pointez-le vers dns.quad9.net ; la documentation de Quad9 propose des guides pour eux.

Comment vérifier que vous utilisez Quad9

Ouvrez on.quad9.net dans un navigateur : il répond simplement par Oui ou Non. Deux vérifications dans le terminal vont plus loin :

# 1. Did Quad9 get the query, and over which protocol?
dig +short txt proto.on.quad9.net
# "do53-udp" (plain DNS), "dot" or "doh"; no answer = not Quad9

# 2. Is your ISP intercepting queries to 9.9.9.9?
dig +short ch txt id.server @9.9.9.9
# "res700.bom2": a Quad9 resolver name. Nothing, or something else = redirected

Quad9 affirme que certains FAI, le plus souvent en Asie, en Afrique et au Moyen-Orient, redirigent discrètement les requêtes vers 9.9.9.9 vers leurs propres serveurs. La documentation de Quad9 montre des noms se terminant par .rrdns.pch.net ; le nôtre était le res700.bom2, plus court, et proto.on.quad9.net a confirmé que Quad9 avait répondu. Si la vérification 2 ne renvoie rien ou un nom sans rapport, passez au DoT ou au DoH, qui ne peuvent pas être redirigés de cette façon. Lancez ensuite notre DNS Leak Test : chaque résolveur qu'il trouve doit appartenir à un réseau utilisé par Quad9, comme PCH (WoodyNet), Equinix ou i3D, et aucun à votre FAI.

Quad9 ne fonctionne pas ? Causes courantes

• Un site dont vous avez besoin est bloqué. Cherchez le domaine sur la page des domaines bloqués de Quad9 et signalez un faux positif au support de Quad9. En attendant, DNS Lookup affiche les vrais enregistrements du domaine.
• Un VPN ou un navigateur le remplace. Les applications VPN utilisent leur propre DNS, et Quad9 prévient que Firefox utilise par défaut le DoH de Cloudflare dans certaines régions. Réglez Quad9 dans le DNS du VPN ou du navigateur lui-même.
• Votre client DoH est trop ancien. Le DoH de Quad9 exige désormais HTTP/2. Utilisez le DoT, ou un relais comme dnscrypt-proxy, AdGuard Home ou Unbound.
• Votre FAI bloque un port. Quad9 répond aussi en DNS classique sur le port 9953, qui fonctionnait depuis notre ligne. Si le port 853 du DoT est lui aussi bloqué, utilisez le DoH, qui passe par le port 443.
• Les vidéos ou téléchargements viennent d'un serveur lointain. Il peut s'agir de l'ECS manquant : essayez 9.9.9.11, ou 9.9.9.12 sans blocage.
• Anciennes réponses après un changement. Quad9 n'a pas d'outil public pour vider son propre cache, mais vous pouvez vider celui de votre appareil : voir comment vider le cache DNS.