DNS privé : c'est quoi ? Nom d'hôte du fournisseur, réglage

Qu'est-ce que le DNS privé ?

Le DNS privé est le réglage d'Android pour le DNS chiffré : il envoie les noms de sites que votre appareil recherche par une connexion chiffrée, si bien que votre réseau Wi-Fi et votre FAI ne peuvent ni les lire ni les modifier. Pour l'activer, allez dans Paramètres → Réseau et Internet → DNS privé, choisissez Nom d'hôte du fournisseur DNS privé et saisissez un nom d'hôte comme dns.google ou one.one.one.one. Sur Samsung, le chemin est « Connexions » → « Plus de paramètres de connexion » → « DNS privé ».

Android l'a depuis Android 9 (2018), avec DNS over TLS. Depuis une mise à jour système Google Play de 2022, Android 11 et versions ultérieures passent à DNS over HTTP/3 pour les fournisseurs qu'Android reconnaît : dns.google chez Google, et Cloudflare sous le nom cloudflare-dns.com (avec one.one.one.one, on reste sur DNS over TLS). iPhone, Windows, Mac et navigateurs web offrent la même protection sous le nom de DNS chiffré.

Dans les réseaux d'entreprise et de cloud, « DNS privé » désigne autre chose : des zones DNS internes qui n'existent qu'à l'intérieur de ce réseau. Ce sens est expliqué plus bas.

Comment fonctionne le DNS classique (et pourquoi c'est un problème)

Le DNS classique envoie ses requêtes en clair depuis ses premières normes, en 1983. Quand vous saisissez un nom de domaine dans votre navigateur, votre appareil envoie une requête DNS sur le port UDP 53 à un résolveur DNS (généralement le serveur de votre FAI). Le résolveur répond avec l'adresse IP, le tout sans aucun chiffrement.

Cela signifie que tout le monde sur le chemin réseau peut voir chaque domaine que vous visitez. Votre FAI peut établir un profil de navigation complet. Des attaquants sur un Wi-Fi public peuvent intercepter vos requêtes. Certains FAI ont même réécrit des réponses DNS pour envoyer les adresses mal saisies vers leurs propres pages de recherche et de publicité.

Le DNS est aussi vulnérable à l'empoisonnement de cache et à l'usurpation, où un attaquant envoie de fausses réponses et vous redirige à votre insu vers des sites malveillants. Le DNS classique n'a aucun moyen intégré de vérifier que la réponse vient bien du vrai serveur DNS.

Comment fonctionne le DNS privé

Le DNS privé enveloppe vos requêtes DNS dans une connexion chiffrée. Au lieu d'envoyer une requête en clair sur le port UDP 53, votre appareil établit d'abord une session chiffrée avec le résolveur DNS, puis envoie la requête dans ce tunnel sécurisé.

Le résolveur déchiffre votre requête, résout le nom de domaine en adresse IP, chiffre la réponse et la renvoie. L'échange entier est invisible pour quiconque surveille le réseau : on voit que vous parlez à un serveur DNS, mais pas quels domaines vous interrogez.

Trois protocoles de DNS chiffré normalisés par l'IETF sont utilisés aujourd'hui : DNS over TLS (DoT), DNS over HTTPS (DoH) et DNS over QUIC (DoQ). Chacun chiffre la même requête DNS à sa façon (Oblivious DoH et DNSCrypt existent aussi, mais sont moins courants).

DNS over TLS vs DNS over HTTPS vs DNS over QUIC

DoT (RFC 7858) fait passer le DNS dans TLS sur un port dédié, le 853. Le DNS privé d'Android l'utilise depuis Android 9, et comme le port lui est réservé, un réseau peut facilement le bloquer.

DoH (RFC 8484) envoie les requêtes DNS sous forme de requêtes HTTPS sur le port 443 : elles ressemblent donc au reste du trafic web et ne se bloquent qu'en bloquant les serveurs DoH connus. Chrome, Firefox et Edge l'ont intégré, et Windows 11 peut l'utiliser pour tout le système. Sur Android, Android 11 et versions ultérieures passent à DNS over HTTP/3 pour les fournisseurs qu'Android reconnaît : dns.google chez Google, et Cloudflare sous le nom cloudflare-dns.com (avec one.one.one.one, on reste sur DNS over TLS).

DoQ (RFC 9250, 2022) fait passer le DNS directement sur QUIC, port UDP 853, ce qui évite le blocage en tête de file et reprend vite les connexions. Peu de résolveurs l'offrent : AdGuard DNS et Quad9 le font (Quad9 l'indique dans sa réponse DDR, vérifié le 26 octobre 2026), alors que le 1.1.1.1 de Cloudflare gère DoT, DoH et Oblivious DoH mais pas DoQ, et qu'Android ne l'utilise pas.

Comment activer le DNS privé sur Android

Android propose le DNS privé depuis Android 9 (2018). Il s'applique à toutes les applications, en Wi-Fi comme en données mobiles, et a trois modes : Désactivé ; Automatique, le mode par défaut, qui chiffre le DNS dès que le serveur DNS de votre réseau le permet et utilise sinon le DNS classique ; et Nom d'hôte du fournisseur DNS privé, qui utilise toujours le fournisseur que vous saisissez.

• Étape 1 : Ouvrez Paramètres > Réseau et Internet (ou « Connexions » sur Samsung)
• Étape 2 : Touchez DNS privé (il faut parfois toucher d'abord « Paramètres avancés » ou « Plus de paramètres de connexion »)
• Étape 3 : Sélectionnez Nom d'hôte du fournisseur DNS privé
• Étape 4 : Saisissez le nom d'hôte de votre fournisseur. Exemples : 1dot1dot1dot1.cloudflare-dns.com (Cloudflare), dns.google (Google), dns.quad9.net (Quad9), dns.adguard-dns.com (AdGuard)
• Étape 5 : Touchez Enregistrer. Si Android n'atteint pas le fournisseur, il avertit « Impossible d'accéder au serveur DNS privé »

Comment activer le DNS privé sur iPhone et iPad

iPhone et iPad (iOS 14 et versions ultérieures) prennent en charge DNS over HTTPS et DNS over TLS, mais il n'y a pas d'interrupteur unique comme sur Android : vous ajoutez une app de DNS chiffré ou un profil de configuration.

• Méthode 1 : app DNS — Installez l'app de votre fournisseur (par exemple 1.1.1.1 de Cloudflare, NextDNS ou AdGuard) depuis l'App Store et activez-la. Son réglage DNS apparaît dans Réglages > Général > VPN et gestion de l'appareil.
• Méthode 2 : profil de configuration — Téléchargez dans Safari un fichier .mobileconfig fourni par votre fournisseur DNS (ou par une collection fiable comme le dépôt GitHub paulmillr/encrypted-dns), puis ouvrez Réglages > Général > VPN et gestion de l'appareil, sélectionnez le profil téléchargé et touchez Installer.
• Méthode 3 : DNS par réseau — Allez dans Réglages > Wi-Fi, touchez le (i) à côté de votre réseau, puis « Configurer le DNS », sélectionnez « Manuel » et ajoutez des IP de serveurs DNS (par ex. 1.1.1.1, 1.0.0.1). À partir d'iOS 16, un serveur qui prend en charge Discovery of Designated Resolvers (1.1.1.1, 8.8.8.8 et 9.9.9.9 le font) fait passer l'iPhone au DNS chiffré tout seul ; les autres serveurs restent non chiffrés.

Comment activer DNS over HTTPS sur Windows 11

Windows 11 prend en charge DNS over HTTPS nativement. Il est livré avec une liste de fournisseurs DoH reconnus, dont Cloudflare, Google et Quad9.

• Étape 1 : Ouvrez « Paramètres > Réseau et Internet > Wi-Fi > Gérer les réseaux connus » et choisissez votre réseau (pour un câble : « Ethernet » → votre réseau)
• Étape 2 : Repérez « Attribution du serveur DNS » sur cette page
• Étape 3 : Cliquez sur « Modifier » à côté de « Attribution du serveur DNS »
• Étape 4 : Sélectionnez « Manuel » et activez « IPv4 »
• Étape 5 : Saisissez un serveur DNS principal (par ex. 1.1.1.1) et réglez « DNS sur HTTPS » sur « Activé (modèle automatique) »
• Étape 6 : Saisissez un serveur DNS secondaire (par ex. 1.0.0.1) et réglez aussi DoH sur « Activé »
• Étape 7 : Cliquez sur « Enregistrer ». L'entrée DNS doit maintenant afficher l'étiquette « Encrypted »

# View the DoH providers Windows 11 already knows (Cloudflare, Google, Quad9…)
netsh dns show encryption

# Add a provider that isn't on that list, via PowerShell (AdGuard shown)
Add-DnsClientDohServerAddress -ServerAddress '94.140.14.14' -DohTemplate 'https://dns.adguard-dns.com/dns-query' -AllowFallbackToUdp $False -AutoUpgrade $True

Comment activer le DNS privé sur macOS

macOS (Big Sur 11 et versions ultérieures) prend en charge le DNS chiffré par des profils de configuration, comme iOS, ou par des apps DNS.

• Méthode 1 : app DNS — Installez l'app Cloudflare 1.1.1.1 (ou une similaire) et activez-la. L'app configure DoH ou DoT au niveau du système.
• Méthode 2 : profil de configuration — Téléchargez un fichier .mobileconfig, double-cliquez dessus, puis approuvez-le dans Réglages Système → Général → Gestion de l'appareil (anciennes versions de macOS : cherchez « Profiles » dans les réglages système).
• Méthode 3 : Terminal (avancé) — networksetup -setdnsservers Wi-Fi 1.1.1.1 1.0.0.1 change les serveurs DNS. À partir de macOS Ventura, un serveur qui gère DDR (1.1.1.1, 8.8.8.8, 9.9.9.9) est passé automatiquement au DNS chiffré ; les autres restent non chiffrés.

Meilleurs fournisseurs de DNS privé (2026)

Cloudflare 1.1.1.1 prend en charge DoT et DoH (ainsi qu'Oblivious DoH), avec des variantes filtrantes security.cloudflare-dns.com (logiciels malveillants) et family.cloudflare-dns.com (logiciels malveillants et contenu adulte). Il ne conserve aucune adresse IP source sur disque, supprime ses journaux sous 25 heures, et un auditeur externe vérifie ces engagements.

Google Public DNS prend en charge DoT et DoH. Ses journaux temporaires contiennent votre adresse IP complète et sont supprimés sous 24 à 48 heures ; l'échantillon permanent ne garde qu'une localisation au niveau de la ville. Si la journalisation minimale est votre priorité, Cloudflare ou Quad9 conviennent mieux.

Quad9 est géré par une fondation suisse à but non lucratif, ne stocke pas les adresses IP et bloque les domaines malveillants connus grâce au renseignement sur les menaces de partenaires de sécurité : un bon choix pour les utilisateurs soucieux de sécurité.

AdGuard DNS bloque publicités et traqueurs au niveau du DNS, de sorte que les publicités disparaissent sur tout l'appareil sans bloqueur séparé. Il offre aussi DNS over QUIC.

NextDNS donne le plus de contrôle. Vous obtenez un nom d'hôte personnalisé, des listes de blocage configurables, des statistiques par appareil, le contrôle parental et un tableau de bord montrant exactement ce qui est bloqué. L'offre gratuite inclut 300 000 requêtes par mois.

La vitesse varie selon le lieu, ne choisissez donc pas à l'aveugle : lancez un test de vitesse DNS gratuit pour comparer Cloudflare, Google et Quad9 en DNS over HTTPS chiffré depuis votre propre réseau, puis activez le DNS privé avec le fournisseur qui gagne vraiment chez vous.

Toutes les adresses et étapes pour les deux plus grands : nos guides des serveurs DNS de Cloudflare et des serveurs DNS de Google.

Nom d'hôte du DNS privé (code) : quoi saisir dans le champ Android

Le nom d'hôte du DNS privé, parfois appelé code DNS privé, est l'adresse que vous saisissez dans Paramètres → Réseau et Internet → DNS privé → « Nom d'hôte du fournisseur DNS privé » sur Android.

Copiez l'un de ces noms dans le champ. Ce sont les noms d'hôte officiels des principaux fournisseurs :

Après l'enregistrement, vérifiez que ça marche : le test de fuite DNS de DNS Robot doit afficher les serveurs de votre fournisseur, pas ceux de votre FAI. Si le réglage échoue sur un réseau, la section sur le DNS chiffré bloqué plus bas explique pourquoi.

DNS public ou privé : le sens en entreprise

Pour compliquer les choses, « DNS privé » a un second sens dans les environnements d'entreprise et de cloud, et il n'a rien à voir avec le réglage de DNS chiffré de votre téléphone.

Dans ce monde, le DNS privé désigne des zones DNS privées : des enregistrements internes comme intranet.corp.local ou db1.internal, hébergés sur des serveurs accessibles uniquement dans un réseau d'entreprise ou un VPC cloud. AWS les appelle zones hébergées privées de Route 53, Azure propose Azure Private DNS, et Oracle et Google Cloud ont des équivalents. Ces enregistrements ne sont jamais publiés sur l'internet public : les résolveurs publics ne peuvent tout simplement pas les voir.

Le test rapide : si vous saisissez un nom d'hôte dans un réglage de téléphone ou d'ordinateur, il s'agit de DNS chiffré (cet article). Si votre équipe informatique ou une console cloud parle de DNS privé, elle veut dire zones internes. Vous pouvez vérifier ce que l'internet public voit pour un nom avec une recherche DNS : les enregistrements d'une zone privée n'y apparaissent pas du tout.

Avantages du DNS privé

Activer le DNS privé sur vos appareils améliore immédiatement la sécurité et la vie privée.

• Fin de l'espionnage par le FAI — Votre FAI ne voit plus les domaines que vous interrogez et ne peut plus établir de profil de navigation à partir de votre trafic DNS
• Empêche l'usurpation DNS en chemin — le certificat TLS prouve que vous parlez à votre vrai fournisseur DNS, personne entre vous et lui ne peut donc falsifier les réponses
• Protège sur les Wi-Fi publics — Les autres utilisateurs du même réseau ne peuvent pas intercepter vos requêtes DNS
• Bloque le détournement DNS — Vos requêtes ne peuvent pas être redirigées en silence par un routeur compromis ou un réseau malveillant
• Contourne les proxys DNS transparents — Certains FAI interceptent le DNS sur le port 53 même si vous utilisez des serveurs tiers. Le DNS chiffré utilise d'autres ports et contourne ces proxys
• Blocage facultatif des publicités et logiciels malveillants — Des fournisseurs comme AdGuard, NextDNS et Quad9 peuvent bloquer publicités, traqueurs et domaines malveillants au niveau du DNS
• Fonctionne sur tout le système — Une fois activé, le DNS privé protège toutes les applications de votre appareil, pas seulement le navigateur

Inconvénients potentiels du DNS privé

Le DNS privé n'est pas parfait. Voici les compromis à connaître.

• Une première résolution plus lente — établir la connexion chiffrée ajoute un ou deux allers-retours avant la première requête. Ensuite la connexion est réutilisée.
• Les portails captifs peuvent se bloquer — Les Wi-Fi d'hôtels, d'aéroports et de cafés qui exigent une page de connexion ont souvent besoin de DNS non chiffré pour vous rediriger. Le DNS privé peut empêcher ces portails de s'afficher.
• Les réseaux d'entreprise peuvent le bloquer — Les services informatiques ont besoin de visibilité sur le DNS pour la surveillance de sécurité. Beaucoup de réseaux d'entreprise bloquent volontairement le DNS chiffré vers des résolveurs externes.
• Centralisation — Le DNS chiffré encourage l'usage de quelques gros résolveurs (Cloudflare, Google), ce qui concentre le trafic DNS chez moins d'entreprises.
• Ne chiffre pas tout — Le DNS privé chiffre vos requêtes, mais votre FAI voit toujours les adresses IP auxquelles vous vous connectez, et en général le nom du site dans la négociation TLS (SNI), sauf si le site utilise Encrypted Client Hello.
• Problèmes de DNS à horizon partagé — Les organisations qui utilisent un DNS interne différent de l'externe peuvent avoir des problèmes quand des appareils contournent le résolveur interne.

« Ce réseau bloque le trafic DNS chiffré » : ce que cela signifie

Sur iPhone, iPad et Mac, les réglages Wi-Fi peuvent afficher « Ce réseau bloque le trafic DNS chiffré » sous le nom du réseau. Cela signifie que votre appareil a tenté d'utiliser le DNS chiffré et que le réseau l'a arrêté : les noms que vous interrogez là sont donc visibles pour le réseau.

C'est courant sur les Wi-Fi d'entreprise et d'école, les réseaux d'hôtels et d'aéroports avec page de connexion, et certains routeurs domestiques. Notre guide complet, Ce réseau bloque le trafic DNS chiffré, détaille chaque cause ; les solutions rapides :

• Désactivez ce qui active le DNS chiffré sur ce réseau — « Limiter le suivi de l'adresse IP » (relais privé iCloud) pour ce réseau Wi-Fi, une app ou un profil DNS, ou un serveur DNS manuel (remettez « Configurer le DNS » sur « Automatique »)
• Oubliez le réseau Wi-Fi et reconnectez-vous — Allez dans les réglages Wi-Fi, oubliez le réseau, puis rejoignez-le à nouveau
• Utilisez un VPN — Un VPN chiffre tout le trafic, DNS compris, et contourne tout blocage DNS du réseau
• Acceptez-le sur les réseaux gérés — Sur les réseaux d'entreprise ou d'école, le blocage du DNS chiffré est souvent voulu pour la surveillance de sécurité. Il se peut que vous ne puissiez pas le contourner

Comment vérifier que le DNS privé fonctionne

Après avoir activé le DNS privé, vérifiez que vos requêtes vont bien chez le fournisseur choisi. Testez l'appareil lui-même dans un navigateur ; les commandes de terminal ci-dessous testent le fournisseur.

• DNS Leak Test de DNS Robot — lancez le test de fuite DNS sur l'appareil : il montre quels résolveurs répondent vraiment à vos requêtes. Vous devez voir le fournisseur choisi, pas votre FAI
• Page de contrôle de Cloudflare — si vous utilisez Cloudflare, 1.1.1.1/help indique si vos requêtes passent par DoH, DoT ou le DNS classique
• Android — avec un nom d'hôte défini, Android avertit « Impossible d'accéder au serveur DNS privé » quand il ne peut pas se connecter ; pas d'avertissement, c'est que ça marche
• Windows 11 — les propriétés de votre connexion indiquent « (Encrypted) » à côté de chaque serveur DNS quand DoH est actif

# Test DNS over TLS with kdig
kdig -d @1.1.1.1 +tls-ca +tls-host=cloudflare-dns.com example.com

# Which resolver does dig use? (DNS Robot's test nameserver replies with its IP; a DoH profile may not apply to dig)
dig +short TXT whoami.leak.dnsrobot.net

# Test DNS over HTTPS with curl
curl -s -H 'accept: application/dns-json' \
  'https://cloudflare-dns.com/dns-query?name=example.com&type=A'