Configurer un serveur DNS alternatif sur un seul appareil ne garantit pas que tous les flux de votre foyer passent par ce résolveur. Entre le DNS classique de la box, le profil « Private DNS » d’Android, le DNS chiffré activé par défaut sur certains réseaux invités et les réglages enfouis dans iOS, plusieurs résolveurs coexistent souvent sans que personne ne s’en aperçoive. Obtenir un statut DNS ok partout suppose de comprendre ces couches, puis de les unifier.
Pourquoi votre DNS n’est pas le même sur tous vos appareils
Le problème ne vient pas d’un mauvais réglage isolé. Il vient de la superposition de plusieurs mécanismes qui choisissent chacun leur propre résolveur DNS.
Votre box distribue par défaut le serveur DNS de votre FAI via le protocole DHCP. Chaque appareil connecté en Wi-Fi ou en Ethernet reçoit cette adresse au moment de la connexion. En théorie, tout le réseau partage le même résolveur.
En pratique, plusieurs éléments court-circuitent ce fonctionnement :
- Android (à partir des versions récentes) propose un champ « DNS privé » dans les paramètres réseau, qui force un résolveur DNS-over-TLS (DoT) indépendamment de ce que distribue la box.
- iOS permet l’installation de profils de configuration qui redirigent le DNS vers un résolveur chiffré (DNS-over-HTTPS ou DoT), sans modifier les réglages Wi-Fi visibles.
- Certains firmwares de box ou de routeurs récents activent du DNS chiffré (DoH ou DoT) sur le réseau invité par défaut, même si le réseau principal reste en DNS classique.
- Des applications comme 1.1.1.1 de Cloudflare ou des clients VPN encapsulent les requêtes DNS dans leur propre tunnel, rendant le DNS configuré sur la box totalement inopérant pour ces flux.
Résultat : un même foyer peut faire transiter ses requêtes par trois ou quatre résolveurs différents sans que ses occupants le sachent. Tester « DNS ok » sur un seul appareil ne dit rien de ce qui se passe sur les autres.
Configurer le DNS au niveau du routeur ou de la box
Le point de contrôle le plus efficace reste le routeur (ou la box, si elle le permet). Quand le DNS est défini à cet endroit, chaque appareil connecté en DHCP hérite du même résolveur sans manipulation individuelle.
Accéder à l’interface d’administration
Ouvrez un navigateur et saisissez l’adresse de votre routeur (souvent 192.168.1.1 ou 192.168.0.1). Identifiez-vous avec les identifiants administrateur. Sur les box des FAI français, l’interface web propose une section « Réseau » ou « Internet » qui contient les champs DNS primaire et DNS secondaire.
Renseigner un serveur DNS alternatif
Remplacez les adresses DNS par celles du résolveur de votre choix. Google Public DNS utilise les adresses 8.8.8.8 et 8.8.4.4. Cloudflare propose 1.1.1.1 et 1.0.0.1. Quad9 fonctionne avec 9.9.9.9 et 149.112.112.112. Validez, puis redémarrez le routeur.
Après redémarrage, chaque appareil qui se reconnecte au réseau recevra les nouvelles adresses DNS via DHCP. Les appareils doivent renouveler leur bail DHCP pour prendre en compte la modification (un simple redémarrage du Wi-Fi suffit sur la plupart des terminaux).
Cette méthode couvre les PC, les tablettes, les objets connectés et les consoles de jeux. En revanche, elle ne couvre pas les appareils qui ont un DNS privé ou une application VPN configurés localement, ce qui est justement le noeud du problème.
DNS privé sur Android et profils chiffrés sur iOS
Configurer le routeur ne suffit pas si certains appareils mobiles forcent leur propre résolveur.
Le cas Android
Dans Paramètres, puis Réseau et Internet, le champ « DNS privé » accepte un nom d’hôte DoT (par exemple dns.google pour Google Public DNS, ou 1dot1dot1dot1.cloudflare-dns.com pour Cloudflare). Si ce champ est renseigné, Android ignore le DNS distribué par la box.
Pour unifier le réseau, deux options : soit désactiver le DNS privé sur le téléphone (position « Automatique » ou « Désactivé ») pour revenir au DNS du routeur, soit configurer le même résolveur sur le routeur et dans le champ DNS privé Android. La seconde approche est plus cohérente si vous tenez au chiffrement de bout en bout.
Le cas iOS
Apple ne propose pas de champ DNS-over-TLS natif dans les réglages Wi-Fi classiques. Le mécanisme passe par des profils de configuration (.mobileconfig), installables manuellement ou via des applications comme 1.1.1.1. Ces profils redirigent toutes les requêtes DNS vers un résolveur chiffré, y compris sur les données cellulaires.
Vérifiez dans Réglages, puis Général, puis VPN et gestion de l’appareil, si un profil DNS est actif. Si oui, assurez-vous qu’il pointe vers le même résolveur que votre routeur, ou supprimez-le pour revenir au DNS du réseau local.
Vérifier le statut DNS ok avec un test de fuite
Un test de résolution seul (vérifier qu’un site charge) ne garantit pas que vos requêtes passent par le bon résolveur. Un test de fuite DNS (DNS leak test) est le seul moyen fiable de confirmer quel serveur traite réellement vos requêtes.
Cloudflare fournit une page de diagnostic accessible à l’adresse 1.1.1.1/help. Elle indique si la connexion utilise DNS-over-HTTPS, DNS-over-TLS, ou un DNS classique non chiffré. Elle affiche aussi le résolveur effectivement utilisé.
D’autres outils en ligne permettent de lancer un test de fuite DNS depuis n’importe quel navigateur. Le principe : le site génère des sous-domaines uniques, puis vérifie quel serveur DNS a résolu ces noms. Si le résultat affiche le DNS de votre FAI alors que vous avez configuré Cloudflare ou Google, il y a une fuite.
Répétez ce test sur chaque appareil du foyer : PC connecté en Ethernet, PC en Wi-Fi, smartphone Android, iPhone, tablette. Le statut DNS ok n’est confirmé que si tous les appareils pointent vers le même résolveur et qu’aucune fuite vers le DNS du FAI n’apparaît.
Les limites d’une unification complète du DNS
Certains scénarios résistent à la centralisation. Les applications qui embarquent leur propre client DNS chiffré (navigateurs avec DoH activé par défaut, clients VPN commerciaux) contournent à la fois le DNS du routeur et le DNS privé du système. Firefox, par exemple, peut utiliser son propre résolveur DoH indépendamment des réglages du système d’exploitation.
Les réseaux invités gérés par des firmwares récents peuvent aussi injecter un DNS chiffré différent de celui du réseau principal, sans option de désactivation accessible dans l’interface grand public.
Un réseau domestique où chaque terminal affiche le même résolveur DNS reste un objectif atteignable, à condition de traiter chaque couche : routeur, système d’exploitation, profils mobiles et applications. Ignorer l’une d’elles, c’est laisser une porte ouverte à des requêtes non maîtrisées.
