DNS 9.9.9.9 : Quad9, le résolveur DNS qui sécurise vraiment votre réseau

Le DNS 9.9.9.9, c’est Quad9. Un service public gratuit qui fait bien plus que simplement résoudre des noms en adresses IP. Il filtre activement les domaines malveillants avant qu’ils n’atteignent vos machines. Pour qui gère des réseaux, que ce soit une petite infra de PME, un labo ou même un réseau domestique un peu sérieux, c’est une couche de protection passive qui change pas mal de choses au quotidien.

En gros, à la place du DNS de votre FAI (souvent lent et pas très regardant) ou de Google qui adore collecter des données, vous passez par un résolveur qui regarde dans des listes de menaces mises à jour en continu. Si le domaine sent le malware, le phishing ou un botnet, la réponse est bloquée direct. Le reste passe normalement, avec en prime une validation DNSSEC pour éviter les empoisonnements de cache.

Comment ça marche concrètement

Une requête arrive sur Quad9. Le résolveur vérifie d’abord si le domaine figure dans ses feeds de menaces (ils en ont plus de 25 partenaires différents, dont pas mal de boîtes de cybersécurité sérieuses). Si oui, il renvoie une NXDOMAIN ou un SERVFAIL selon le cas. Sinon, il fait la résolution classique et signe la réponse avec DNSSEC quand c’est possible.

Le truc intéressant, c’est que ce filtrage se fait très en amont. Vos postes, vos serveurs, vos objets IoT… tout le monde en profite sans rien installer. Et honnêtement, sur pas mal de réseaux que j’ai vus, ça a déjà évité des infections « au clic » qui seraient passées autrement.

Quad9 tourne sur un réseau anycast avec plus de 230 clusters répartis dans une centaine de pays. Résultat : la latence reste correcte dans la plupart des régions, même si ce n’est pas toujours le plus rapide du marché.

Les adresses à utiliser (et celles à éviter)

Pour la version recommandée – blocage des menaces + validation DNSSEC – vous prenez :

• IPv4 : 9.9.9.9 en primaire et 149.112.112.112 en secondaire
• IPv6 : 2620:fe::fe et 2620:fe::9

C’est celle qu’il faut mettre partout par défaut. Elle protège sans prise de tête.

Il existe deux variantes principales. La 9.9.9.10 (et son backup) désactive complètement le filtrage : pratique pour du debug ou quand vous voulez comparer. La 9.9.9.11 ajoute l’ECS (EDNS Client Subnet). Ça peut aider pour les CDN qui se basent sur la localisation, mais ça réduit un peu la vie privée. La plupart du temps, on reste sur la 9.9.9.9 classique.

Côté chiffrement, Quad9 supporte DoT (tls://dns.quad9.net) et DoH (https://dns.quad9.net/dns-query). Depuis décembre 2025, le DoH impose HTTP/2, donc les vieux clients qui ne savent pas faire doivent basculer sur DoT ou rester en clair (pas idéal).

Vie privée : ce que Quad9 fait différemment

C’est probablement l’un des points les plus forts. Quad9 est géré par une fondation à but non lucratif basée en Suisse. Ils ne stockent pas les adresses IP des requêtes. Point. Les données qu’ils gardent sont agrégées, dépouillées de toute information personnelle, et servent surtout à améliorer les listes de menaces.

Pas de revente, pas de profilage publicitaire, pas d’obligation de conserver des logs pour des tiers. La juridiction suisse aide pas mal aussi. Comparé à Google (8.8.8.8) qui a clairement un intérêt commercial dans vos données, ou même à Cloudflare qui fait très bien les choses mais reste une entreprise américaine, Quad9 joue dans une catégorie à part sur le plan de la confidentialité.

Quad9 face à 1.1.1.1 et 8.8.8.8

Honnêtement, il n’y a pas de réponse unique. Cloudflare 1.1.1.1 est souvent un peu plus véloce en latence pure sur beaucoup de tests. Leur politique de privacy est solide (pas de logs conservés plus de 24h, pas de revente). Mais par défaut, il n’y a pas de blocage malware intégré. Ils proposent bien 1.1.1.2 pour ça, mais il faut le configurer exprès.

Google 8.8.8.8 est rapide et ultra-stable, mais c’est Google. Les logs existent, et l’usage publicitaire est connu. Pour un réseau d’entreprise ou même un usage personnel un peu soucieux de ses données, ce n’est plus le premier choix.

Quad9, lui, apporte le filtrage « out of the box ». Vous gagnez en sécurité sans avoir à gérer des listes supplémentaires ou des profils. La contrepartie, c’est parfois quelques millisecondes de plus sur certaines requêtes (le temps de vérifier la menace). Dans la vraie vie, sur la plupart des usages, ça passe inaperçu.

Le point c’est que si votre priorité numéro un est la protection contre les domaines malveillants sans complexité, dns 9.9.9.9 reste excellent. Si vous voulez la vitesse maximale et que vous gérez déjà la sécurité ailleurs (proxy, EDR, etc.), 1.1.1.1 peut suffire.

Comment déployer dns 9.9.9.9 sur un vrai réseau

Le plus efficace reste de le pousser au niveau du routeur ou du serveur DHCP. Comme ça, tout le réseau en profite, y compris les imprimantes, les caméras IP et les appareils IoT qui ne savent pas configurer leur DNS eux-mêmes.

Sur un routeur grand public ou professionnel, c’est souvent deux champs à remplir : DNS primaire et secondaire. Vous mettez les deux adresses Quad9 et vous êtes bon. N’oubliez pas l’IPv6 si votre réseau le supporte.

Pour les postes Windows, vous pouvez le pousser via GPO ou simplement dans les paramètres réseau. Sur macOS et Linux, c’est pareil via les réglages ou systemd-resolved.

Si vous voulez aller plus loin (et c’est souvent une bonne idée en environnement pro), déployez un forwarder local avec Unbound ou un résolveur similaire. Vous forcez le chiffrement DoT/DoH vers Quad9, vous gardez un cache local qui accélère les requêtes répétées, et vous gardez la main sur les logs si besoin. Un exemple minimal pour Unbound :

forward-zone:
    name: "."
    forward-tls-upstream: yes
    forward-addr: 9.9.9.9@853#dns.quad9.net
    forward-addr: 149.112.112.112@853#dns.quad9.net

Ça prend cinq minutes à mettre en place et ça change vraiment la robustesse du setup.

Sur Android, l’application Quad9 Connect (disponible sur F-Droid) permet d’activer DoT facilement avec un journal des blocages en prime. Pratique pour les nomades.

Comment vérifier que ça marche

Le plus simple : allez sur on.quad9.net. Si vous êtes bien chez eux, vous verrez un message de confirmation.

En ligne de commande, un dig @9.9.9.9 example.com ou nslookup classique suffit déjà à tester. Pour voir le protocole utilisé : dig +short txt proto.on.quad9.net. (ou l’équivalent PowerShell sous Windows). Vous devriez voir « dot » ou « doh » si le chiffrement est actif.

Pour tester le blocage, il existe des domaines de test publics. Si vous tombez sur une NXDOMAIN alors que le domaine existe vraiment ailleurs, c’est que Quad9 a fait son travail.

Ce qu’il faut garder en tête en 2026

Le service est stable, mais comme tout résolveur public, il peut y avoir des incidents ponctuels (il y en a eu un mineur en mai 2026 sur la zone quad9.net elle-même, sans impact majeur sur les résolutions classiques). Avoir les deux adresses configurées limite les risques.

Autre point récent : le DoH exige maintenant HTTP/2. Si vous avez des équipements anciens qui parlent encore HTTP/1.1, ils peuvent avoir des soucis. Dans ce cas, basculez sur DoT ou restez en DNS classique (mais perdez le chiffrement).

Enfin, Quad9 ne fait pas de miracles. C’est une excellente première ligne de défense, mais ça ne remplace ni un bon filtrage web, ni des mises à jour régulières, ni de la sensibilisation des utilisateurs. C’est une couche parmi d’autres.

Au bout du compte, pour la plupart des réseaux informatiques qui veulent un bon compromis entre simplicité, sécurité et respect de la vie privée, dns 9.9.9.9 reste un choix très pertinent. Facile à déployer, gratuit, et il fait le job sans vous compliquer la vie. Si vous gérez des infrastructures où la protection « par défaut » compte, ça vaut vraiment le coup d’essayer.