Quad9 quitte la France : quel DNS choisir avant novembre ?

Quad9 quitte la France le 24 novembre 2026 et les utilisateurs français doivent choisir un autre résolveur DNS avant cette date. Pour une PME, Cloudflare 1.1.1.2 constitue un choix simple avec filtrage antimalware. DNS4EU Protective convient plutôt aux particuliers recherchant une infrastructure européenne. Google Public DNS et Cloudflare 1.1.1.1 assurent une résolution généraliste, sans filtre antimalware généralisé.

Pourquoi Quad9 quitte-t-il la France le 24 novembre 2026 ?

Quad9 quitte la France après une décision du tribunal judiciaire de Paris imposant le blocage de services diffusant illégalement des compétitions sportives. Le 21 octobre 2026, le tribunal a assorti l’obligation d’une pénalité de 1 000 € par jour. Quad9 préfère cesser de servir les utilisateurs français plutôt qu’appliquer ces blocages.

L’affaire trouve son origine dans une ordonnance du 13 mai 2026. Google et Quad9 devaient bloquer, depuis la France, des domaines et services IPTV diffusant sans autorisation des matchs de tennis de la WTA. L’ordonnance était exécutoire malgré l’appel de Quad9 et devait produire ses effets jusqu’au 14 novembre 2026.

Le fondement juridique dépasse ce seul litige. En 2026, l’article L333-10 du Code du sport permet aux détenteurs de droits de demander des mesures proportionnées à tout intermédiaire capable de faire cesser la diffusion répétée et grave d’événements sportifs. Les listes de domaines peuvent être actualisées rapidement pendant une retransmission en direct.

Quad9 affirme également faire face à environ 20 procédures françaises portant sur des centaines de noms de domaine. Ce chiffre publié par Quad9 le 22 octobre 2026 n’est toutefois pas étayé par un décompte indépendant. L’appel demeure en cours, mais il ne suspend pas automatiquement l’exécution de la décision.

Que signifie le départ de Quad9 pour une PME ?

Le départ de Quad9 peut empêcher les postes, serveurs ou équipements réseau configurés avec ce résolveur d’accéder normalement aux sites et services en ligne. Quad9 n’a pas précisé si les requêtes françaises subiront un refus explicite, une absence de réponse ou une autre erreur après le 24 novembre 2026. Attendre la coupure crée donc un risque évitable.

Un DNS récursif est un service qui traduit un nom lisible, tel qu’un domaine web, en adresse réseau utilisable par les machines. Si ce service ne répond plus, la connexion internet peut sembler active alors que les sites, outils SaaS, API et services de messagerie deviennent inaccessibles.

Le risque ne concerne pas seulement le routeur du bureau. Une adresse Quad9 peut être inscrite dans un serveur, un pare-feu, un VPN, un navigateur utilisant le DNS chiffré, un profil mobile ou un conteneur Docker. Les environnements conteneurisés méritent une vérification spécifique, au même titre que les mesures présentées pour sécuriser un NAS et ses conteneurs Docker.

Sur les projets que nous menons, nous voyons souvent des DNS définis à plusieurs niveaux avec des règles contradictoires. Le routeur utilise un fournisseur, le VPN en impose un deuxième et le navigateur contourne les deux avec DNS over HTTPS, c’est-à-dire des requêtes DNS chiffrées dans une connexion web.

Quel DNS choisir pour remplacer Quad9 en France ?

Le meilleur remplacement de Quad9 dépend du besoin prioritaire. Cloudflare 1.1.1.2 propose un filtrage antimalware simple. DNS4EU Protective combine filtrage des menaces et résolution sur une infrastructure européenne pour les particuliers. Cloudflare 1.1.1.1 et Google Public DNS conviennent à la résolution généraliste, mais ne remplacent pas la politique de sécurité de Quad9 à l’identique.

DNS over HTTPS (DoH) et DNS over TLS (DoT) chiffrent le transport des requêtes DNS. DNSSEC, pris en charge notamment par Google Public DNS, vérifie pour sa part l’authenticité des réponses signées. Ces mécanismes répondent à des risques différents et ne bloquent pas automatiquement un domaine malveillant.

Côté confidentialité, Cloudflare déclare en 2026 ne pas vendre les données personnelles de son résolveur public à des fins publicitaires. L’entreprise indique ne pas conserver normalement les adresses IP sources de manière persistante, sauf dans des échantillons représentant au maximum 0,05 % du trafic pour le diagnostic et la lutte contre les attaques.

Google indique en 2026 supprimer normalement sous 24 à 48 heures les journaux associant l’adresse IP d’un client à ses requêtes, avec une conservation potentiellement plus longue pour certains événements de sécurité. Google précise que les données de Google Public DNS ne servent pas au ciblage publicitaire. Pour approfondir la différence entre transport chiffré et confidentialité globale, l’analyse sur les limites d’un VPN face aux données applicatives apporte un parallèle utile.

Honnêtement, le DNS4EU public n’est pas le bon choix pour le réseau complet d’une entreprise. Son opérateur le destine aux utilisateurs individuels, applique une limitation de débit et recommande aux organisations d’évaluer une offre professionnelle ou un résolveur administré en interne.

Filtrage antimalware et blocage judiciaire : quelle différence ?

Le filtrage antimalware bloque des domaines associés aux logiciels malveillants, à l’hameçonnage ou aux infrastructures de commande criminelles. Le blocage judiciaire interdit l’accès à des domaines désignés par une décision de justice. Un DNS présenté comme « non filtré » peut donc rester soumis aux obligations légales du pays où le service opère.

Cette distinction change l’arbitrage. Choisir Cloudflare 1.1.1.1 ou Google Public DNS pour éviter un filtre de sécurité ne garantit pas l’absence de blocages légaux. Google indique d’ailleurs pouvoir bloquer des domaines pour des motifs de sécurité ou en application d’obligations juridiques.

À l’inverse, Cloudflare 1.1.1.2 ajoute une couche de protection contre les domaines malveillants, tandis que 1.1.1.3 filtre aussi les contenus pour adultes. Le filtre DNS reste une première barrière. Il ne remplace ni les mises à jour, ni la protection des terminaux, ni la correction de vulnérabilités comme celles détaillées dans notre point sur les risques liés aux failles PHP et aux équipements réseau.

Un piège courant consiste à définir un DNS filtrant comme serveur principal et un DNS non filtrant comme serveur secondaire. Un appareil peut interroger indifféremment l’un ou l’autre : le second serveur n’attend pas passivement une panne. Selon la documentation de Google Public DNS en 2026, les résolveurs déclarés ensemble doivent appliquer des politiques équivalentes de filtrage et de validation DNSSEC.

Comment migrer avant que Quad9 quitte la France ?

La migration hors de Quad9 doit commencer par un inventaire, puis se poursuivre par un test contrôlé sur quelques appareils avant le déploiement général. Pour une petite structure bien documentée, l’opération peut tenir dans une intervention planifiée. Un réseau avec VPN, serveurs internes et DNS chiffré exige une recette plus complète et un retour arrière préparé.

La checklist suivante couvre les points qui provoquent le plus souvent une panne ou un contournement involontaire du filtrage :

1. Relevez les adresses et noms d’hôtes Quad9 présents dans les routeurs, serveurs DHCP, pare-feu, VPN, serveurs, navigateurs, profils mobiles, conteneurs et outils de supervision.
2. Enregistrez la configuration existante avec des captures, des exports et la liste des appareils concernés avant toute modification.
3. Choisissez séparément vos critères : juridiction, confidentialité, DNSSEC, DNS over HTTPS ou DNS over TLS, filtrage antimalware, administration centralisée et acceptation des blocages judiciaires français.
4. Configurez deux adresses du même fournisseur ou deux résolveurs appliquant des politiques réellement équivalentes.
5. Testez les sites ordinaires, les erreurs DNSSEC, le transport chiffré, les noms internes en split DNS, c’est-à-dire différents selon qu’on se trouve dans ou hors de l’entreprise, ainsi que le VPN.
6. Vérifiez le filtrage avec une page de test officielle du fournisseur, sans télécharger de fichier dangereux.
7. Conservez les anciens paramètres et une configuration de repli déjà testée afin de revenir rapidement à l’état précédent.

Le point délicat est souvent le split DNS. Un serveur public ne connaît pas les noms internes de l’entreprise ; le remplacer directement peut donc casser l’accès à un intranet, à une imprimante ou à une application métier. Dans ce cas, les postes doivent continuer à interroger le résolveur interne, lequel transmet seulement les demandes publiques au nouveau fournisseur.

Côté agence, le réflexe est de modifier d’abord un groupe pilote représentatif : un poste fixe, un ordinateur distant sous VPN, un mobile et un serveur non critique. Une validation pendant une journée ouvrée révèle les erreurs que le simple test d’ouverture d’un site ne montre pas.

Faut-il attendre l’issue de l’appel de Quad9 ?

Attendre l’issue de l’appel de Quad9 expose inutilement les utilisateurs français à une interruption le 24 novembre 2026. L’appel reste pendant, mais la décision est exécutoire et Quad9 maintient publiquement son calendrier de retrait. La préparation et les tests doivent donc être terminés avant l’échéance, même si un changement juridique reste possible.

Quad9 n’a pas rendu public le comportement technique exact prévu pour les connexions provenant de France. Une panne sèche n’est donc pas le seul scénario : refus explicite ou absence de réponse restent possibles. Dans tous les cas, un basculement non testé peut perturber la navigation, les API, les mises à jour logicielles et certains contrôles de sécurité.

Préparer la migration ne signifie pas forcément basculer tous les équipements le même jour. Vous pouvez valider le nouveau résolveur dès maintenant, documenter les réglages et programmer le changement définitif dans une fenêtre de maintenance. À ce stade, mieux vaut quelques heures de préparation qu’un diagnostic improvisé après la coupure.

Cadrer ce changement en amont évite la plupart des interruptions et des politiques de sécurité incohérentes. Un regard extérieur peut être utile lorsque le DNS se mêle au VPN, aux serveurs internes, aux navigateurs administrés et aux contraintes de conformité.

FAQ sur le remplacement de Quad9

Quad9 fonctionnera-t-il encore en France après le 24 novembre 2026 ?

Quad9 annonce l’arrêt de ses services pour les utilisateurs situés en France à compter du 24 novembre 2026. Le service n’a pas précisé si les requêtes recevront un refus, expireront ou produiront une autre erreur.

Changer de DNS modifie-t-il l’adresse IP publique de l’entreprise ?

Changer de résolveur DNS ne modifie pas l’adresse IP publique fournie par l’opérateur internet. Le changement concerne la traduction des noms de domaine en adresses réseau, pas l’identité de la connexion.

Cloudflare 1.1.1.1 bloque-t-il les sites malveillants ?

Cloudflare 1.1.1.1 n’est pas la variante générale de filtrage antimalware. Cloudflare réserve ce filtrage aux adresses 1.1.1.2 et 1.0.0.2 en 2026.

DNS4EU convient-il à un réseau d’entreprise ?

Le service public gratuit DNS4EU est destiné aux particuliers et limité en débit en 2026. DNS4EU recommande aux organisations d’étudier une offre d’entreprise ou un résolveur administré en interne.

Le DNS chiffré empêche-t-il un blocage judiciaire ?

Le DNS over HTTPS et le DNS over TLS chiffrent la requête entre l’appareil et le résolveur. Le DNS chiffré n’empêche pas le fournisseur choisi d’appliquer un blocage ordonné par la justice.