Mullvad arrêtera ses serveurs publics DoH (DNS-over-HTTPS) le 2 novembre 2026 et soutiendra Quad9 à la place. Voici qui est concerné et comment migrer.
Le post Vous utilisez les serveurs DNS de Mullvad ? Ils s’arrêteront le 2 novembre 2026 a été publié sur IT-Connect.
Je ne sais pas si vous en avez déjà entendu parler, mais DNSforge est un résolveur DNS allemand qui a une particularité plutôt cool : il refuse de résoudre les noms de domaine qui sont liés à la publicité, au pistage et au malware. Cela veut dire que la pub n'est pas bloquée dans votre navigateur, elle n'arrive tout simplement jamais à lui.
En arrivant sur la home de DNSforge, vous pouvez voir quatre portes d'entrée, selon ce que vous voulez laisser passer. En mode normal, c'est le DNS par défaut, avec blocage des pubs, blocage des trackers et blocage des malwares. Cela représente environ 1,4 million de noms de domaine.
De son côté, le mode Hard vise les mêmes catégories, mais avec des listes de blocage bien plus agressives, ce qui couvre environ 2,8 millions de noms de domaine et surtout, aucune exception n'est tolérée. Et cela même si cela nécessite de péter des bouts de Facebook.
Clean, quant à lui, c'est une version identique au mode normal qui bloque en plus le contenu adulte et les jeux d'argent, ainsi que le mode SafeSearch forcé sur les moteurs de recherche et sur YouTube. C'est pour ça qu'il couvre 8 millions de noms de domaine. Mais ça ne veut pas forcément dire que ça protège mieux que le mode Hard.
Quant au mode Blank, c'est un DNS qui n'est pas filtrant, il laisse tout passer.
Pour ces listes de blocage, DNS Forge se repose sur des listes tierces rafraîchies chaque nuit, notamment celles de hagezi ou d'oisd. Mais en cas de faux positif, rassurez-vous, vous pouvez toujours signaler ça sur le forum.
Après, comme tout ce qui est gratuit, il y a un petit plafond : DNSForge accepte 100 requêtes par tranche de 10 secondes. Et si vous dépassez ce chiffre, c'est que vous bombardez trop le résolveur, et votre adresse IP sera bannie durant 900 secondes. Voilà, ça représente un quart d'heure durant lequel vous n'avez plus accès à aucun site web. Mais bon, si ça vous arrive, il suffit de rebasculer sur un autre DNS et vous êtes tranquille.
Après 100 requêtes par tranche de 10 secondes, moi je trouve ça plutôt large pour un utilisateur seul, mais c'est vrai que si vous avez toute votre maison qui sort derrière une seule IP, que ce soit vos ordinateurs, vos téléviseurs, vos applications, vos robots, etc., on peut y être très, très vite...
Reste la question qui compte quand on confie son DNS à un inconnu : peut-on faire confiance à DNSForge ? Est-ce qu'ils conservent nos requêtes ? Eh bien, leur site dit que non : "keine Aufzeichnung von Zugriffen". À voir maintenant si c'est vrai et pour cela, il n'y a qu'une réquisition judiciaire qui saura nous le dire un jour.
Je note quand même qu'en mai 2026, un utilisateur a réclamé un rapport de transparence sur le forum et la réponse qu'il a obtenue, raconte que la police et le BKA (Office fédéral de la police criminelle) ont envoyé quelques demandes, et que DNSforge n'a rien pu leur remettre, faute d'adresses IP et de logs.
Et surtout, DNSForge indique qu'aucune requête n'est censurée... Je pense par exemple à quand les ayants droit commencent à s'exciter un petit peu trop. Maintenant, si la zone grise vous gêne, allez voir DNS4EU , le résolveur public européen. Là, c'est clean, garanti sans logs et respectueux du droit européen.
Pour tester ce DNS allemand sponsorisé par les dons, vous collez dnsforge.de dans le DNS privé d'Android, ou son adresse DoH dans Firefox, Chrome ou Edge . Sur iOS par contre, il faudra installer un profil de configuration, ce qui est un peu plus contraignant. Sinon, vous pouvez opter pour les bonnes vieilles adresses IPv6 ou IPv4 mais là, tout passera en clair.
Et si ça coince, vous remettez vos anciens DNS et on n'en parle plus.
Source : dnsforge.de
Si vous avez un serveur Pi-hole à la maison, il a dû vous arriver qu'un site déconne, qu'une image ne charge pas, ou qu'un simple bouton ne réponde plus. Alors pour remédier à ça, vous ouvrez un onglet vers l'admin Pi-hole, vous fouillez dans les requêtes bloquées, vous whitelistez au jugé, puis vous rechargez pour voir si ça marche. Ça prend 30 secondes à chaque fois, ça casse les couilles et ça arrive plus souvent que ce qu'on aimerait...
Mais heureusement, Holeberry met tout ça dans la barre de menus de macOS pour vous faire gagner grave de temps
L'app détecte l'onglet actif de Safari, Chrome ou Firefox et débloque le domaine correspondant en un clic. Comme ça, plus besoin de deviner lequel des quarante domaines bloqués casse la page. Elle affiche aussi les derniers blocages en direct, et permet de couper le filtrage pour une durée choisie, le temps de finir un achat en ligne qui n'aime pas les bloqueurs.
Elle peut aussi gérer deux instances Pi-hole en parallèle avec synchronisation, pratique quand on a un Pi principal et un secondaire qui prend le relais. Les identifiants partent dans la Keychain macOS et pas dans un fichier de conf qui traîne comme ça c'est sécurisé. Et surtout, ça supporte Pi-hole v5 et v6 aussi bien en local qu'à distance.
Si ça vous branche, notez que l'app n'est pas notarisée, donc Gatekeeper va faire la gueule. La commande pour passer outre est indiquée dans le README :
Connexion
xattr -cr /Applications/Holeberry.app
Mais vous pouvez aussi utiliser Sentinel pour faire ça.
À récupérer sur GitHub pour ceux qui veulent !
Pi-hole sur un Raspberry Pi, c'est cool, mais ça vous coûte quand même quelques dizaines d'euros (lien affilié) et ça squatte une prise en permanence. C'est pourquoi M-Abozaid a fait tenir la même chose dans une clé ESP32-C3 à pas cher (lien affilié). Son firmware bloque ainsi 537 000 domaines de pub en utilisant à peine 50 Ko de RAM, et est capable de répondre à une requête bloquée en 10 millisecondes.
Maintenant que j'ai toute votre attention, je vais vous expliquer comment ça marche. En fait, un Pi-hole classique charge toute sa liste de blocage en RAM, sauf que l'ESP32 lui, comme il n'a que quelques centaines de Ko de mémoire vive et pas de PSRAM, il est donc techniquement impossible d'y caser un demi-million de domaines comme ça simplement. Du coup notre cher développeur a dû ruser en hashant chacun des domaines bloqués à max 5 octets chacun (40 bits max).
Tous ces hashes sont ensuite triés une fois pour toutes, puis gravés directement dans la flash de la puce (4 Mo suffisent). Puis quand une requête DNS arrive, le firmware hashe le domaine demandé et fait une recherche par dichotomie dans la flash. Environ 18 lectures suffisent pour trancher parmi les 537 000 entrées, d'où les fameux 10 ms. Et la RAM ne sert jamais à stocker la liste, mais juste à faire tourner le bazar réseau.
Et là où c'est vraiment malin, c'est que 40 bits de hash restent quasi sans collision. Il n'en a eu aucune jusqu'à 141 000 domaines, et une seule à 537 000 donc autant dire rien du tout !
Après il y a peu de chances que ça remplace Pihole, en tout cas pour le moment, parce qu'il n'y a pas de serveur DHCP. Et activer les mises à jour OTA du firmware demande d'avoir deux partitions, du coup la capacité de l'ESP 32 tombe à 250 000 domaines.
Après le dashboard est plutôt sympa, ça tourne en mDNS sur l'adresse c3adblock.local, avec des compteurs de blocage par client, le bannissement d'un appareil et la possibilité d'ajouter vos propres noms de domaines à bloquer.
Voilà moi je vois vraiment ça comme un espèce de résolveur de secours plutôt qu'un vrai remplaçant pour Pi-hole. Vous le placez derrière votre serveur DNS principal et le jour où celui-ci est en panne, la petite clé prendra le relais pour pas cher. En plus comme on le voit dans la vidéo, ça peut s'alimenter sur le port USB de n'importe quel routeur, donc c'est pratique.
C'est totalement open source sous licence MIT et c'est livré avec un script python qui permet de construire la table des hashes à partir des listes StevenBlack et Hagezi. Pour plus tard, le développeur prévoit un Bloomfilter en mémoire RAM pour zapper la lecture flash sur les 99 % des requêtes qui ne matchent aucun domaine et puis le serveur DHCP dont je vous parlais.
Si les DNS auto-hébergés vous parlent, je vous ai déjà présenté Technitium qui remplace carrément Pi-hole, Unbound et BIND . Et pour les bidouilles ESP32 à quelques euros, y'en a plein, genre celle qui remplace le Touch ID d'Apple .
Bref, un demi-million de domaines de pub bloqués par une puce plus petite qu'une clé USB c'est bien joué !! Le repo est sur GitHub si ça vous tente.
La Belgique vient de bloquer wawacity.pizza. Et wawacity.rodeo. Ah et aussi wawacity.taxi, wawacity.futbol, wawacity.motorcycles, wawacity.irish, sans oublier zone-telechargement.meme et zone-telechargement.monster ( la liste est ici ).
113 domaines au total, classés le 3 juillet dernier comme contrefaisants par le président du tribunal de l'entreprise francophone de Bruxelles dont 37 pour Wawacity et 36 pour Zone-Téléchargement . Y'a même un zone-telechargement.gratis, qui est au moins honnête sur le prix de la marchandise ^^ !
Sauf que depuis le 9 juillet, les deux sites tournent à nouveau sur un TLD en .poker. Soit la veille du jour où la BAPO, le service belge de lutte contre la contrefaçon en ligne, a publié sa décision d'exécution. Autrement dit, la liste était déjà obsolète avant que Telenet, Proximus, Orange Belgium, Mobile Vikings et DIGI aient eu le temps d'y toucher ! Et les anciennes adresses en .codes et .expert, ne sont pas dans la liste belge non plus.
Du coup, vous vous demandez peut-être pourquoi ces deux sites collectionnent les TLD les plus improbables du registre. Hé bien c'est pas du folklore, c'est une réponse directe à l'ARCOM. À chaque fois que les FAI français appliquent une salve de blocages DNS , les opérateurs enregistrent un nouveau domaine et redirigent leur public via des pages d'atterrissage et des canaux Telegram. La Belgique hérite donc d'un stock de domaines cramés par la France, et les bloque consciencieusement, un par un, avec plusieurs coups de retard.
Après, les ayants droit ne sont pas con non plus puisqu'ils ont explicitement demandé au tribunal de bloquer les pages "panneau indicateur", c'est à dire celles qui vous disent où le site a déménagé cette semaine.
Résultat, wawacity-info.com et zone-telechargement-info.com sont aussi dans la liste. Ces deux pages n'hébergent aucun contenu protégé et ne pointent vers aucun fichier illégal, elles se contentent de vous annoncer quelle est l'adresse active du moment. Le tribunal a validé quand même, au motif qu'elles "facilitent l'accès".
Et là, si vous mettez ces deux pages indicatrices côte à côte, vous voyez tout de suite qu'elles sont quasiment identiques. Même mise en page, même messages sur Telegram, où les deux comptes arrosent des dizaines de milliers d'abonnés avec un texte identique au mot près. Wawacity et Zone-Téléchargement, c'est donc très probablement la même équipe, ce qui explique pourquoi les deux changent de domaine en même temps, comme un couple qui déménage.
Movix, visé par la même décision, a lui aussi déjà migré vers un nouveau TLD et reste accessible. Le reste de la fournée complète les 113 comme Lookmovie et ses treize variantes, KissKH, animepahe, anime-sama, WatchSeries, voir-anime, Streamex. La liste noire belge dépasse maintenant les 1000 domaines depuis le lancement du dispositif en 2025, et elle peut être mise à jour chaque semaine avec 50 nouveaux noms.
50 par semaine, c'est impressionnant ! Face à des gars qui basculent leur trafic sur un nouveau TLD en quelques minutes, montre en main, la justice est dépassée ! Et pas parce qu'elle est nulle hein, mais parce que le blocage DNS n'a jamais empêché personne de taper une autre adresse qui renvoie vers le même service... On avait déjà vu le même théâtre quand la Belgique a censuré Internet Archive , et quand le Conseil d'État a éteint la riposte graduée d'Hadopi après 17 ans .
Prochaine étape probable, les ayants droit s'attaqueront surement aux canaux Telegram. En attendant, quelqu'un devrait leur dire que cette .pizza était déjà bien froide ^^.
Source : TorrentFreak
