DNS Quad9 : coupé en France le 24 novembre, les entreprises doivent migrer

Le résolveur public Quad9 ne répondra plus aux requêtes venues de France à partir du 24 novembre 2026. Condamnée à la demande de beIN Sports, la fondation suisse choisit de partir plutôt que de filtrer. Les entreprises et les collectivités qui ont paramétré le DNS Quad9 sur leurs pare-feu, box ou serveurs ont moins d’un mois pour changer de configuration.

L’annonce est tombée le 22 octobre sur le blog de Quad9. La veille, le tribunal judiciaire de Paris avait assorti d’une astreinte une ordonnance de blocage obtenue par beIN Sports France, détenteur des droits du tennis féminin WTA, contre des sites de streaming illégal. Quad9 exploite l’un des résolveurs publics les plus répandus, joignable à l’adresse 9.9.9.9. Un résolveur est l’annuaire d’internet : il traduit un nom de domaine en adresse IP, préalable à presque toute connexion.

Une astreinte de 1 000 euros par jour à l’origine du départ

Le 13 mai 2026, le même tribunal ordonne à Quad9, à Google et à Whalebone, opérateur du résolveur européen DNS4EU, de bloquer six domaines pirates pour les internautes français. Avec les ajouts signalés par l’Arcom, la liste atteint 58 domaines. Selon Clubic, Google et DNS4EU se sont exécutés. Quad9 n’a rien bloqué et a fait appel.

Devant le juge, beIN Sports réclamait 10 000 euros par jour et par domaine, soit 580 000 euros quotidiens. Le 21 octobre, le tribunal a retenu une astreinte globale de 1 000 euros par jour jusqu’au 14 novembre, dernier match WTA de la saison, soit environ 24 000 euros hors frais d’avocats. D’après IT-Connect, le jugement note que la fondation, tenue à une obligation de moyens, n’en a mis aucun en œuvre, alors qu’elle filtre déjà les domaines malveillants à l’échelle mondiale.

L’affaire n’a rien d’isolé : la fondation recense une vingtaine d’autres procédures en France, pouvant viser des centaines de domaines.

Pourquoi le DNS Quad9 refuse de filtrer pour la France

Un service sans compte, impossible à géolocaliser proprement

Quad9 est une fondation suisse à but non lucratif. Son service, gratuit, ne demande aucune inscription : elle dit ne pas pouvoir identifier qui se connecte depuis la France. Un filtrage par géolocalisation des adresses IP se contourne avec un VPN, comme l’a montré son contentieux avec Sony Music en Allemagne (2021-2023), gagné au prix de centaines de milliers d’euros de frais. Reste le blocage mondial, qu’elle refuse : ce serait imposer une décision française au monde entier.

Un rôle revendiqué comme « neutre et passif »

Quad9 refuse d’altérer les réponses qu’elle renvoie, rapporte MacGeneration, et veut que le piratage soit combattu là où les contenus sont hébergés. Elle n’est pas la première à partir : OpenDNS, le résolveur de Cisco, avait suspendu son service en France en juin 2024 après une ordonnance obtenue par Canal+.

Ce qui changera le 24 novembre

À partir du mardi 24 novembre 2026, tous les résolveurs de Quad9 seront inaccessibles depuis la France, avec ou sans filtrage des sites malveillants. Ni l’heure de la coupure ni la méthode employée ne sont connues. Les adresses à traquer dans les configurations sont 9.9.9.9 et 149.112.112.112, ainsi que 9.9.9.10, la variante sans filtrage.

Le symptôme sera trompeur. Selon Clubic, la connexion restera active, mais les noms de domaine ne seront plus résolus. Un équipement qui interroge uniquement Quad9 perdra sites web, messagerie et applications cloud, et les trunks SIP de la téléphonie IP, joints par nom de domaine, peuvent décrocher. On croira à une coupure opérateur, comme lors de la panne Orange du 21 octobre, alors que la ligne fonctionne.

Les particuliers ne sont pas seuls concernés. La liste partielle publiée par Quad9, tirée d’environ une heure de trafic, cite la DINUM, France Travail, RENATER, EDF, la SNCF, la Région Nouvelle-Aquitaine et des hôpitaux marseillais.

Les réflexes à adopter avant la coupure

Inventorier toutes les configurations

Le réglage se niche souvent à plusieurs endroits. Vérifiez :

• les pare-feu, routeurs et box, et les serveurs annoncés par DHCP, le protocole qui distribue les réglages réseau aux postes ;
• les redirecteurs des serveurs DNS internes (Windows Server, Bind9, Unbound) ;
• les outils de filtrage comme Pi-hole ou AdGuard Home ;
• les postes et navigateurs en DNS-over-HTTPS (DoH) ou DNS-over-TLS (DoT), profils iOS et macOS compris, notamment en accès nomade et télétravail.

Sur un parc multisite, un audit de vos réseaux d’entreprise évite les oublis.

Choisir un remplaçant en connaissance de cause

Trois options : le résolveur de votre fournisseur d’accès, un autre résolveur public (Clubic et IT-Connect citent NextDNS, AdGuard DNS ou Control D) ou un résolveur récursif interne. Aucun n’est à l’abri d’une décision de justice. Configurez deux résolveurs de fournisseurs différents et testez la bascule avant l’échéance.

Conserver le filtrage de sécurité

Beaucoup d’organisations avaient choisi Quad9 pour son blocage des domaines malveillants. Un résolveur brut retire cette protection contre l’hameçonnage. Intégrez ce filtrage à votre politique de sécurité informatique, via le pare-feu ou une solution dédiée. Les mairies et intercommunalités peuvent l’inscrire dans leur plan de cybersécurité des collectivités, au même titre que les correctifs récents liés aux failles critiques PHP.

Conclusion

Le départ du DNS Quad9 montre qu’une brique invisible du réseau peut disparaître pour des raisons juridiques, et non techniques. Avec une vingtaine de procédures en cours, d’autres résolveurs pourraient suivre. Vous avez jusqu’au 24 novembre pour passer vos équipements en revue : quelques heures d’inventaire évitent une journée de diagnostic à l’aveugle.

Source : Clubic – Vous utilisez le DNS Quad9 : pourquoi il ne fonctionnera très bientôt plus du tout en France (23 octobre 2026)
Voir aussi : IT-Connect – Quad9 quitte la France : le DNS 9.9.9.9 sera coupé le 24 novembre 2026 (26 octobre 2026) ; MacGeneration – DNS : condamné face à beIN Sports, Quad9 refuse de filtrer et quitte la France (23 octobre 2026)