Quad9 quitte la France : le résolveur DNS 9.9.9.9 coupé le 24 novembre 2026

Le résolveur DNS public Quad9 (adresse IP 9.9.9.9) cessera de répondre aux requêtes émises depuis la France à compter du 24 novembre 2026. La fondation suisse à but non lucratif l'a annoncé le 22 octobre 2026 à la suite d'une décision de justice française rendue la veille. Si votre VPS Linux ou votre serveur dédié utilise 9.9.9.9 ou 149.112.112.112 comme résolveur DNS, la résolution de noms cessera de fonctionner à cette date : plus de mise à jour de paquets, plus de connexion sortante par nom de domaine, plus d'envoi d'emails via SMTP. Vous avez un mois pour migrer la configuration du serveur.

Source : Quad9, "Au revoir, France", publié le 22 octobre 2026.

Qu'est-ce que Quad9 et pourquoi les administrateurs l'utilisent

Quad9 est un service gratuit de résolution DNS récursive, opéré depuis la Suisse par une fondation à but non lucratif. Il fournit deux adresses IPv4 (9.9.9.9 et 149.112.112.112) et deux adresses IPv6 (2620:fe::fe et 2620:fe::9). Son principal atout pour un administrateur de serveur web ou de VPS est le filtrage intégré des domaines malveillants : requêtes vers des serveurs de commande et contrôle (C2), domaines de phishing et malware bloqués dès la résolution DNS, sans configuration supplémentaire côté serveur. Le résolveur agit comme un proxy DNS entre votre machine virtuelle et les serveurs faisant autorité sur chaque domaine.

C'est un résolveur populaire chez les administrateurs qui hébergent des services sur un VPS ou un serveur dédié et souhaitent une couche de protection DNS sans installer de logiciel supplémentaire. Il suffit de renseigner l'adresse IP du résolveur Quad9 dans le fichier de configuration /etc/resolv.conf pour que toutes les résolutions transitent par lui.

La décision de justice qui provoque le retrait

Le 21 octobre 2026, un tribunal français a condamné Quad9 à bloquer des noms de domaine accusés de diffuser illégalement des contenus audiovisuels sportifs protégés par le droit d'auteur. La plainte avait été déposée par beIN, société qatarie disposant de bureaux en France. L'amende initiale s'élevait à 580 000 euros, réduite ensuite à 1 000 euros par jour, soit environ 24 000 euros cumulés au 14 novembre 2026. Quad9 précise qu'une vingtaine d'autres procédures similaires sont en cours en France, toutes demandant le blocage de domaines.

Plutôt que de se conformer à ces injonctions de blocage, Quad9 a décidé de cesser entièrement son service en France. La fondation estime que bloquer des domaines au niveau du résolveur DNS est une forme de censure qui contredit sa mission de résolution DNS ouverte et sécurisée. Quad9 a déjà tenté un blocage géographique en Allemagne entre 2021 et 2023, dans une affaire similaire contre Sony Music. Le plaignant avait contourné le filtre via un VPN, et le tribunal avait condamné Quad9 pour non-conformité malgré la mesure technique. Cette expérience a convaincu la fondation que le retrait complet est la seule option viable.

Ce que ça change pour votre serveur

Si votre VPS ou serveur dédié hébergé en France utilise Quad9 comme résolveur DNS, voici les services qui cesseront de fonctionner le 24 novembre 2026 :

• Gestionnaires de paquets : apt update ne pourra plus résoudre les noms de domaine des dépôts (deb.debian.org, archive.ubuntu.com), ce qui bloque toute mise à jour et tout backup automatisé par script ;
• Serveur web : Apache et Nginx ne pourront plus joindre les services externes (API, webhooks). Les scripts PHP qui effectuent des requêtes HTTP échoueront. Le renouvellement automatique des certificats TLS via Let's Encrypt (validation HTTP et DNS) sera impossible ;
• Bases de données : les connexions MySQL ou MariaDB configurées avec un nom de domaine distant au lieu d'une adresse IP ne pourront plus s'établir ;
• Emails et messagerie : un serveur de messagerie SMTP ne pourra plus résoudre les enregistrements MX des destinataires, bloquant tout envoi d'emails sortants ;
• Serveurs de jeu : les serveurs FiveM, Minecraft et Rust qui effectuent des requêtes DNS (authentification Steam, téléchargement de mods, requêtes Workshop) perdront leur connectivité ;
• Transferts de fichiers : les connexions FTP et SFTP vers des serveurs distants identifiés par nom de domaine échoueront ;
• VPN et tunnels : les clients VPN qui résolvent l'adresse du serveur VPN par DNS au moment de la connexion ne pourront plus s'y connecter.

La résolution DNS est le socle du réseau : quand elle tombe, tous les services qui dépendent d'un nom de domaine tombent avec elle. Pour diagnostiquer la résolution DNS de votre serveur, vérifiez d'abord quel résolveur est configuré.

Vérifier quel résolveur DNS votre serveur utilise

Connectez-vous en SSH à votre VPS et exécutez la commande suivante en ligne de commande pour afficher les serveurs DNS configurés :

cat /etc/resolv.conf

Si le fichier contient nameserver 9.9.9.9 ou nameserver 149.112.112.112, votre serveur utilise Quad9. Pour vérifier rapidement plusieurs fichiers de configuration d'un coup, ce script suffit :

grep -rn "9.9.9.9\|149.112.112.112" /etc/resolv.conf /etc/systemd/resolved.conf /etc/netplan/*.yaml 2>/dev/null

Sur les distributions qui utilisent systemd-resolved (Ubuntu 22.04+, Debian 12+), la config active peut différer du fichier statique. Vérifiez avec :

resolvectl status

Si Quad9 apparait comme serveur DNS actif dans l'une ou l'autre commande, vous devez migrer avant le 24 novembre.

Alternatives à Quad9 pour un serveur Linux

Quatre approches pour remplacer Quad9 sur un VPS ou un serveur dédié, de la plus simple à la plus autonome :

Cloudflare DNS (1.1.1.1)

Résolveur DNS public gratuit, rapide et largement utilisé. Pas de filtrage de domaines malveillants par défaut (contrairement à Quad9), mais des variantes existent : 1.1.1.2 bloque les domaines malware, 1.1.1.3 bloque malware et contenu adulte. Pour configurer Cloudflare comme résolveur sur un VPS Ubuntu ou Debian, commencez par sauvegarder votre config actuelle :

# Backup de la configuration DNS actuelle
sudo cp /etc/resolv.conf /etc/resolv.conf.backup

# Modifier le fichier de configuration
sudo nano /etc/resolv.conf
# Remplacer les lignes nameserver existantes par :
nameserver 1.1.1.1
nameserver 1.0.0.1

Sur un serveur qui utilise systemd-resolved (Ubuntu 22.04+, Debian 12+), modifiez plutôt le fichier de configuration du service puis redémarrez-le :

sudo nano /etc/systemd/resolved.conf
# Dans la section [Resolve], ajoutez :
# DNS=1.1.1.1 1.0.0.1
# FallbackDNS=8.8.8.8 8.8.4.4
sudo systemctl restart systemd-resolved

Résolveur local avec Unbound

Unbound est un résolveur DNS récursif que vous installez directement sur votre serveur virtuel. Il interroge les serveurs racine et les serveurs faisant autorité sans dépendre d'un tiers. C'est la solution la plus autonome : aucun service externe ne peut couper votre résolution DNS, et les requêtes ne quittent pas votre réseau local avant d'atteindre les serveurs racine.

sudo apt update && sudo apt install -y unbound
sudo systemctl enable --now unbound

Une fois Unbound actif, configurez votre serveur pour l'utiliser comme résolveur local :

# Dans /etc/resolv.conf :
nameserver 127.0.0.1

Unbound utilise les ancres DNSSEC par défaut et valide les signatures des réponses DNS. C'est l'option recommandée pour les administrateurs qui veulent une résolution DNS indépendante sur leur VPS. Vérifiez que le port 53 (TCP et UDP) n'est pas bloqué en sortie par votre pare-feu UFW : Unbound doit pouvoir joindre les serveurs racine.

BIND9 : le résolveur historique

BIND (Berkeley Internet Name Domain) est le serveur DNS le plus déployé au monde. Sa version 9 fonctionne en mode récursif et peut remplacer Quad9 comme résolveur local. Il est plus complexe à configurer qu'Unbound, mais offre des fonctionnalités avancées comme les RPZ (Response Policy Zones) pour le filtrage et la possibilité d'héberger vos propres zones DNS (alias CNAME, enregistrements MX pour un serveur de messagerie, etc.).

sudo apt update && sudo apt install -y bind9 bind9-utils
sudo systemctl enable --now named

BIND9 convient si vous avez besoin d'un résolveur DNS local qui sert aussi de serveur faisant autorité pour vos propres domaines. Pour un simple remplacement de Quad9, Unbound est plus léger en RAM et en configuration.

systemd-resolved en mode stub

Si votre distribution utilise déjà systemd-resolved (Ubuntu 22.04+), il suffit de changer le serveur DNS en amont dans /etc/systemd/resolved.conf comme indiqué plus haut, puis de redémarrer le service. Il fait office de cache DNS local et transmet les requêtes au résolveur configuré.

Cas d'un VPS Windows

Sous Windows Server, vérifiez la configuration DNS dans les propriétés de la carte réseau. Si l'adresse IP 9.9.9.9 apparait comme serveur DNS préféré ou auxiliaire, remplacez-la. Depuis PowerShell (en administrateur), affichez la configuration réseau actuelle puis modifiez les adresses IP des résolveurs DNS :

# Afficher la config DNS actuelle
Get-DnsClientServerAddress

# Remplacer par Cloudflare
Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses ("1.1.1.1","1.0.0.1")

# Vérifier la résolution
Resolve-DnsName elypsecloud.com

Pensez aussi à vérifier la configuration du pare-feu Windows (firewall) : le port 53 en sortie (TCP et UDP) doit rester ouvert pour que la résolution DNS fonctionne avec le nouveau résolveur. Consultez notre guide pour sécuriser un VPS Windows Server si vous en profitez pour durcir votre configuration réseau.

Vérification après migration

Après avoir modifié la configuration du résolveur DNS, testez que la résolution fonctionne correctement avant de considérer la migration comme terminée :

# Tester la résolution de domaines critiques
dig elypsecloud.com
nslookup deb.debian.org
dig +short smtp.gmail.com MX

# Vérifier que les services réseau fonctionnent
sudo apt update
curl -s -o /dev/null -w "%{http_code}" https://elypsecloud.com

Si votre serveur héberge un serveur web Apache ou Nginx avec des virtual hosts, vérifiez que les requêtes sortantes (webhooks, API) aboutissent. Vérifiez aussi que vos scripts de backup automatisés arrivent à joindre leurs destinations et que les tâches cron qui dépendent du réseau fonctionnent normalement. Pour un diagnostic réseau complet en 30 secondes, consultez notre guide dédié.

Ce que nous recommandons

Si vous administrez un serveur chez ElypseCloud ou chez un autre hébergeur en France :

1. Vérifiez votre configuration DNS dès maintenant avec cat /etc/resolv.conf (ou Get-DnsClientServerAddress sous Windows) ;
2. Faites un backup de votre fichier de config avant toute modification ;
3. Si Quad9 est configuré, remplacez-le par Cloudflare (1.1.1.1) pour une migration immédiate en ligne de commande, ou installez Unbound pour une résolution autonome ;
4. Redémarrez les services réseau : sudo systemctl restart systemd-resolved ;
5. Testez la résolution après le changement avec dig elypsecloud.com ou nslookup elypsecloud.com ;
6. Vérifiez que vos services fonctionnent : mise à jour des paquets, renouvellement de certificats TLS, connexions aux API, envoi d'emails SMTP et accès aux bases de données distantes.

Pour aller plus loin dans la sécurisation de votre serveur, consultez nos guides pour sécuriser un VPS Ubuntu avec SSH, UFW et Fail2ban et pour automatiser les mises à jour de sécurité.