Cloudflare (1.1.1.1)

1.1.1.1 est le résolveur DNS public de Cloudflare, société américaine. Il est accessible en DNS classique, DNS-over-TLS et DNS-over-HTTPS, avec des variantes filtrantes — 1.1.1.2 bloque les logiciels malveillants, 1.1.1.3 y ajoute le contenu adulte — et une application WARP pour ordinateur et mobile. Service propriétaire, gratuit dans son usage de base, avec des offres payantes pour les organisations.

Comment ça marche

Cloudflare exploite un réseau de points de présence très étendu, ce qui explique les temps de réponse faibles depuis à peu près n’importe où : la requête est traitée par le site le plus proche. Le chiffrement du transport, en DoT ou DoH, empêche le fournisseur d’accès et l’opérateur du réseau local de lire les noms de domaine demandés.

Sur les données, Cloudflare publie des engagements précis. Les journaux du résolveur enregistrent des métadonnées techniques — nom demandé, type de requête, code de réponse, localisation approximative, numéro de système autonome — mais excluent l’adresse IP source. Une version tronquée de l’adresse est conservée temporairement : dernier octet retiré en IPv4, 80 derniers bits en IPv6. L’ensemble des journaux du résolveur public est supprimé sous 25 heures, à l’exception de données agrégées conservées durablement pour alimenter Cloudflare Radar. L’entreprise s’engage à ne pas vendre ni partager ces données avec des tiers, et fait valider ces pratiques par l’un des quatre grands cabinets comptables, dont le rapport est publié sur sa page de conformité. Le modèle économique du résolveur est indirect : il sert la notoriété et l’infrastructure commerciale de Cloudflare.

Ce que ça ne protège pas

Le résolveur voit vos requêtes. Chiffrer le transport déplace la visibilité du fournisseur d’accès vers Cloudflare : ce n’est pas rien, mais ce n’est pas une disparition. L’engagement de non-conservation est contractuel et audité, pas cryptographique — aucun mécanisme technique n’empêcherait un changement de politique.

Cloudflare est une société américaine, donc soumise au droit américain, y compris aux réquisitions administratives et aux obligations de confidentialité qui peuvent les accompagner. Pour un modèle de menace qui inclut les autorités américaines, ce point est décisif.

S’ajoute une concentration rarement évoquée : Cloudflare est déjà l’intermédiaire réseau d’une part considérable du web. Lui confier en plus la résolution DNS de son poste revient à donner à un seul acteur une vue simultanée sur les deux extrémités du trajet. Enfin, l’application WARP est un VPN : elle chiffre tout le trafic et non plus seulement le DNS, ce qui étend d’autant ce que Cloudflare observe.

Face aux alternatives

Quad9 est opéré par une fondation suisse à but non lucratif et filtre les domaines malveillants par défaut : juridiction et modèle de gouvernance différents, performances généralement proches. Mullvad DNS est gratuit, sans compte, et porté par un opérateur suédois dont l’activité principale est la non-conservation. NextDNS offre un filtrage et des journaux configurables par l’utilisateur, ce qui suppose d’accepter un compte. Unbound supprime entièrement le tiers, au prix d’une configuration manuelle.