Test & Avis Expert
dnscrypt-proxy est un proxy DNS à installer sur sa propre machine : il intercepte les requêtes DNS locales et les transmet chiffrées à un résolveur distant. Il prend en charge DNSCrypt v2, DNS-over-HTTPS, Anonymized DNSCrypt et Oblivious DoH. Licence ISC, gratuit, projet actif — la version 2.1.18 a été publiée le 18 juillet 2026 et le dépôt reçoit des modifications en continu. Des binaires précompilés existent pour Windows, macOS (Intel et Apple Silicon), Linux sur de nombreuses architectures, les BSD et Android.
Comment ça marche
Sans chiffrement, une requête DNS part en clair : le fournisseur d’accès, l’opérateur du réseau Wi-Fi et tout équipement sur le trajet voient chaque nom de domaine consulté. dnscrypt-proxy s’installe comme résolveur local ; le système lui envoie ses requêtes en clair sur la boucle locale, et il les réémet chiffrées vers un résolveur de la liste publique de serveurs du projet.
Deux mécanismes vont plus loin que le simple chiffrement du transport. Anonymized DNSCrypt fait transiter la requête par un relais qui connaît votre adresse IP mais pas le contenu, tandis que le résolveur voit le contenu mais pas votre adresse : la corrélation demande une entente entre les deux. ODoH applique le même principe au-dessus de HTTPS. L’outil fournit également un cache local, un filtrage par listes de blocage, du « cloaking » (réponse forcée pour certains domaines) et un filtrage horaire. La configuration se fait dans un fichier texte, sans interface graphique. Financement par dons via Open Collective.
Ce que ça ne protège pas
Le chiffrement protège le transport, pas la destination. Le résolveur que vous choisissez voit l’intégralité des domaines que vous consultez, associés à votre adresse IP, sauf en mode anonymisé. Changer de résolveur revient donc à changer de destinataire de cette liste, pas à la supprimer : le choix du serveur est la décision qui compte, et la liste publique du projet en contient beaucoup, opérés par des bénévoles dont la politique de journalisation est déclarative.
Ensuite, le DNS n’est qu’une partie de ce qui fuit. Le champ SNI des connexions TLS révèle encore le nom du site visité à l’opérateur réseau, et la simple adresse IP de destination suffit souvent à identifier le service. Chiffrer le DNS sans rien d’autre ne rend pas la navigation opaque.
Enfin, l’outil se configure entièrement dans un fichier TOML : une erreur de syntaxe ou une règle de transfert mal écrite peut laisser passer des requêtes en clair sans aucun signal visible. Il n’existe aucun contrôle intégré pour vérifier que tout le trafic DNS du système passe bien par le proxy.
Face aux alternatives
Unbound supprime le résolveur tiers en interrogeant directement les serveurs racine, mais ne chiffre pas les échanges avec les serveurs faisant autorité et se remarque davantage. AdGuard Home et Pi-hole visent d’abord le filtrage publicitaire, avec une interface web, et délèguent souvent le chiffrement à dnscrypt-proxy. NextDNS fournit la même chose comme service hébergé, ce qui déplace la confiance sur un opérateur unique. dnscrypt-proxy est l’option de qui veut choisir précisément son résolveur et, éventuellement, séparer qui sait quoi.
