Test & Avis Expert
Unbound est un résolveur DNS récursif, validant et cache, développé par NLnet Labs, fondation néerlandaise à but non lucratif installée à Amsterdam. Licence BSD-3-Clause. Il est présent dans les dépôts de la plupart des distributions Linux, intégré au système de base de plusieurs BSD, disponible sur macOS et couramment embarqué dans les firmwares de routeurs. La version 1.26.0 a été publiée le 4 août 2026 ; le dépôt est actif.
Comment ça marche
La différence avec un proxy DNS est fondamentale. Un proxy transmet vos questions à un résolveur tiers ; Unbound fait lui-même le travail de résolution, en interrogeant successivement les serveurs racine, puis les serveurs du domaine de premier niveau, puis ceux du domaine visé. Aucun opérateur ne dispose donc de la liste complète de vos consultations : chaque serveur interrogé n’en voit qu’un fragment.
Trois fonctions renforcent ce fonctionnement. La validation DNSSEC vérifie cryptographiquement que la réponse reçue est bien celle publiée par le domaine, ce qui contre l’empoisonnement de cache. La minimisation du nom de requête (RFC 9156) n’envoie à chaque serveur que la partie du nom qu’il a besoin de connaître, au lieu du nom complet. L’utilisation agressive du cache DNSSEC validé (RFC 8198) permet de répondre localement à des requêtes pour des noms inexistants sans interroger le réseau. Unbound sait aussi chiffrer ses requêtes sortantes en DNS-over-TLS ou DNS-over-HTTPS s’il est configuré en transfert vers un résolveur amont. NLnet Labs se finance par des contrats de support professionnel, en précisant ne pas produire de compilations ni de fonctions réservées aux clients payants.
Ce que ça ne protège pas
En mode récursif, les requêtes d’Unbound vers les serveurs faisant autorité partent en clair : DNSSEC authentifie les réponses, il ne les chiffre pas. Votre fournisseur d’accès ne voit plus l’ensemble de votre activité concentré dans un flux vers un résolveur unique, mais il voit passer les requêtes individuelles. On échange une visibilité complète chez un opérateur contre une visibilité partielle chez plusieurs.
Le mode récursif a un second effet : votre adresse IP apparaît directement auprès des serveurs faisant autorité, alors qu’un résolveur public mutualisé la noie dans le trafic de millions d’utilisateurs. Sur une connexion résidentielle peu fréquentée, ce n’est pas neutre.
Il n’y a ni interface web, ni assistant : tout passe par un fichier de configuration, et les réglages de confidentialité (minimisation, validation, restriction d’accès) doivent être vérifiés à la main. Une instance ouverte au monde extérieur par inadvertance devient un relais utilisable pour de l’amplification.
Face aux alternatives
dnscrypt-proxy chiffre le trajet vers un résolveur tiers, avec un mode anonymisé qui sépare qui connaît l’adresse IP de qui connaît la requête : c’est le complément naturel d’Unbound plutôt qu’un concurrent. Pi-hole et AdGuard Home ajoutent le filtrage et une interface, et embarquent souvent Unbound comme moteur de résolution. Quad9 ou Mullvad DNS sont l’option inverse : déléguer à un opérateur qui affiche une politique de non-journalisation.
