AdGuard Home : bloquer publicités et trackers sur tout le réseau LAN

AdGuard Home permet de bloquer publicités et trackers au niveau DNS sur tout le réseau LAN, sans installer d'extension sur chaque appareil. Contrairement aux bloqueurs de publicités par navigateur, AdGuard Home fonctionne au niveau du résolveur DNS : toute requête vers un domaine publicitaire reçoit une réponse NXDOMAIN ou une IP nulle, bloquant la publicité avant même qu'une connexion TCP soit établie. En version 0.107.x (version stable 2026), AdGuard Home filtre en moyenne 20 à 30 % des requêtes DNS d'un réseau domestique ou de PME selon les statistiques communautaires, réduisant significativement la surface d'attaque (les domaines de tracking sont fréquemment utilisés pour les attaques de supply chain et le phishing). AdGuard Home se distingue de Pi-hole, son principal concurrent open source, par son support natif de DNS-over-HTTPS (DoH) et DNS-over-TLS (DoT) côté client — permettant aux appareils du réseau d'utiliser un DNS chiffré sans configuration individuelle — et par son interface web plus moderne. Ce guide pratique vous accompagne de l'installation Docker à la configuration avancée : listes de blocage (EasyList, StevenBlack Unified Hosts), exceptions pour les services internes, DNS-over-HTTPS pour les clients, statistiques de blocage et comparaison technique avec Pi-hole.

Qu'est-ce qu'AdGuard Home et comment fonctionne le blocage DNS ?

AdGuard Home est un serveur DNS résolveur avec filtrage intégré, développé en Go par AdGuard (entreprise russo-chypriote fondée en 2009). Il combine les fonctionnalités d'un résolveur DNS récursif (envoi des requêtes vers les serveurs racine ou les upstream DNS configurés) et d'un filtre DNS basé sur des listes de domaines bloclistés. Quand un appareil du réseau demande la résolution de doubleclick.net, AdGuard Home vérifie si ce domaine est dans une liste de blocage, et si c'est le cas, répond 0.0.0.0 (IP nulle) au lieu de l'IP réelle — le navigateur tente alors de se connecter à 0.0.0.0, échoue immédiatement, et la publicité ne s'affiche jamais.

Le blocage DNS présente des avantages et des limites par rapport aux bloqueurs de publicités navigateur (uBlock Origin). Avantages : protection universelle (tous les appareils, toutes les applications), blocage des trackers au niveau réseau (pas contournable par le mode navigation privée), réduction de la bande passante (les requêtes bloquées ne génèrent aucun trafic réseau), et protection des appareils IoT qui ne supportent pas d'extensions. Limites : les publicités sur les réseaux de diffusion partagés (CDN qui servent à la fois contenu et publicité) ne peuvent pas être bloquées sans casser le contenu légitime, et les sites qui regroupent publicités et contenu sur le même domaine (ex: YouTube ads) ne sont pas filtrables au niveau DNS.

Comment installer AdGuard Home avec Docker ?

L'installation d'AdGuard Home via Docker est la méthode recommandée pour la facilité de mise à jour et l'isolation. Docker 24+ est requis.

# Prérequis : vérifier que le port 53 est disponible (pas de systemd-resolved qui l'occuperait)
sudo ss -tlunp | grep ':53'
# Si systemd-resolved occupe le port 53 :
sudo systemctl disable --now systemd-resolved
# Puis configurer manuellement /etc/resolv.conf
echo "nameserver 1.1.1.1" | sudo tee /etc/resolv.conf

# Créer les répertoires de données persistants
mkdir -p /opt/adguardhome/{work,conf}

# Démarrer AdGuard Home avec Docker
docker run -d     --name adguardhome     --restart unless-stopped     -v /opt/adguardhome/work:/opt/adguardhome/work     -v /opt/adguardhome/conf:/opt/adguardhome/conf     -p 53:53/tcp     -p 53:53/udp     -p 3000:3000/tcp     -p 80:80/tcp     -p 443:443/tcp     -p 443:443/udp     -p 853:853/tcp     adguard/adguardhome:latest

# Vérifier que le conteneur est démarré
docker ps | grep adguardhome

# Accéder à l'interface de configuration initiale
# http://IP_SERVEUR:3000/install.html
# Port DNS : 53, Port Web Admin : 80
# Créer un compte admin

Version Docker Compose recommandée pour la production

# docker-compose.yml pour AdGuard Home
# Utilise la version standard Docker Compose v2

services:
  adguardhome:
    image: adguard/adguardhome:latest
    container_name: adguardhome
    restart: unless-stopped
    volumes:
      - /opt/adguardhome/work:/opt/adguardhome/work
      - /opt/adguardhome/conf:/opt/adguardhome/conf
    ports:
      # DNS standard
      - "53:53/tcp"
      - "53:53/udp"
      # Interface web admin
      - "3000:3000/tcp"
      # HTTP pour Let's Encrypt challenge
      - "80:80/tcp"
      # HTTPS / DNS-over-HTTPS
      - "443:443/tcp"
      - "443:443/udp"
      # DNS-over-TLS
      - "853:853/tcp"
    environment:
      - TZ=Europe/Paris
    # Sécurité : limiter les capabilities réseau
    cap_add:
      - NET_BIND_SERVICE
    security_opt:
      - no-new-privileges:true

Configuration des listes de blocage

AdGuard Home supporte plusieurs formats de listes de blocage : Adblock Plus, Hosts et liste de domaines. La configuration s'effectue dans Filters > DNS blocklists. Les listes recommandées pour un équilibre protection/compatibilité :

# Listes de blocage recommandées (à ajouter dans AdGuard Home > Filters > DNS blocklists)

# 1. AdGuard DNS filter (par défaut, publicités et trackers principaux)
https://adguardteam.github.io/AdGuardSDNSFilter/Filters/filter.txt

# 2. EasyList (liste de référence pour les publicités web)
https://easylist.to/easylist/easylist.txt

# 3. EasyPrivacy (trackers de confidentialité)
https://easylist.to/easylist/easyprivacy.txt

# 4. StevenBlack Unified Hosts (ads + malware + fakenews + gambling)
# Choisir la variante selon les besoins :
# ads + malware uniquement :
https://raw.githubusercontent.com/StevenBlack/hosts/master/hosts
# ads + malware + fakenews + gambling :
https://raw.githubusercontent.com/StevenBlack/hosts/master/alternates/fakenews-gambling/hosts

# 5. OISD Full (blocage agressif, peut casser certains sites)
https://big.oisd.nl/

# 6. Malware Domain Blocklist (sécurité)
https://www.malwaredomainlist.com/hostslist/hosts.txt

# Après ajout des listes, forcer la mise à jour dans AdGuard Home
# Filters > DNS blocklists > Update all

En déploiement AdGuard Home pour un cabinet médical (45 postes, réseau dédié patients en Wi-Fi séparé), nous avons configuré deux profils distincts : réseau staff avec filtrage standard (publicités + malwares), et réseau patients Wi-Fi avec filtrage renforcé incluant les réseaux sociaux et le streaming non médical. Le résultat après 30 jours : 28 % des requêtes DNS bloquées sur le réseau staff, 41 % sur le Wi-Fi patients. Point de vigilance : certains outils de visioconférence (Microsoft Teams, Zoom) utilisent des domaines de tracking qui peuvent être bloqués par les listes agressives — les whitelister manuellement est nécessaire dans ce contexte professionnel.

— Retour de déploiement AdGuard Home cabinet médical, mars 2026

Comment configurer DNS-over-HTTPS et DNS-over-TLS ?

AdGuard Home peut servir de résolveur DoH et DoT pour les appareils du réseau qui supportent ces protocoles. Firefox, Chrome (mode DoH automatique), Android 9+ (Private DNS), iOS 14+ (profils de configuration) et Windows 11 (DoH natif) peuvent être configurés pour utiliser AdGuard Home comme résolveur chiffré.

# Configuration SSL/TLS pour DoH et DoT
# Prérequis : certificat TLS valide pour le domaine dns.domaine.com

# 1. Obtenir un certificat Let's Encrypt
certbot certonly --standalone -d dns.domaine.com

# 2. Copier les certificats dans le répertoire de configuration AdGuard Home
cp /etc/letsencrypt/live/dns.domaine.com/fullchain.pem /opt/adguardhome/conf/
cp /etc/letsencrypt/live/dns.domaine.com/privkey.pem /opt/adguardhome/conf/
chmod 644 /opt/adguardhome/conf/fullchain.pem
chmod 640 /opt/adguardhome/conf/privkey.pem

# 3. Configuration TLS dans AdGuard Home
# Settings > Encryption settings
# - Enable encryption : Oui
# - Server name : dns.domaine.com
# - HTTPS port : 443
# - DoT port : 853
# - Certificate path : /opt/adguardhome/conf/fullchain.pem
# - Private key path : /opt/adguardhome/conf/privkey.pem

# URLs pour configurer les clients :
# DoH : https://dns.domaine.com/dns-query
# DoT : tls://dns.domaine.com

# Configuration Firefox pour utiliser DoH interne
# about:config > network.trr.uri = https://dns.domaine.com/dns-query
# about:config > network.trr.mode = 2 (DoH avec fallback DNS)
# about:config > network.trr.mode = 3 (DoH uniquement, sans fallback)

Gestion des exceptions et des règles personnalisées

AdGuard Home permet de définir des règles de filtrage personnalisées en syntaxe Adblock Plus, ainsi que des exceptions (whitelist) pour les domaines qui seraient bloqués à tort par les listes.

# Règles personnalisées dans AdGuard Home > Filters > Custom filtering rules

# Whitelister un domaine spécifique (préfixe @@)
@@||doubleclick.net^   # Exception pour doubleclick.net (si nécessaire pour Google Analytics)

# Bloquer un domaine spécifique non couvert par les listes
||espion-publicitaire.com^

# Bloquer tous les sous-domaines d'un domaine
||*.adserver.com^

# Rediriger un domaine vers une IP locale (DNS local override)
# Utile pour les DNS split-horizon
|homeassistant.local|  # Répondre avec l'IP locale du serveur Home Assistant

# Configuration par client (différencier les règles par appareil)
# AdGuard Home > Client settings > Clients
# Ajouter un client par IP ou MAC, lui attribuer des règles spécifiques
# Exemple : poste de travail dev autorisé à accéder aux CDNs de tracking pour les tests

# Whitelist globale (domaines toujours autorisés, quelle que soit la liste)
# Filters > Whitelist
# Ajouter les domaines nécessaires au fonctionnement des outils métier

AdGuard Home vs Pi-hole : quel choix pour votre infrastructure ?

AdGuard Home et Pi-hole sont les deux solutions DNS de blocage open source les plus populaires. Le choix dépend des besoins spécifiques.

# Commandes de diagnostic AdGuard Home
# Vérifier les statistiques de blocage (via API)
curl -s -u "admin:motdepasse" http://localhost:3000/control/stats | python3 -m json.tool

# Vérifier le log des requêtes en temps réel
curl -s -u "admin:motdepasse"     "http://localhost:3000/control/querylog?limit=20" |     python3 -c "
import sys, json
data = json.load(sys.stdin)
for q in data.get('data', []):
    status = 'BLOQUE' if q.get('reason', '').startswith('Filter') else 'OK'
    print(f"{status:8} {q['question']['name']:50} {q.get('client','?')}")
"

# Tester le blocage d'un domaine spécifique
dig @localhost doubleclick.net
# Si bloqué : réponse 0.0.0.0 (A record) ou NXDOMAIN

# Mise à jour d'AdGuard Home via Docker
docker pull adguard/adguardhome:latest
docker stop adguardhome && docker rm adguardhome
# Relancer avec les mêmes paramètres docker run

Intégration dans l'infrastructure réseau : DHCP et routeur

Pour que tous les appareils du réseau utilisent AdGuard Home comme DNS, deux méthodes existent : configurer AdGuard Home comme serveur DHCP (il distribuera son IP comme DNS), ou configurer le serveur DHCP existant (box, routeur, RRAS) pour distribuer l'IP du serveur AdGuard Home comme DNS primaire.

# Méthode 1 : Configurer le serveur DHCP existant pour pointer vers AdGuard Home
# Sur une box/routeur standard :
# Administration > DHCP > DNS Server 1 = 10.0.0.5 (IP du serveur AdGuard Home)
# DNS Server 2 = 1.1.1.1 (fallback si AdGuard Home est indisponible)

# Méthode 2 : Activer le serveur DHCP intégré d'AdGuard Home
# Settings > DHCP settings > Enable DHCP server
# Gateway : 10.0.0.1 (votre routeur)
# DNS server : 10.0.0.5 (IP AdGuard Home lui-même)
# Range : 10.0.0.100 - 10.0.0.200
# Lease time : 24h

# Sur les serveurs avec IP statique, forcer le DNS AdGuard Home
# (exemple Debian/Ubuntu avec systemd-resolved désactivé)
echo "nameserver 10.0.0.5" > /etc/resolv.conf
chattr +i /etc/resolv.conf  # Empêcher les modifications automatiques

# Vérifier que les clients utilisent bien AdGuard Home
# Sur un poste client Windows :
# nslookup google.com
# Le serveur indiqué doit être 10.0.0.5 (IP AdGuard Home)

# Vérification depuis le journal AdGuard Home que les requêtes arrivent
curl -s -u "admin:pass" "http://localhost:3000/control/querylog?limit=5" | python3 -m json.tool

La documentation officielle d'AdGuard Home est disponible sur adguard-dns.io/kb/adguard-home/. Pour les aspects de sécurité liés au DNS dans un contexte d'entreprise, l'article sur les attaques DNS (tunneling, hijacking, cache poisoning) détaille les vecteurs que le filtrage DNS aide à contenir. AdGuard Home contribue également à la détection des tentatives d'exfiltration DNS en journalisant toutes les requêtes. Pour une vue d'ensemble de la surveillance réseau, l'article sur la détection d'anomalies réseau présente des approches complémentaires.

Questions fréquentes

AdGuard Home peut-il bloquer les publicités YouTube ?

Non, le blocage des publicités YouTube est impossible au niveau DNS. YouTube sert publicités et contenu vidéo depuis les mêmes domaines (googlevideo.com, ytimg.com) — bloquer ces domaines casserait YouTube complètement. Seuls les bloqueurs de publicité navigateur (uBlock Origin, AdGuard Browser Extension) qui analysent le contenu HTML/JavaScript peuvent détecter et bloquer les publicités YouTube. AdGuard Home reste néanmoins utile pour bloquer les trackers d'audience YouTube (analytics.google.com, googlesyndication.com) qui collectent des données comportementales.

Comment configurer AdGuard Home en haute disponibilité avec deux instances ?

Pour la haute disponibilité, déployer deux instances AdGuard Home et configurer les clients DHCP avec les deux IPs en DNS primaire et secondaire. Les deux instances doivent être synchronisées manuellement (copie du fichier de configuration) ou via un script cron qui synchronise les listes et règles. Keepalived avec une IP virtuelle (VIP) flottante est une alternative : une seule IP est exposée au réseau, et Keepalived bascule sur la seconde instance en cas de panne. Adguard Home ne propose pas de réplication native entre instances en 2026.

AdGuard Home est-il compatible avec le protocole DNSSEC ?

Oui, AdGuard Home supporte la validation DNSSEC. L'option s'active dans Settings > DNS settings > Enable DNSSEC. Quand DNSSEC est activé, AdGuard Home vérifie les signatures cryptographiques des réponses DNS et rejette les réponses non signées ou avec une signature invalide, protégeant contre le cache poisoning et les attaques man-in-the-middle DNS. Il est recommandé d'utiliser un upstream DNS qui supporte également DNSSEC (Cloudflare 1.1.1.1, Google 8.8.8.8, Quad9 9.9.9.9) pour garantir la validation de bout en bout.

Les logs AdGuard Home sont-ils conservés longtemps ?

Par défaut, AdGuard Home conserve les logs de requêtes DNS pendant 90 jours. Cette durée est configurable dans Settings > General settings > Query Log retention. Pour les environnements avec des contraintes RGPD, il est recommandé de réduire cette rétention à 7 ou 30 jours, ou de désactiver complètement le log des requêtes en décochant "Enable query log". Les statistiques agrégées (nombre de requêtes, taux de blocage) sont conservées séparément et ne contiennent pas de données personnelles identifiables.

Comment migrer de Pi-hole vers AdGuard Home ?

La migration Pi-hole vers AdGuard Home suit ces étapes : exporter les listes de blocage personnalisées et la whitelist Pi-hole (via l'API Pi-hole ou les fichiers /etc/pihole/), déployer AdGuard Home sur le même serveur ou un serveur distinct, importer les listes dans AdGuard Home > Filters > DNS blocklists, recréer les règles personnalisées, et enfin modifier l'IP DNS des clients DHCP pour pointer vers la nouvelle instance. La migration peut se faire sans interruption en faisant tourner les deux services sur des ports différents pendant la période de transition, puis en basculant le port 53.

Monitoring AdGuard Home via l'API et métriques de blocage

AdGuard Home expose une API REST complète permettant de consulter les statistiques en temps réel, de modifier la configuration et d'exporter les logs de requêtes DNS. Cette API est utile pour intégrer AdGuard Home dans des dashboards de supervision existants (Grafana, Zabbix, Prometheus via le module adguardhome_exporter).

# Statistiques globales de blocage (via API)
curl -s -u 'admin:motdepasse' http://localhost:3000/control/stats | python3 -c "
import sys, json
d = json.load(sys.stdin)
total = d.get('num_dns_queries', 0)
blocked = d.get('num_blocked_filtering', 0)
pct = round(blocked/total*100, 1) if total > 0 else 0
print(f'Requêtes totales : {total}')
print(f'Requêtes bloquées : {blocked} ({pct}%)')
print(f'Domaines bloquants actifs : {d.get(\"num_filtered_domains\", 0)}')
"

# Top 10 domaines les plus bloqués
curl -s -u 'admin:motdepasse' http://localhost:3000/control/stats | python3 -c "
import sys, json
d = json.load(sys.stdin)
for domain, count in sorted(d.get('top_blocked_domains', {}).items(),
                            key=lambda x: x[1], reverse=True)[:10]:
    print(f'  {count:6d}x  {domain}')
"

# Exporter les logs de requêtes (30 dernières minutes)
curl -s -u 'admin:motdepasse' \
    'http://localhost:3000/control/querylog?limit=100&response_status=filtered' |
    python3 -m json.tool | head -50

Clients personnalisés : profils par appareil pour le contrôle parental

La fonctionnalité Clients d'AdGuard Home permet d'attribuer une configuration de filtrage spécifique à chaque appareil identifié par son IP ou adresse MAC. Cette granularité permet des profils distincts : filtrage parental renforcé sur les tablettes enfants (blocage réseaux sociaux, contenus adultes), accès complet pour les postes développeurs (pas de filtrage des CDNs de tracking), et filtrage standard pour les appareils bureautiques.

# Ajouter un client avec configuration personnalisée via API
curl -s -X POST \
    -H 'Content-Type: application/json' \
    -u 'admin:motdepasse' \
    http://localhost:3000/control/clients/add \
    -d '{
      "name": "Tablette-enfant",
      "ids": ["192.168.1.50"],
      "use_global_settings": false,
      "filtering_enabled": true,
      "safebrowsing_enabled": true,
      "parental_enabled": true,
      "blocked_services": {
        "ids": ["tiktok", "snapchat", "instagram", "twitch"]
      }
    }'

# Lister tous les clients configurés
curl -s -u 'admin:motdepasse' http://localhost:3000/control/clients |
    python3 -c "import sys, json; [print(c['name'], c['ids']) for c in json.load(sys.stdin)['clients']]"

AdGuard Home s'intègre dans une stratégie de sécurité réseau complète. Pour une protection avancée, le filtrage DNS se complète avec un IDS/IPS réseau — voir l'article sur la détection d'anomalies réseau par IA. Pour les entreprises soumises à NIS 2, le filtrage DNS contribue aux mesures techniques de sécurité — consulter l'article sur les techniques de détection du DNS tunneling pour les SOC. La journalisation des requêtes DNS contribue également à la détection des exfiltrations DNS.

AdGuard Home est l'outil de filtrage DNS le plus complet de l'écosystème open source pour les réseaux domestiques et les petites entreprises. Sa combinaison unique de DNS-over-HTTPS serveur et client, de listes de blocage multiples et de statistiques détaillées en fait un choix supérieur à Pi-hole pour la grande majorité des déploiements en 2026. Pour les organisations avec des besoins avancés de sécurité DNS (DNSSEC, DNS Firewall, RPZ — Response Policy Zones), des solutions entreprises comme Infoblox NIOS ou PowerDNS avec des RPZ apporteront des fonctionnalités complémentaires. La documentation officielle complète est disponible sur adguard-dns.io/kb/adguard-home/. AdGuard Home constitue également un premier pas vers une politique de filtrage DNS d'entreprise qui peut évoluer vers des solutions comme Cisco Umbrella (DNS-layer security cloud) ou AdGuard DNS Business pour les flottes d'appareils gérés.