Torii

À quoi ça sert

Chaque fois qu'un appareil se connecte quelque part, il demande d'abord à un résolveur DNS de traduire le nom du site en adresse. Un téléphone le fait des milliers de fois par jour.

Par défaut, c'est le résolveur du fournisseur d'accès qui répond, et il voit passer l'intégralité de la navigation de tous les appareils du foyer.

Torii est une alternative. Il bloque la publicité, les traqueurs et l'hameçonnage à la source, pour tous les appareils, sans rien installer. Et il ne garde aucune trace de ce qui transite.

Choisir son profil

Profil	Ce qui est filtré	Pour qui
Standard	publicité, traqueurs, malware, hameçonnage	tout le monde, c'est le choix par défaut
Ouvert	rien	ceux qui veulent seulement le chiffrement et l'absence de journal
Famille	standard, plus contenus adultes et jeux d'argent	un adulte qui choisit délibérément ce profil pour son foyer

On peut changer de profil à tout moment, il suffit de modifier l'adresse saisie.

Se configurer

Torii n'écoute qu'en chiffré. Il n'y a donc pas d'adresse IP à saisir : on saisit un nom, que l'appareil utilise pour vérifier le certificat du serveur.

Android 9 et plus

Réglages → Réseau et Internet → DNS privé → Nom d'hôte du fournisseur DNS privé

dns.cybsec.fr

C'est tout. Trois tapes, rien à installer.

iPhone, iPad et Mac

iOS et macOS demandent un profil de configuration : il n'y a pas de champ à remplir dans les réglages.

Télécharger le profil correspondant au profil de filtrage choisi
L'installer : Réglages → Profil téléchargé → Installer
L'activer : Réglages → Général → VPN, DNS et appareils → DNS → sélectionner Torii

La troisième étape est indispensable. Installer le profil ne l'active pas. C'est l'oubli le plus fréquent, et il donne l'impression que le service ne fonctionne pas.

Windows 11

Paramètres → Réseau et Internet → Wi-Fi (ou Ethernet) → Attribution du serveur DNS → Modifier → Manuel

Activer DNS chiffré uniquement (DoH) et saisir :

https://dns.cybsec.fr/dns-query

Windows 10 ne sait pas le faire nativement.

Firefox

Paramètres → Vie privée et sécurité → DNS via HTTPS → Protection maximale → Fournisseur personnalisé

https://dns.cybsec.fr/dns-query

Chrome et Edge

Paramètres → Confidentialité et sécurité → Sécurité → Utiliser un DNS sécurisé → Personnalisé, même adresse.

Un réglage de navigateur ne protège que ce navigateur. Les autres applications continuent d'utiliser le résolveur du système.

Adresses complètes, par profil

Profil	DoT, nom d'hôte	DoH, adresse
Standard	`dns.cybsec.fr`	`https://dns.cybsec.fr/dns-query`
Ouvert	`open.dns.cybsec.fr`	`https://open.dns.cybsec.fr/open`
Famille	`famille.dns.cybsec.fr`	`https://famille.dns.cybsec.fr/famille`

Et ma box internet ?

Ce n'est pas possible, et ce n'est pas un oubli.

Aucune box grand public, Freebox, Livebox ou autre, ne sait parler un DNS chiffré. Elles ne savent envoyer que du DNS en clair, que Torii n'accepte pas.

Ce choix est délibéré : un résolveur qui accepte le DNS en clair sur une adresse publique est repéré en quelques heures et transformé en amplificateur d'attaque contre des tiers. Plusieurs résolveurs associatifs ont dû fermer cet accès pour cette raison exacte.

Saisir un numéro de port dans le champ DNS de la box ne changera rien. Ce n'est pas une question de port, mais de langage : la box ne sait pas établir la connexion chiffrée.

Deux solutions si l'on veut couvrir tout le foyer :

Configurer chaque appareil, ce qui prend une minute par appareil
Installer un petit relais sur le réseau local, un Raspberry Pi ou un mini-PC, qui accepte le DNS en clair depuis la box et le retransmet chiffré à Torii. Un routeur OpenWrt, pfSense ou OPNsense sait le faire nativement.

Vérifier que ça fonctionne

Le plus simple, depuis un terminal :

ping -c1 google-analytics.com

Cette commande doit échouer avec « cannot resolve » ou « hôte inconnu ». Si elle réussit, la configuration n'est pas active.

ping -c1 impots.gouv.fr

Celle-ci doit répondre normalement.

N'utilisez pas dig ou nslookup pour ce test : ces outils interrogent directement les serveurs DNS et contournent le réglage chiffré du système. Ils donneront un résultat rassurant et faux.

Si rien ne change alors que tout semble configuré

Un VPN d'entreprise ou un réseau maillé peut prendre le dessus, sans le dire. Tailscale, NetBird, Zscaler et leurs équivalents installent leur propre résolveur au niveau du système, et il passe devant le réglage chiffré. Le système n'affiche aucune erreur : il applique simplement le plus prioritaire.

Si un VPN de ce type tourne, il faut désactiver son option de gestion du DNS pour que Torii reprenne la main.

Un site ne marche plus ?

Basculez une minute sur le profil Ouvert.

Le site remarche, c'est le filtrage. Signalez-le, l'adresse est plus bas. Le domaine sera examiné et ajouté à la liste blanche s'il n'avait rien à y faire.
Le site ne marche toujours pas, le problème est ailleurs, Torii n'y est pour rien.

Les listes utilisées sont volontairement modérées, pour limiter les faux positifs. Certains services essentiels sont protégés en permanence et ne peuvent jamais être bloqués : services publics, santé, banques et paiement, authentification, mises à jour système, vérification des certificats.

Ce que Torii ne fait pas

Aucun journal des requêtes. Aucun nom de domaine consulté, aucune adresse IP, nulle part. Ce n'est pas une option désactivée : l'infrastructure est conçue pour que ces données n'existent pas. Même l'administrateur ne peut pas savoir qui a consulté quoi.
Aucune information de localisation transmise. Votre préfixe réseau n'est jamais communiqué aux serveurs interrogés.
Aucune redirection. Un domaine bloqué renvoie une réponse « ce domaine n'existe pas ». Jamais une page publicitaire, jamais une page de recherche.
Aucune revente, aucun partage, aucune monétisation de la donnée DNS, y compris agrégée ou « anonymisée ».
Aucun compte, aucune inscription, aucun traceur sur cette page.

Transparence

Ce qui est bloqué est public, et publié automatiquement à chaque recompilation des listes.

Chargement du manifeste…

Le fichier brut est là : manifest.json. Il contient, pour chaque profil, la liste des sources amont avec leur URL, leur licence, leur mainteneur, le nombre d'entrées et l'empreinte SHA-256 du fichier récupéré, ainsi que l'empreinte de la zone produite. Il est écrit par le compilateur lui-même, pas à la main.

La liste blanche compte 151 domaines qui ne peuvent jamais être bloqués, quelle que soit la liste amont : services publics, banques, chaînes de paiement 3-D Secure, authentification, mises à jour système, révocation de certificats, NTP. Elle est compilée dans le programme, pas dans un fichier de configuration qu'une erreur pourrait vider.

Un garde-fou de compilation refuse toute liste qui varie de plus de 25 % d'une compilation à l'autre. Une source amont corrompue ou détournée ne peut donc pas entrer en production sans intervention humaine.

Les blocages imposés par une autorité, décision de justice ou autorité administrative, sont publiés séparément, avec leur fondement, l'autorité concernée, la référence de l'acte et sa date d'expiration. Aucun blocage silencieux. À ce jour, cette liste est vide, et le profil Ouvert permet de le vérifier soi-même.

Les demandes privées sans décision de justice sont refusées, y compris celles d'ayants droit ou de fédérations professionnelles.

Continuité

En octobre 2025, un résolveur français gratuit et filtrant s'est arrêté sans préavis, cassant le fonctionnement d'applications et d'équipements chez ses utilisateurs.

Torii prend l'engagement inverse :

90 jours de préavis avant toute cessation de service, annoncés sur cette page et dans un enregistrement DNS lisible par machine, pour qu'un équipement puisse le détecter seul
Dégradation progressive plutôt qu'arrêt sec : en fin de vie, le service bascule en résolution simple sans filtrage avant de s'arrêter, afin de ne casser aucun équipement

L'engagement est vérifiable sans lire cette page :

dig _status.dns.cybsec.fr TXT +short

Nous écrire

Signaler un site bloqué à tort, contester un blocage, poser une question : antonin@cybsec.fr

Toute contestation d'un blocage éditorial reçoit une réponse motivée sous 7 jours ouvrés, et la décision est publiée avec sa justification.

Service expérimental et non commercial. Torii est une preuve de concept, opérée sur un seul serveur, sans garantie de disponibilité.