Cloudflare DNS IPv6 - Guide pour domaine et Wi-Fi sans erreur

L’IPv6 ne change pas le fonctionnement du DNS, mais elle change la manière d’atteindre les serveurs. Avec Cloudflare, il faut surtout distinguer deux cas très différents: la délégation d’un domaine vers des serveurs de noms autoritatifs et la configuration d’un réseau Wi‑Fi ou d’un routeur pour utiliser le résolveur DNS de Cloudflare en IPv6. Je vais clarifier cette différence, montrer les réglages utiles et pointer les erreurs qui font perdre du temps.

Deux notions à ne pas confondre

Je commence toujours par là, parce que c’est le point qui brouille le plus les cartes. Un serveur de noms autoritatif contient la zone DNS officielle d’un domaine et répond en dernier sur les enregistrements qui lui appartiennent. Un résolveur DNS, lui, interroge Internet à votre place et renvoie la réponse à votre appareil. Cloudflare fournit les deux, mais ils ne se configurent pas au même endroit et ne servent pas au même besoin.

Cette distinction paraît théorique, mais elle décide de tout le reste: si vous vous trompez de couche, vous modifiez la mauvaise interface et vous cherchez un problème là où il n’existe pas. C’est pour cela que je sépare toujours la configuration du domaine et la configuration du réseau local.

Configurer un domaine chez Cloudflare sans se tromper

Pour un domaine classique, la logique est simple. Cloudflare vous attribue deux nameservers standard, et vous les remplacez chez votre registrar par ceux-ci. Les adresses IP derrière ces nameservers sont gérées par Cloudflare; vous n’avez généralement rien à saisir à la main de ce côté-là.

1. Ajoutez votre domaine dans le tableau de bord Cloudflare.
2. Relevez les deux serveurs de noms qui vous sont attribués.
3. Connectez-vous chez votre registrar et remplacez les anciens NS par ceux de Cloudflare.
4. Attendez la propagation, puis vérifiez que le domaine répond bien via les nouveaux NS.

Si votre nom de domaine a été acheté chez Cloudflare Registrar, cette étape est souvent déjà en place. Sinon, la mise à jour se fait chez le registrar d’origine, pas dans l’interface DNS elle-même. C’est un détail banal en apparence, mais c’est précisément là que beaucoup de gens perdent une heure.

La documentation Cloudflare rappelle aussi que les adresses attribuées aux nameservers sont statiques. Autrement dit, vous ne devez pas les considérer comme des valeurs volatiles qu’il faudrait surveiller tous les jours. Une fois la délégation correcte, la configuration reste stable.

Une fois cette base posée, il reste le cas plus avancé des nameservers personnalisés, où l’IPv6 prend une place beaucoup plus visible.

Quand il faut des nameservers personnalisés

Les nameservers personnalisés servent surtout aux environnements qui veulent utiliser un nom de serveur sous leur propre domaine, par exemple ns1.exemple.fr. D’après la documentation Cloudflare, chaque nom reçoit alors une adresse IPv4 et une adresse IPv6, ce qui est justement le point intéressant ici: l’IPv6 n’est pas un ajout cosmétique, elle fait partie de la mécanique de délégation.

Dans ce scénario, il faut penser à trois choses en même temps:

• Le nom du nameserver doit être un FQDN, c’est-à-dire un nom complet comme ns1.exemple.fr.
• Le domaine qui porte ce nameserver doit publier les enregistrements A et AAAA correspondant aux adresses attribuées.
• Le registrar doit disposer des glue records, sinon la résolution peut boucler sur elle-même et échouer.

Un glue record est simplement une adresse IP publiée au niveau du registrar pour qu’un résolveur sache où joindre le nameserver sans devoir d’abord résoudre ce même nameserver. Sans cette information, la chaîne de résolution peut se casser au pire moment, c’est-à-dire lors de l’accès initial au domaine.

En pratique, ce chemin s’adresse surtout à des comptes Business ou Enterprise, ou à des cas très particuliers. Pour un site classique, les nameservers standard suffisent largement. Pour une architecture plus avancée, en revanche, c’est la bonne méthode, à condition de ne pas mélanger plusieurs modèles de nameservers dans la même zone.

Cette logique côté domaine étant clarifiée, on peut passer à l’autre versant du sujet: le DNS sur un réseau Wi‑Fi domestique ou sur une box Internet.

Régler une box ou un routeur Wi‑Fi avec les DNS IPv6 de Cloudflare

Si votre objectif est d’améliorer le DNS de toute la maison, ce n’est plus la délégation du domaine qu’il faut toucher, mais le résolveur configuré sur la box ou le routeur. Dans ce cas, les adresses IPv6 à utiliser sont celles du service public 1.1.1.1, et Cloudflare indique qu’elles fonctionnent aussi avec DNS over TLS sur le port 853.

Pour un réseau domestique en France, je conseille en général de commencer par le résolveur standard, puis d’activer un filtrage seulement si vous avez un vrai besoin. Cela évite de transformer un réglage réseau simple en usine à gaz. Sur une box, la configuration profite à tous les appareils du Wi‑Fi; sur un téléphone, l’effet dépend davantage du réseau utilisé et du mode de connexion.

Cloudflare prend aussi en charge le chiffrement du DNS, via DoT ou DoH, ce qui limite l’interception et la modification des requêtes. Sur un routeur moderne, c’est un vrai plus, surtout si vous voulez garder le DNS lisible pour vous mais moins visible pour les intermédiaires du réseau.

Vérifier la propagation et le bon fonctionnement

Je vérifie toujours la configuration avec des commandes simples avant de conclure que “ça ne marche pas”. C’est souvent plus rapide que de cliquer dans trois tableaux de bord. L’idée est de regarder si la délégation, les adresses et la résolution IPv6 répondent bien comme prévu.

dig NS exemple.fr
dig AAAA ns1.exemple.fr
dig @2606:4700:4700::1111 exemple.fr AAAA

La première commande confirme quels nameservers sont effectivement publiés. La deuxième vérifie que le nameserver personnalisé possède bien son enregistrement IPv6. La troisième teste la résolution du domaine via un résolveur Cloudflare joignable en IPv6.

• Si les anciens NS apparaissent encore, la délégation chez le registrar n’est pas terminée ou un cache retient encore l’ancienne valeur.
• Si le AAAA du nameserver manque, la configuration du nameserver personnalisé est incomplète.
• Si le domaine répond en IPv4 mais pas en IPv6, le problème peut venir de la zone, du routage ou de la connexion locale.

Quand je soupçonne un souci sur le Wi‑Fi plutôt que sur le DNS, je teste aussi depuis une autre connexion, par exemple un réseau mobile. Cela permet de savoir en quelques minutes si le blocage vient de la box, du fournisseur d’accès ou de la zone DNS elle-même.

Les pièges que je rencontre le plus souvent

Les erreurs sont rarement spectaculaires; elles sont surtout cohérentes avec un mauvais niveau de lecture du problème. Voici celles qui reviennent le plus:

• Modifier les DNS dans Cloudflare sans changer les NS chez le registrar.
• Confondre le résolveur public 1.1.1.1 avec les serveurs de noms autoritatifs du domaine.
• Oublier le couple A + AAAA pour un nameserver personnalisé.
• Ne pas créer les glue records au niveau du registrar quand ils sont nécessaires.
• Activer DNS64 sur un réseau qui n’est pas réellement IPv6-only.
• Attendre un comportement IPv6 correct alors que la box ou l’ISP ne fournit pas encore de connectivité IPv6 stable.

Sur le dernier point, il faut être lucide: si votre accès Internet ne transporte pas correctement l’IPv6, le DNS peut être parfaitement configuré et malgré tout sembler instable du point de vue de l’utilisateur. Ce n’est pas un bug Cloudflare, c’est un problème de couche réseau.

Je garde aussi en tête une limite importante: DNS64 peut aider sur un réseau IPv6-only, mais il ne reconstruit pas les signatures DNSSEC des enregistrements synthétisés. En clair, si vous ajoutez cette couche de traduction, il faut comprendre pourquoi elle existe et ne pas lui demander de garantir ce qu’elle ne peut pas garantir.

Le réglage que je recommande selon votre cas

Si je devais résumer la stratégie la plus propre, je la formulerais ainsi: choisissez le bon niveau d’action, puis ne touchez qu’à ce niveau-là. C’est ce qui évite les configurations bancales et les diagnostics interminables.

• Pour un site ou un domaine classique: utilisez les nameservers standard de Cloudflare et changez la délégation chez le registrar.
• Pour un domaine qui doit exposer ses propres nameservers: passez par les nameservers personnalisés, créez les A/AAAA et ajoutez les glue records.
• Pour un Wi‑Fi domestique: configurez le routeur avec les adresses IPv6 du résolveur 1.1.1.1 et, si besoin, la variante Families.
• Pour un réseau IPv6-only: vérifiez d’abord NAT64 et n’activez DNS64 que si l’architecture le justifie vraiment.

Le bon réflexe consiste à tester une seule couche à la fois: d’abord la délégation DNS, ensuite la résolution depuis IPv6, puis seulement les options de chiffrement ou de filtrage. C’est la méthode la plus simple pour obtenir une configuration Cloudflare propre, stable et utile au quotidien sur un réseau Wi‑Fi comme sur un domaine public.