AdGuard Home ou Pi-hole : quel bloqueur DNS choisir pour protéger son réseau domestique ?

Bloquer les publicités et les trackers pour tout un réseau, sans installer la moindre extension sur chaque appareil, repose sur un principe simple : un serveur DNS qui, plutôt que de résoudre normalement les domaines publicitaires connus, les envoie dans une impasse. Chaque téléphone, télévision connectée ou objet IoT du foyer en bénéficie automatiquement dès qu'il reçoit ce serveur DNS via le routeur ou le DHCP. Deux projets open source dominent ce terrain : Pi-hole et AdGuard Home.

Pi-hole, le vétéran

Pi-hole est le plus ancien des deux, et de loin le plus installé. Lancé en 2014 pour tourner sur un Raspberry Pi (d'où son nom), il repose sur FTL (« Faster-Than-Light »), un moteur DNS écrit en C, complété d'un tableau de bord web. Le projet — plus de 60 000 étoiles GitHub et 3 200 forks à la mi-août 2026 — est distribué sous licence EUPL (licence publique de l'Union européenne), moins courante que la GPL mais tout aussi libre.

AdGuard Home, plus récent

AdGuard Home, développé par l'éditeur du même nom, est arrivé plus tard, en 2016. Écrit en Go, il se distribue comme un binaire unique embarquant son propre serveur web — aucune dépendance externe à installer ou à maintenir séparément. Le projet totalise plus de 36 000 étoiles GitHub et 2 400 forks, sous licence GPL-3.0.

Le chiffrement DNS, la vraie différence

La vraie différence technique se joue sur le chiffrement DNS. AdGuard Home sert et interroge nativement le DNS chiffré — DNS-over-HTTPS, DNS-over-TLS, DNS-over-QUIC, DNSCrypt — sans aucun outil supplémentaire. Pi-hole, même après sa grosse refonte de 2025, n'a toujours pas de support natif du DNS chiffré en amont : la documentation officielle du projet recommande de s'appuyer sur un outil tiers, cloudflared, en mode proxy DNS. Or Cloudflare a annoncé le 11 novembre 2025 la suppression de cette commande proxy-dns des futures versions de cloudflared, effective depuis le 2 février 2026, en raison d'une vulnérabilité dans une bibliothèque DNS sous-jacente — ce qui oblige désormais les utilisateurs de Pi-hole à se tourner vers Unbound ou dnscrypt-proxy pour obtenir la même chose.

Les deux proposent un serveur DHCP intégré et un filtrage différencié par appareil — un point souvent présenté à tort comme exclusif à AdGuard Home. Pi-hole y arrive tout aussi bien via sa « gestion de groupes » (associer clients et listes de blocage à un même groupe), quand AdGuard Home l'expose plus directement dans les réglages de chaque client. Fonctionnellement, l'écart est faible ; c'est surtout l'ergonomie qui diffère.

Pi-hole conserve l'écosystème de listes de blocage communautaires le plus riche du secteur.

Pi-hole v6, la plus grosse refonte

Pi-hole v6, sorti le 18 février 2025, reste la plus grosse refonte de l'histoire du projet : un serveur web (CivetWeb) et une API REST intégrés directement au binaire pihole-FTL, la dépendance à lighttpd et PHP supprimée, et toute la configuration centralisée dans un unique fichier TOML. L'empreinte du projet s'en trouve nettement réduite — mais l'interface d'AdGuard Home reste, de l'avis largement partagé dans la communauté de l'auto-hébergement, plus intuitive et mieux finie.

Le choix, au fond, dépend de la priorité recherchée : la maturité, la communauté et l'écosystème de blocklists pour Pi-hole ; le chiffrement DNS natif et une administration plus autonome pour AdGuard Home, d'autant plus depuis que sa principale solution de contournement vient de perdre son support officiel. Les deux se déploient de la même façon — un conteneur, une adresse IP fixe pointée depuis le routeur ou le DHCP — et rien n'empêche de tester l'un puis l'autre avant de trancher pour de bon.

C'est typiquement le genre de choix qui gagne à être fait en connaissance de cause plutôt qu'au hasard d'un guide trouvé en ligne — et à être déployé derrière une configuration réseau qui ne casse rien le jour où le DNS tombe, ce qui fait partie de l'accompagnement proposé ici.