Pourquoi auto-héberger Pi-hole sur un VPS
La plupart des guides Pi-hole supposent un Raspberry Pi sur votre réseau local. Un VPS change radicalement l'équation : votre DNS bloqueur est joignable depuis n'importe quel appareil, n'importe où dans le monde. Configurez votre smartphone en déplacement pour pointer vers votre VPS, et les publicités disparaissent y compris sur les réseaux mobiles et les Wi-Fi publics.
Bénéfices concrets de Pi-hole sur VPS
- Protection universelle : couvre tous vos appareils (PC, téléphones, tablettes) sans configuration par appareil
- Réduction de la bande passante : les requêtes bloquées ne consomment aucun octet de téléchargement
- Logs DNS centralisés : visibilité complète sur les domaines contactés par chaque appareil
- Indépendance vis-à-vis des FAI : votre DNS ne transite plus par le résolveur de votre opérateur
- Blocage des traceurs IoT : les objets connectés ne peuvent pas contacter leurs serveurs de télémétrie
- Personnalisable : ajoutez vos propres règles, whitelistez ce dont vous avez besoin, choisissez vos listes
Pi-hole v5 vs Pi-hole v6 : ce qui a changé
Pi-hole v5 vs v6
Faites défiler le tableau
| Critère | Pi-hole v5 | Pi-hole v6 (2025) |
|---|---|---|
| Interface web | PHP + lighttpd | Application intégrée dans FTL, sans lighttpd |
| Moteur DNS | dnsmasq séparé | FTL unifié (Faster Than Light) embarque le DNS |
| API | API limitée, clé dans l'URL | API REST complète avec authentification par token |
| Configuration | Fichiers /etc/pihole/* | Fichier TOML unique pihole.toml |
| Installation | Script curl | bash | Script curl | bash (identique, même URL) |
| Docker | Image pihole/pihole | Image pihole/pihole (mise à jour, même nom) |
La migration de v5 vers v6 se fait via le script d'installation habituel lancé sur un système déjà en v5 : Pi-hole détecte la version existante et propose la mise à jour. La configuration est automatiquement convertie au format TOML. Si vous partez de zéro, installez directement la v6.
Prérequis techniques
Ce dont vous avez besoin
- Un VPS sous Ubuntu 22.04/24.04 ou Debian 12 avec au moins 512 Mo de RAM (1 Go recommandé)
- Une adresse IPv4 statique et idéalement une adresse IPv6
- Accès SSH root ou sudo
- Le port 53 (TCP et UDP) ouvert dans le pare-feu du VPS et chez votre hébergeur
- Port 80 ou 443 pour l'interface web (optionnel, mais recommandé avec HTTPS)
Déployer Pi-hole pas à pas
Installation complète sur Ubuntu/Debian
Désactiver le stub resolver de systemd-resolved
Installer Pi-hole
Configurer le pare-feu
Vérifier le fonctionnement
Pointer vos appareils vers le VPS
Accéder à l'interface web
Ajouter des listes de blocage recommandées
Pi-hole est livré avec une liste de base. Pour un blocage efficace, ajoutez des listes communautaires éprouvées depuis le menu Adlists de l'interface web (dans Group Management → Adlists).
Listes recommandées
- StevenBlack Unified (publicités + traceurs) : https://raw.githubusercontent.com/StevenBlack/hosts/master/hosts — la référence, ~100 000 domaines
- OISD Big : https://big.oisd.nl — liste agressive mais peu de faux positifs, ~500 000 domaines
- Firebog Ticked (coche verte uniquement) : visitez firebog.net et ajoutez uniquement les listes cochées en vert pour minimiser les faux positifs
- HaGeZi Multi PRO : https://raw.githubusercontent.com/hagezi/dns-blocklists/main/adblock/pro.txt — excellente couverture malwares
- Perflyst Smart-TV : pour bloquer la télémétrie des téléviseurs connectés
Après avoir ajouté des listes, cliquez sur Tools → Update Gravity (ou lancez pihole -g en SSH) pour télécharger et compiler toutes les listes. L'opération peut prendre 1 à 3 minutes selon le nombre de listes. Pi-hole reste fonctionnel pendant la mise à jour.
Gérer les faux positifs et le whitelisting
Un blocage trop agressif finit par casser des services légitimes. Pi-hole fournit des outils de diagnostic précis pour identifier et corriger les faux positifs sans affaiblir votre protection.
Diagnostiquer et corriger un faux positif
Identifier le domaine bloqué
Ajouter au whitelist
Whitelist en ligne de commande
Cas courants de faux positifs
Résoudre les conflits Docker et le port 53
Si votre VPS fait tourner des conteneurs Docker, vous rencontrerez un second problème : Docker crée son propre résolveur DNS interne qui peut aussi écouter sur le port 53. Voici comment cohabiter.
Résoudre les conflits Docker DNS
Désactiver le DNS Docker sur l'hôte
Pi-hole lui-même dans Docker
Vérifier qu'aucun autre processus n'écoute
Pi-hole + Unbound : récursion DNS complète sans tiers
Par défaut, Pi-hole transfère les requêtes non bloquées vers un résolveur public (Cloudflare 1.1.1.1, Google 8.8.8.8). Ce résolveur voit alors l'ensemble de vos requêtes DNS. Unbound résout ce problème en interrogeant directement les serveurs racine et d'autorité — sans intermédiaire.
Installer et configurer Unbound
Installer Unbound
Créer la configuration Pi-hole + Unbound
Pointer Pi-hole vers Unbound
Vérifier la récursion
Surveiller les métriques Pi-hole
Le tableau de bord Pi-hole v6 affiche les métriques clés en temps réel. Voici comment les interpréter et ce qu'il faut surveiller.
Métriques importantes et valeurs de référence
- Taux de blocage (Ads blocked today) : entre 10 % et 30 % est normal. Un taux en dessous de 5 % suggère que vos listes sont incomplètes. Un taux supérieur à 40 % peut signaler trop de faux positifs.
- Queries/24h : donne une idée de la charge. Un réseau familial génère typiquement 5 000 à 50 000 requêtes par jour.
- Top Blocked Domains : si un domaine publicitaire revient en tête chaque jour, c'est que l'application correspondante est particulièrement intrusive.
- Top Clients : identifiez les appareils les plus bavards — les objets IoT sont souvent en tête.
- DNS cache size : en v6, FTL gère le cache interne. Un hit rate élevé (>60 %) réduit la latence perçue.
- Query Types : un volume anormal de requêtes PTR (résolution inverse) peut indiquer un scan réseau ou un logiciel mal configuré.
Pour exporter les métriques vers Grafana ou Prometheus, Pi-hole v6 expose une API REST sur /api/metrics. Un exporter communautaire (pihole-exporter) permet d'intégrer Pi-hole dans un tableau de bord existant sans modifier la configuration Pi-hole.
Sauvegarder et restaurer la configuration Pi-hole
Une sauvegarde régulière de Pi-hole est essentielle : elle préserve vos listes personnalisées, votre whitelist, vos groupes et la configuration DNS, que vous ne voudrez pas reconfigurer manuellement après une migration ou une réinstallation.
Sauvegarde et restauration
Créer une sauvegarde Teleporter
Automatiser la sauvegarde
Restaurer depuis une sauvegarde
Sauvegarder la configuration Unbound
Hébergez vos sauvegardes hors du VPS : copiez-les vers un bucket S3, un serveur distant ou votre poste local. Si votre VPS devient inaccessible, vous pourrez reconfigurer Pi-hole sur un nouveau serveur en quelques minutes en important simplement le fichier Teleporter.
