Bloquer la publicité de toute la maison avec AdGuard Home

Sur un ordinateur, la publicité se règle en cinq minutes : on installe un bloqueur dans le navigateur et on n'y pense plus. Le problème commence partout ailleurs. Le téléviseur affiche des bandeaux dans son menu d'accueil. Le jeu gratuit sur la tablette des enfants coupe toutes les deux minutes. Le téléphone d'un invité n'a rien du tout. Sur ces appareils, il n'existe aucune extension à installer, et bien souvent aucun réglage.

AdGuard Home est un petit service que vous faites tourner chez vous et par lequel passent toutes les demandes d'adresses de votre réseau. Il filtre une fois, pour tout le monde, y compris pour les appareils sur lesquels vous ne pouvez rien installer.

Ce guide montre l'outil. Le raisonnement commun à tout service hébergé chez soi, ce qu'il coûte réellement, la sauvegarde, et l'accès depuis l'extérieur, est traité par le cours Héberger ses services chez soi.

Le mécanisme, en une minute

Avant de joindre un site, un appareil doit traduire son nom en adresse. C'est le rôle du DNS (l'annuaire du réseau, celui qui traduit un nom de site en une adresse numérique joignable). Votre téléviseur ne sait pas où se trouve pub.exemple-regie.com : il le demande, et on lui répond.

AdGuard Home se place exactement à cet endroit. Il devient l'annuaire du réseau. Quand la demande concerne un site normal, il répond normalement. Quand elle concerne un domaine connu pour servir de la publicité ou du pistage, il répond que ce nom n'existe pas. L'appareil n'a alors aucune adresse à contacter, et la publicité n'est jamais téléchargée.

sequenceDiagram
    participant TV as Televiseur
    participant AG as AdGuard Home
    participant Net as Annuaire public
    TV->>AG: Ou joindre site-de-films.fr ?
    AG->>Net: Ou joindre site-de-films.fr ?
    Net-->>AG: A cette adresse
    AG-->>TV: A cette adresse
    TV->>AG: Ou joindre pub.regie-exemple.com ?
    AG-->>TV: Ce nom n existe pas
    Note over TV: Rien a telecharger,<br/>la publicite n apparait pas

Retenez ce schéma : il explique aussi tout ce qui pourra mal tourner ensuite. Un site cassé, c'est un nom légitime bloqué par erreur. Une maison sans Internet, c'est plus personne pour répondre à la question.

À lire avant d'installer : ce que vous mettez au centre de votre réseau

Faire pointer la box sur AdGuard Home, c'est rendre toute la maison dépendante d'une machine. Tant qu'elle tourne, tout va bien. Le jour où elle s'arrête, où vous la débranchez pour faire de la place, où une mise à jour la laisse en carafe, voici ce qui se passe.

Le Wi-Fi fonctionne. Les appareils sont connectés. La box est verte. Et pourtant plus aucun site ne s'ouvre, sur aucun appareil, y compris ceux de personnes qui n'ont jamais entendu parler de votre projet. Plus personne ne peut traduire un nom en adresse, donc plus personne ne joint quoi que ce soit.

C'est la panne la plus pénible du sujet, parce que tous les signaux visibles disent que le réseau va bien. Et c'est généralement à ce moment-là que vous êtes en déplacement.

Donc : un résolveur de secours dans la box n'est pas une option, c'est une condition d'installation. La plupart des gens n'en déclarent qu'un seul, et c'est exactement ce qui transforme un service arrêté en panne générale du foyer.

Poser ce secours, et la contrepartie à accepter

Dans les réglages réseau de votre box, le champ des serveurs de noms accepte presque toujours deux valeurs : un principal et un secondaire. Vous mettrez l'adresse locale d'AdGuard Home en principal. La question est ce que vous mettez en secondaire.

Trois réponses, par ordre de qualité :

1. Une seconde instance d'AdGuard Home, sur une autre machine déjà allumée en permanence. Le filtrage reste entier même quand la première tombe. C'est la bonne réponse si vous avez deux machines sous la main.
2. Un résolveur public en secours. La maison ne tombe jamais, mais il faut savoir ce que cela coûte : les appareils n'utilisent pas le secondaire seulement en cas de panne, certains l'interrogent aussi quand cela les arrange. Une partie du trafic échappe donc au filtrage, en permanence, et vous verrez passer des publicités de temps en temps sans comprendre pourquoi.
3. Aucun secours, filtrage parfait, et une panne totale le jour où la machine s'arrête. Ce choix ne se tient que si vous savez remettre l'ancien réglage dans la box en deux minutes, et si les autres habitants savent le faire aussi, sans vous.

Le compromis honnête pour une maison ordinaire est le numéro 2 : quelques publicités qui passent valent mieux qu'un foyer hors ligne pendant une semaine de vacances. Si la disparition complète des publicités compte davantage pour vous que la tranquillité, prenez le numéro 1, jamais le 3.

Sur quoi le faire tourner

AdGuard Home demande très peu : il répond à des questions courtes toute la journée, il ne calcule rien de lourd. Trois options réalistes :

• Un micro-ordinateur dédié, du type de ceux qui tiennent dans la main, allumé en permanence pour quelques euros d'électricité par an. C'est le choix le plus répandu.
• Une machine déjà allumée chez vous en continu : un boîtier de stockage réseau, un petit serveur existant. Aucun matériel à acheter.
• Un conteneur sur une machine qui en fait déjà tourner d'autres, si vous avez déjà cette habitude.

Le choix de la machine, son coût réel sur trois ans et sa sauvegarde sont traités par le cours Héberger ses services chez soi. Un point le concernant directement : la configuration d'AdGuard Home se reconstruit en une demi-heure, donc l'enjeu de sauvegarde est faible ici. C'est la dépendance du réseau à cette machine qui compte, pas ses données.

Un impératif, en revanche : cette machine doit avoir une adresse fixe sur votre réseau. L'adresse IP (le numéro qui identifie une machine sur le réseau local) est ce que vous allez inscrire dans la box. Si elle change après une coupure de courant, la box désigne un serveur de noms qui n'existe plus, et vous retombez exactement sur la panne décrite plus haut. Fixez cette adresse depuis la box, dans la section qui attribue les adresses aux appareils.

Installer

L'installation tient en trois temps, et aucun n'est le moment important.

1. Poser le service sur la machine choisie, en suivant la procédure officielle du projet correspondant à votre système. Elle est courte.
2. Ouvrir l'assistant de première configuration depuis un navigateur, sur l'adresse de la machine suivie de :3000. Par exemple http://192.168.1.50:3000.
3. Créer le compte administrateur avec un mot de passe long et unique. Cette interface décide de ce que voit toute la maison : elle ne se protège pas avec admin.

À la fin de l'assistant, AdGuard Home fonctionne et ne sert strictement à rien : aucun appareil ne lui parle encore.

L'étape que presque tout le monde rate

Installer AdGuard Home ne filtre rien. Tant que vos appareils continuent de demander leurs adresses au serveur de votre opérateur, votre nouveau service regarde passer les trains. C'est ici que les gens abandonnent en concluant que « ça ne marche pas ».

Il faut dire à la box de distribuer AdGuard Home comme serveur de noms à tous les appareils qui se connectent. Le réglage se trouve dans l'interface d'administration de votre box, dans la partie réseau local, à l'endroit qui gère la distribution automatique des adresses. Le champ cherché s'appelle selon les marques serveur DNS, DNS primaire, ou serveurs de noms, et il est parfois masqué derrière un mode avancé ou expert.

Les libellés et l'emplacement exacts changent d'un opérateur à l'autre, et d'une mise à jour à l'autre : cherchez l'intention, pas le mot. Vous cherchez l'endroit où la box annonce aux appareils quel annuaire utiliser.

Vous y inscrivez l'adresse fixe de votre machine en principal, et votre secours en secondaire.

Ce réglage ne s'applique pas tout de suite. Chaque appareil garde ses réglages réseau jusqu'à leur renouvellement. Redémarrez la box, puis les appareils que vous voulez tester, sinon vous conclurez trop vite à un échec.

Si votre box refuse de laisser modifier ce champ, ce qui arrive avec certains modèles d'opérateur, il reste la solution de renseigner l'adresse d'AdGuard Home appareil par appareil dans leurs réglages Wi-Fi. C'est moins pratique, mais cela fonctionne, et cela permet au moins de couvrir le téléviseur et les tablettes.

Vérifier que ça passe vraiment par lui

Une seule preuve compte, et elle est dans l'interface d'AdGuard Home : le tableau de bord affiche le nombre de requêtes reçues et le journal des dernières demandes.

Naviguez quelques minutes sur un téléphone connecté au Wi-Fi, puis regardez ce journal. Si vous y voyez apparaître les noms de sites que vous venez de visiter, le chemin est bon. Si le compteur reste à zéro alors que tout le monde navigue, c'est que le réglage de la box n'a pas pris, ou que les appareils n'ont pas renouvelé leur configuration.

Les listes par défaut suffisent

AdGuard Home arrive avec une liste de blocage activée, et l'on peut en ajouter des dizaines d'autres en un clic. C'est très tentant, et c'est la deuxième grande erreur du sujet.

N'en ajoutez pas. Les listes se recouvrent massivement : la dixième liste apporte quelques centaines de domaines que les neuf premières bloquaient déjà, pour un gain que vous ne percevrez jamais. En revanche, chaque liste supplémentaire augmente la probabilité qu'un domaine parfaitement légitime soit bloqué par erreur, et vous découvrirez le problème plusieurs semaines plus tard, sous la forme d'un site de banque qui ne finit plus de charger ou d'une application de livraison qui reste bloquée sur son écran de chargement.

La configuration par défaut retire l'immense majorité des publicités. Le reste du gain est marginal, le coût en pannes inexplicables ne l'est pas.

Débloquer un site cassé, avant d'en avoir besoin

Apprenez ce geste maintenant. Le jour où quelqu'un ne peut plus payer en ligne ou valider un formulaire, vous n'aurez pas envie de découvrir l'interface.

Le symptôme typique n'est pas une page d'erreur : c'est un site qui s'affiche mais dont un bouton ne fait rien, une image qui ne vient jamais, un paiement qui n'aboutit pas. Une partie de la page a été bloquée.

La marche à suivre, dans l'ordre :

1. Ouvrez le journal des requêtes d'AdGuard Home pendant que la personne réessaie.
2. Repérez les lignes marquées comme bloquées dans les secondes qui viennent de s'écouler. Le nom qui pose problème saute aux yeux : il ressemble au site visité, ou au nom de son prestataire de paiement.
3. Autorisez ce nom, soit depuis le journal, soit en l'ajoutant à la liste des exceptions dans les règles de filtrage.
4. Faites réessayer. Si l'appareil garde l'ancienne réponse en mémoire quelques minutes, un redémarrage de l'application ou de l'appareil tranche la question.

Deux précautions. Autorisez le nom précis, pas tout un domaine large « au cas où ». Et gardez une trace de ce que vous avez autorisé, sinon dans six mois vous ne saurez plus pourquoi une exception existe.

Sachez enfin reconnaître ce qui n'est pas de votre ressort : si la page ne s'ouvre sur aucun appareil et que le journal ne montre aucun blocage, cherchez ailleurs. La fiche Le DNS ne résout plus traite la résolution de nom en panne de façon générale.

Ce que ce filtrage ne fera pas

Trois limites, à connaître pour ne pas être déçu.

Les publicités servies par le site lui-même. Quand la publicité arrive depuis la même adresse que le contenu, la bloquer reviendrait à bloquer le site. Les grandes plateformes vidéo fonctionnent ainsi : elles ne seront pas nettoyées par cette méthode.

Les applications qui emportent leur propre annuaire. Certaines applications et certains navigateurs ne demandent plus les adresses au réseau, ils les demandent directement à un service extérieur, par un canal chiffré. Ils passent donc à côté du filtre. C'est réglable navigateur par navigateur en désactivant cette option, mais pas partout.

Le réseau mobile. Dès que le téléphone quitte votre Wi-Fi, il ne bénéficie plus de rien. AdGuard Home protège un lieu, pas un appareil.

Et si l'idée d'y accéder depuis l'extérieur vous vient : ne cherchez pas de recette d'ouverture dans votre box. Le chapitre du cours Héberger ses services chez soi consacré à l'accès à distance explique pourquoi un annuaire de noms ouvert sur Internet est l'un des services les plus dangereux à exposer, et quelles options prendre à la place.

Erreurs fréquentes

• Installer, ne pas régler la box, et conclure que l'outil ne sert à rien. Aucun filtrage n'a lieu tant que ce réglage n'est pas fait, puis propagé par un redémarrage.
• Laisser l'adresse de la machine changer toute seule. Après une coupure de courant, la box pointe vers une adresse qui ne répond plus, et la maison entière perd Internet sans raison apparente.
• Empiler dix listes de blocage le premier soir. Le gain est invisible, et les pannes qu'elles provoquent arriveront des semaines plus tard, quand vous aurez oublié le lien de cause à effet.
• Ne pas prévenir les autres habitants. Ils doivent savoir qu'un site cassé peut venir du filtre, et à qui le dire, sinon ils s'en accommodent en silence ou accusent leur téléphone.

À retenir

• Le filtrage se fait sur la traduction des noms en adresses : l'appareil demande où joindre un serveur publicitaire et n'obtient aucune réponse.
• L'étape qui compte n'est pas l'installation, c'est le réglage de la box qui envoie tous les appareils vers AdGuard Home.
• Vous placez une dépendance au centre du foyer : le résolveur de secours dans la box est obligatoire, et l'adresse de la machine doit être fixe.
• Les listes par défaut suffisent. Empiler les listes casse des sites sans rien bloquer de plus.
• Savoir débloquer un nom depuis le journal des requêtes fait partie de l'installation, pas du dépannage.

Mini-exercice

Sans rien installer, ouvrez l'interface d'administration de votre box et trouvez l'écran qui gère la distribution automatique des adresses sur le réseau local. Repérez le champ des serveurs de noms et notez les deux valeurs qui s'y trouvent aujourd'hui.

Vous venez de localiser le seul réglage qui compte vraiment, et de sauvegarder la configuration d'origine. Si un jour la maison perd Internet à cause de cette machine, ces deux valeurs remises en place rétablissent tout en deux minutes.