Pi-hole niveau 2 : filtrage sur mesure, appareil par appareil

Dans l’article précédent sur Pi-hole, tu as monté un bloqueur qui filtre tout ton réseau. Un seul service, un seul mur — et ce mur est rigoureusement identique pour tous les appareils de la maison. Le téléphone, la télé, l’ordinateur du télétravail, la tablette des enfants : même filtrage pour tout le monde.

C’est le bon point de départ. C’est aussi sa limite.

Parce qu’un mur unique, c’est un compromis permanent. Si tu le serres trop, ta smart TV refuse de lancer Netflix parce que sa télémétrie est bloquée, et c’est toi qu’on vient engueuler. Si tu le desserres pour que la télé fonctionne, tu desserres aussi pour tout le reste. Tu finis coincé au milieu, à viser un réglage « moyen » qui ne convient parfaitement à personne.

Dans cet article, on passe du mur unique au filtrage sur mesure, appareil par appareil. L’appareil des enfants gagne un filtrage renforcé — réseaux sociaux, contenus adultes, jeux d’argent. La smart TV est sortie du filtrage pour qu’elle arrête de râler. Tout le reste garde un blocage solide. Trois politiques différentes, un seul Pi-hole.

Un mot de vocabulaire, parce qu’il prête à confusion. Pi-hole n’a pas de « comptes utilisateurs » : il n’existe qu’un seul accès admin.

Ce qu’il sait faire :

• c’est reconnaître tes appareils (qu’il appelle des clients),

• les ranger dans des groupes,

• et appliquer des règles différentes à chaque groupe.

Quand je parlerai de filtrer « les enfants » ou « le télétravail », il s’agira toujours d’appareils rangés dans un groupe — pas d’un identifiant et d’un mot de passe par personne. Côté appareil, il n’y a rien à installer.

On va aussi soigner deux choses que l’installation de base laisse de côté. D’abord, choisir les bonnes blocklists. Pas en empiler dix bêtement ; plus de listes ne veut pas dire mieux filtré. Ensuite, verrouiller l’accès à l’interface admin avec une double authentification. La même logique que sur Proxmox.

Ce qu’il te faut avant de commencer. Un Pi-hole déjà installé et fonctionnel ; si ce n’est pas le cas, l’article précédent te guide pas à pas. On travaille sur Pi-hole v6, la version actuelle. Et c’est tout : aucun matériel supplémentaire, tout se passe dans l’interface web que tu connais déjà.

Étape 1 — Sache qui est qui sur ton réseau

Avant de filtrer différemment chaque appareil, il faut pouvoir les reconnaître. Et là, premier obstacle : par défaut, Pi-hole ne connaît tes appareils que par leur adresse IP.

Ouvre ton dashboard, va dans le query log. Tu vois des lignes comme 192.168.70.37 ou 192.168.70.52. Bon courage pour deviner laquelle est la tablette des enfants et laquelle est ta télé. Tant que tu raisonnes en numéros, tu groupes à l’aveugle.

On règle ça à la source : là où les adresses sont distribuées, tu vas identifier chaque appareil et lui donner une identité qui ne bouge plus.

Identifie tes appareils, et fige leur adresse

Tu n’as pas besoin que Pi-hole devine les noms. L’équipement le mieux placé pour te dire qui est qui, c’est celui qui distribue les adresses sur ton réseau, cela dépend de ta situation :

• ta box,

• ton routeur,

• ou ton pare-feu si tu en as un (OPNsense, pfSense…). C’est lui qui tient la liste de tout ce qui est connecté.

Connecte-toi à son interface web et ouvre la table des baux DHCP. Selon le matériel, ça s’appelle

• « Appareils connectés »,

• « DHCP »,

• « Baux »

• ou « Leases ». Tu y trouves, pour chaque appareil : son nom, son adresse MAC, et l’IP qu’il utilise en ce moment.

Les captures de cet article viennent de mon propre réseau, découpé en VLAN — d’où des adresses en 192.168.70.x plutôt que le classique 192.168.1.x des box grand public. Peu importe ton plan d’adressage : la méthode est identique, transpose simplement les valeurs à ton réseau.

Repère les appareils que tu veux traiter à part — typiquement l’appareil des enfants et ta smart TV. Note leur adresse MAC : c’est leur seule identité vraiment stable.

Vient ensuite un point crucial, sous peine de voir tout le reste dérailler en silence. Par défaut, ces adresses IP sont distribuées automatiquement, et elles peuvent changer : un appareil éteint quelques jours peut récupérer une autre adresse au retour. On appelle cela des adresses dynamiques. On va bientôt ranger ces appareils dans des groupes Pi-hole en se basant sur leur IP. Si l’IP bouge, l’appareil sort de son groupe sans prévenir, et son filtrage saute.

La parade se fait ici même, dans la même interface : réserve une IP fixe (aussi appelée IP statique) pour chaque appareil à traiter. On appelle ça une réservation DHCP, ou bail statique. Tu associes l’adresse MAC de l’appareil à une IP qui ne bougera plus jamais. Cinq minutes maintenant contre un filtrage qui déraille plus tard.

Ici j’utilise Opnsense, dans leases je clique sur le petit + à droite et cela ouvre une fenêtre pré-remplie avec l’adresse MAC. Je n’ai plus qu’ à y ajouter une IP fixe libre, valider, et le tour est joué. Cette machine gardera cette adresse tout le temps.

Note ces IP fixes et à quels appareils elles correspondent quelque part : ce sont elles qu’on utilisera à l’étape suivante pour construire les groupes.

Étape 2 — Crée tes groupes et range tes appareils

On se rend dans notre interface Pi-hole. C’est ici que tout se joue. Mais avant de cliquer, il faut comprendre comment Pi-hole raisonne. Sinon tu vas suivre des étapes sans saisir pourquoi, et le jour où un truc déraille, tu seras perdu.

Comment Pi-hole applique ses règles

Pi-hole fonctionne avec des groupes. Chaque appareil est membre d’un ou plusieurs groupes. Et un appareil subit l’addition de tout ce que contiennent ses groupes.

Il existe un groupe spécial, Default. Au départ, tous tes appareils sont dedans, et c’est lui qui porte ton filtrage actuel — celui du premier article sur Pi-hole. Tu ne peux pas le supprimer.

À partir de là, deux mouvements possibles :

• Ajouter un appareil à un groupe supplémentaire, en plus de Default. Il cumule alors le filtrage de base et ce que contient le nouveau groupe. C’est ce qu’on fera pour les enfants : la base, plus un renforcement.

• Retirer un appareil de Default pour le mettre dans un autre groupe. Il perd alors tout le filtrage de base, et ne subit plus que ce que contient son nouveau groupe. C’est ce qu’on fera pour la smart TV : on la sort de Default vers un groupe vide, donc plus aucun blocage.

Retiens cette image : Default, c’est la politique commune. Les autres groupes ajoutent ou remplacent.

Un piège à connaître tout de suite. Un appareil doit toujours être membre d’au moins un groupe. Si tu décoches Default sans rien cocher d’autre, l’appareil se retrouve dans aucun groupe — et là, il n’a plus de résolution DNS du tout. Plus d’Internet pour lui. Donc on ne décoche jamais Default sans avoir coché un autre groupe à la place.

Créer les groupes

On va créer deux groupes en plus de Default.

Dans le menu de gauche, va dans Groups. Le champ d’ajout est en haut.

Crée un premier groupe : nom Enfants, un commentaire si tu veux (« filtrage renforcé »), puis Add. Crée un second groupe : nom Sans-filtre, commentaire « TV et streaming », puis Add.

Pour l’instant ces deux groupes sont vides : ils ne contiennent ni liste ni règle. C’est normal, on les remplira à l’étape suivante.

Ranger les appareils dans les groupes

Direction le menu Clients. C’est ici qu’on associe chaque appareil à ses groupes.

Pi-hole te propose une liste déroulante des appareils qu’il a déjà vus passer (Known clients), identifiés par leur IP. Saisis directement l’IP fixe que tu as réservée à l’étape 1 : c’est l’identité la plus stable, celle qu’on a justement figée pour ça.

La smart TV — la sortir du filtrage. Ajoute ta TV comme client. Dans son assignation de groupes, décoche Default et coche Sans-filtre. Valide. À partir de maintenant, ta TV ne subit plus aucun blocage : elle est seule dans un groupe vide. Plus de télémétrie bloquée, plus d’app qui refuse de démarrer.

L’appareil des enfants — renforcer le filtrage. Ajoute la tablette (ou le téléphone) comme client. Cette fois, laisse Default coché et coche aussi Enfants. Valide. L’appareil garde tout le filtrage de base, et recevra en plus ce qu’on mettra dans le groupe Enfants.

Où on en est, honnêtement

Fais le point, parce que les deux groupes ne sont pas au même stade.

Le groupe Sans-filtre fonctionne déjà. Ta TV est sortie du filtrage, l’effet est immédiat et vérifiable. Tu peux le tester : regarde le query log filtré sur cet appareil, plus rien n’est bloqué pour lui.

Le groupe Enfants, lui, ne fait encore rien de plus. Pour l’instant, il est vide. L’appareil des enfants subit exactement le même filtrage que tout le monde. Le renforcement — réseaux sociaux, contenus adultes, jeux d’argent — viendra à l’étape suivante, quand on collera des listes thématiques sur ce groupe.

C’est la structure qui est en place. On va maintenant la remplir.

Étape 3 — Choisis de bonnes listes, et range-les par groupe

C’est le réflexe le plus répandu, et c’est une erreur : ajouter le plus de blocklists possible. On voit des configs avec quinze listes et trois millions de domaines, comme si le chiffre était un score.

Il ne l’est pas. Voici pourquoi.

Pourquoi empiler les listes ne sert à rien

Les grandes blocklists se recopient entre elles. La plupart agrègent les mêmes sources en amont. Concrètement : la liste HaGeZi qu’on va utiliser contient déjà StevenBlack, OISD et EasyList — les listes que les gens ajoutent justement « en plus ». Tu te retrouves avec les mêmes domaines en triple. Pi-hole les dédoublonne au passage, donc ça ne casse rien, mais ça ne bloque pas un domaine de plus. C’est du poids mort.

Pire : empiler des listes agressives multiplie les faux positifs. Un site qui ne charge plus, une app qui plante, un bouton de paiement qui disparaît. Et le jour où ça arrive, tu ne sais plus quelle liste parmi quinze est responsable.

La bonne approche tient en une ligne : une liste principale de qualité, plus une ou deux listes ciblées si besoin. C’est tout.

Maintenant on se rend dans la section lists, et nous n’avons plus qu’à les ajouter une par une.

La liste principale : HaGeZi Pro

Ma recommandation : HaGeZi Pro. C’est un projet open source, très activement maintenu, testé contre le top 1 million des domaines pour limiter les faux positifs. La version Pro est celle que son auteur recommande lui-même comme le meilleur équilibre entre blocage solide et navigation sans accroc — à condition qu’un admin soit là pour débloquer un domaine de temps en temps. Cet admin, c’est toi.

Voici l’adresse de la liste, au format Adblock (celui qu’attend Pi-hole) :

https://cdn.jsdelivr.net/gh/hagezi/dns-blocklists@latest/adblock/pro.txt

L’alternative, si tu veux zéro prise de tête : OISD Big. Une seule URL, maintenue par une personne, conçue avec une obsession : ne rien casser. Sa philosophie assumée, c’est « un Internet fonctionnel d’abord, le blocage ensuite ». C’est le choix idéal si tu installes Pi-hole pour quelqu’un d’autre — un parent, un proche — et que tu ne veux pas être appelé à chaque souci. Son adresse : https://big.oisd.nl. Tu choisis Pro ou OISD Big, pas les deux : OISD est déjà inclus dans HaGeZi.

Le complément sécurité : HaGeZi TIF

Une seule liste supplémentaire vaut le coup pour tout le monde : la Threat Intelligence Feeds de HaGeZi. Elle bloque les domaines connus pour diffuser du malware, héberger du phishing ou piloter des réseaux d’appareils infectés. Ce n’est plus du confort, c’est de la sécurité.

La version complète est énorme et gourmande en mémoire. Sur le petit conteneur qu’on a monté dans l’article précédent, prends la version Medium, bien plus légère et largement suffisante :

https://cdn.jsdelivr.net/gh/hagezi/dns-blocklists@latest/adblock/tif.medium.txt

Ajouter les listes et les assigner au bon groupe

Direction le menu Lists dans l’interface.

Pour chaque liste : colle son adresse dans le champ Address, mets un commentaire clair (HaGeZi Pro, HaGeZi TIF), et — c’est le point important — choisis le groupe auquel elle s’applique. Pour ces deux listes-là, on veut qu’elles couvrent tout le monde : laisse-les assignées au seul groupe Default (les enfants en hériteront, puisque leur appareil est déjà dans Default). Clique Add Blocklist.

Au passage, désactive l’ancienne liste par défaut. Souviens-toi : à l’installation, on avait activé la StevenBlack. Elle est maintenant redondante, puisque HaGeZi la contient déjà. Dans la liste de tes blocklists, repère la StevenBlack et désactive-la (le bouton d’activation sur sa ligne). On évite le doublon, on garde une config lisible.

Les listes thématiques, réservées au groupe Enfants

C’est ici que le travail de l’étape 2 paie. On va ajouter des listes qui ne s’appliqueront qu’aux enfants, sans toucher au reste de la maison.

Deux listes ciblées et consensuelles :

https://cdn.jsdelivr.net/gh/hagezi/dns-blocklists@latest/adblock/nsfw.txt
https://cdn.jsdelivr.net/gh/hagezi/dns-blocklists@latest/adblock/gambling.txt

La première bloque les contenus adultes, la seconde les sites de jeux d’argent.

Ajoute-les comme les précédentes, mais cette fois change l’assignation de groupe : décoche Default, et coche Enfants uniquement. C’est ce qui fait toute la différence. Une liste assignée à Default filtre tout le monde ; une liste assignée au seul groupe Enfants ne filtre que les appareils de ce groupe.

Pour aller plus loin côté contrôle parental. HaGeZi propose dans le même dépôt d’autres listes thématiques : réseaux sociaux, anti-piratage, blocage des moteurs de recherche qui ignorent le SafeSearch. Si tu veux les ajouter au groupe Enfants, prends leur adresse au format Adblock directement sur la page du projet. Mais garde le réflexe de la section : ajoute-les une par une, et observe ce qui casse avant d’en remettre une couche.

Appliquer : Update Gravity

Rien de ce que tu viens d’ajouter n’est actif tant que tu n’as pas reconstruit la base. Comme dans l’article précédent : menu Tools, puis Update Gravity, et le gros bouton Update. Pi-hole télécharge toutes les listes et fusionne leurs domaines.

Quand le Success s’affiche, ta nouvelle configuration est en place. Récapitulons ce que chaque appareil subit désormais :

• Tout le monde (groupe Default) : HaGeZi Pro + TIF Medium. Blocage solide, sécurité comprise.

• L’appareil des enfants (Default + Enfants) : tout ça, plus le blocage des contenus adultes et des jeux d’argent.

• La smart TV (Sans-filtre seul) : rien. Elle résout tout, elle ne râle plus.

Trois politiques, un seul Pi-hole. C’est exactement ce qu’on visait.

Étape 4 — Débloque ce qui casse : allowlist et denylist

Un filtrage agressif finit toujours par casser quelque chose. Un site qui ne charge plus, une app qui tourne dans le vide, un bouton de connexion mort. C’est normal, et ce n’est pas une raison pour tout désactiver.

La plupart des gens, face à un site cassé, coupent Pi-hole en entier. C’est jeter le filtrage pour un seul domaine. La bonne réaction, c’est l’inverse : trouver le domaine coupable, et l’autoriser chirurgicalement. Cette étape t’apprend à le faire.

Trouver le coupable dans le query log

Quand quelque chose casse, le journal des requêtes te dit exactement quel domaine a été bloqué au mauvais moment.

Va dans le menu Query Log. Tu vois la liste des requêtes en temps réel, avec leur statut. Les lignes en rouge sont les requêtes bloquées. Reproduis le problème — recharge le site cassé, relance l’app — puis regarde quels domaines viennent d’être bloqués juste après.

Souvent, le coupable saute aux yeux : un domaine au nom proche du service que tu utilises. C’est lui qu’on va autoriser.

Autoriser un domaine : l’allowlist

C’est le geste de réparation numéro un. Une entrée sur l’allowlist a la priorité absolue : le domaine passe, même s’il est présent dans toutes tes blocklists.

Deux façons de faire. La plus rapide : depuis le query log, à côté de la ligne bloquée, un bouton permet de l’autoriser directement. La plus propre : va dans le menu Domains, saisis le domaine, choisis le type Exact et l’action Allow, ajoute un commentaire qui explique pourquoi (débloque la connexion à tel service), puis Add.

Le commentaire n’est pas décoratif. Dans six mois, face à une liste d’exceptions, tu seras content de savoir pourquoi tu as autorisé chaque domaine.

Bloquer un domaine précis : la denylist

L’inverse existe. Parfois un domaine te gêne mais aucune liste ne le couvre — un service précis que tu veux couper. Même menu Domains, type Exact, action Deny. Il sera bloqué en plus de tout ce que font tes listes.

Pi-hole sait aussi filtrer par motif, avec des expressions régulières (regex). C’est l’outil le plus puissant — et le plus casse-gueule — de la bête : une règle trop large bloque des domaines légitimes sans prévenir. Ça mérite mieux qu’un paragraphe noyé ici, donc on lui consacrera un point dédié.

Une exception, pour qui ?

Comme les listes et les clients, tes exceptions s’assignent à des groupes. Par défaut, une entrée Domains s’applique au groupe Default — donc à tout le monde. Si tu veux qu’un blocage ne concerne que les enfants, ou qu’une autorisation ne vaille que pour un appareil précis, assigne l’entrée au bon groupe dans le menu Domains. La logique est rigoureusement la même qu’aux étapes précédentes.

À ce stade, tu as un filtrage qui s’adapte par appareil, de bonnes listes, et de quoi réparer au scalpel quand quelque chose casse. Il reste une dernière chose à verrouiller : l’accès à la console elle-même.

Étape 5 — Verrouille l’accès à la console

On termine par l’évidence qu’on oublie toujours. Ton Pi-hole n’est pas un gadget : il décide ce que chaque appareil de ta maison peut joindre, et son journal enregistre l’intégralité de ton trafic DNS. Quiconque accède à son interface admin peut désactiver tout le filtrage en un clic, et lire l’historique de tout ce que ton foyer consulte. Un simple mot de passe, ça se devine, ça se rejoue, ça fuite.

On ajoute donc une seconde barrière : la double authentification (2FA). Même logique que celle qu’on a mise en place sur Proxmox — un code temporaire à six chiffres, en plus du mot de passe.

Choisir une app d’authentification

Le 2FA de Pi-hole suit le standard TOTP : le même que pour Proxmox, GitHub ou ta banque. N’importe quelle app compatible fonctionne. Plutôt que de prendre le réflexe Google Authenticator, reste cohérent avec la démarche : une app open source comme Aegis (Android) ou Ente Auth (multi-plateforme) fait le travail sans dépendre de Google. Et si tu suis la série gestionnaire de mots de passe, sache que Vaultwarden — qu’on installera bientôt — sait aussi stocker ces codes.

Activer le 2FA

Dans l’interface Pi-hole, va dans Settings, section Web interface / API (passe l’affichage en mode Expert si la section n’apparaît pas). Tu y trouves le bouton Enable 2FA.

Un QR code s’affiche. Scanne-le avec ton app d’authentification — ou saisis la clé secrète manuellement. Ton app génère alors un code à six chiffres qui change toutes les 30 secondes. Saisis ce code dans le champ de confirmation pour prouver que tout est bien synchronisé, puis valide avec Enable 2FA.

Tu vas devoir te reconnecter : Pi-hole te demandera ton mot de passe et le code de ton app. Deuxième barrière en place.

Le piège à anticiper : sauvegarde le secret

L’interface te le dit elle-même, et c’est à prendre au sérieux : si tu perds ton second facteur, tu ne peux plus te connecter du tout. Plus d’app, plus de téléphone, plus d’accès — point.

Deux précautions, maintenant et pas plus tard :

• Au moment où le QR code est affiché, note aussi la clé secrète en clair et range-la dans ton gestionnaire de mots de passe. C’est elle qui te permettra de reconfigurer le 2FA sur un nouveau téléphone.

• Sache qu’il existe une porte de secours. Depuis la console du conteneur Pi-hole (la même fenêtre Proxmox que pour l’installation), tu peux désactiver le 2FA en vidant son secret dans la configuration :

sudo pihole-FTL --config webserver.api.totp_secret ''

Tu te reconnectes ensuite avec le seul mot de passe, et tu réactives le 2FA proprement. Cette issue de secours suppose un accès à la console du conteneur — raison de plus pour la garder protégée elle aussi.

Les apps mobiles : les app passwords

Dès que le 2FA est actif, un effet de bord apparaît. Les apps mobiles Pi-hole, les scripts ou les outils de monitoring qui interrogent l’API ne savent pas saisir un code TOTP. Avec le 2FA, ton mot de passe normal ne leur suffit plus.

La solution prévue pour ça s’appelle l’app password : un mot de passe long, généré aléatoirement, qui remplace le couple mot de passe + code pour ces outils-là. Sur la même page de réglages, le bouton Configure app password en génère un.

Note-le immédiatement : comme beaucoup de secrets, il n’est affiché qu’une seule fois. Tu le saisis dans ton app mobile à la place du mot de passe habituel, et elle se reconnecte.

Et l’accès distant ? Tout ce qu’on vient de faire suppose que ton interface Pi-hole reste sur ton réseau local. C’est le bon choix : on n’expose pas une console pareille sur Internet. Si un jour tu veux y accéder de l’extérieur, ça passe par un VPN vers ton réseau, jamais par une ouverture de port directe. Sujet d’un autre article.

Et maintenant ?

Tu es parti d’un mur unique, identique pour tous. Tu as maintenant un filtrage qui s’adapte à chaque appareil. L’appareil des enfants est protégé des contenus adultes et des jeux d’argent. La smart TV a cessé de râler. Tout le reste profite d’un blocage solide, sécurité comprise. Et l’accès à la console est verrouillé par une double authentification.

Surtout, tu as compris la mécanique : groupes, clients, listes et exceptions qui s’additionnent. Ce n’est pas une recette que tu as suivie, c’est un modèle que tu peux désormais plier à n’importe quel besoin — un appareil de travail coupé des réseaux sociaux, un groupe invité allégé, ce que tu veux.

Pour aller plus loin avec ton filtrage. Deux pistes naturelles à partir d’ici.

• La première : les expressions régulières, pour bloquer ou autoriser des domaines par motif plutôt qu’un par un. Puissant, mais piégeux — ça aura son propre article.

• La seconde : les enregistrements DNS locaux, pour donner de vrais noms à tes services (proxmox.lan, pihole.lan) au lieu de retenir des adresses IP. Pratique dès que ton homelab grandit.

Le maillon faible, toujours le même. On l’a dit dans le premier article et ça reste vrai : tout ce filtrage repose sur le fait que tes appareils utilisent bien Pi-hole comme DNS. Un appareil malin, ou une app trop curieuse, peut le contourner en forçant son propre DNS chiffré (DoH), codé en dur, qui passe par-dessus le tien. Tant que tu es sur une box opérateur, tu ne peux pas grand-chose contre ça. La vraie réponse, c’est de forcer tout le trafic DNS du réseau à passer par Pi-hole, avec une règle de redirection au niveau du routeur. C’est le terrain d’un futur article sur OPNsense.

Pour l’instant, profite de ton réseau qui respire. Ouvre ton dashboard dans quelques jours et regarde la différence entre tes groupes : tu verras, noir sur blanc, que chaque appareil vit enfin sous les règles que tu as choisies pour lui.

Ta tech, Tes règles, Ta liberté !

Sources

• Pi-hole — documentation officielle : docs.pi-hole.net

• Pi-hole — Group Management (modèle groupes/clients/listes, groupe Default) : docs.pi-hole.net/group_management

• Pi-hole — Allowlist et Denylist (priorité allow sur deny, assignation par groupe) : docs.pi-hole.net/guides/misc/allowlist-denylist

• Pi-hole — Regex (syntaxe, ancres, tutoriel officiel) : docs.pi-hole.net/regex

• Pi-hole — Configuration FTL (2FA TOTP, app passwords, webserver.api.totp_secret) : docs.pi-hole.net/ftldns/configfile

• HaGeZi DNS Blocklists (dépôt GitHub, listes Pro / TIF / NSFW / Gambling, FAQ) : github.com/hagezi/dns-blocklists

• OISD Blocklist (setup Pi-hole, philosophie zéro breakage, FAQ) : oisd.nl

• Aegis Authenticator (TOTP open source, Android) : getaegis.app

• Ente Auth (TOTP open source, multi-plateforme) : ente.io/auth