OffLok fait de ton ordinateur son propre DNS, l'annuaire qui transforme le nom d'un site en adresse. Il va chercher chaque réponse à la source, en partant de la racine d'Internet : plus de fournisseur d'accès, de Google ou de Cloudflare au milieu pour recevoir la liste de tous les sites que tu visites.
Windows 10 et 11, Linux Bientôt sur Mac Réversible en un clic
Sur Internet, chaque site est rangé à une adresse faite de chiffres, comme 185.15.58.224. Pratique pour les machines, impossible à retenir pour nous.
Le DNS (pour Domain Name System, le « système des noms de domaine ») fait le lien : tu tapes un nom, il trouve le numéro. Exactement comme un annuaire téléphonique.
Ça se passe des centaines de fois par jour sans que tu le voies : chaque site, chaque appli, chaque image, chaque pub et chaque mise à jour commence par une question au DNS.
Quelle est l'adresse de fr.wikipedia.org ?
C'est 185.15.58.224.
Exemple inventé, mais réaliste : pas besoin de lire tes pages pour en savoir long, la liste des noms suffit.
Sans que tu l'aies choisi, c'est en général ton fournisseur d'accès (Orange, Free, SFR, Bouygues Telecom…), par ta box. Parfois Google (8.8.8.8) ou Cloudflare (1.1.1.1), si quelqu'un a changé le réglage.
Cet annuaire-là reçoit donc toutes tes questions, l'une après l'autre, avec l'heure. Et comme c'est lui qui répond, c'est aussi lui qui peut décider qu'un site n'existe pas, ou t'envoyer ailleurs.
Avec OffLok, cet annuaire, c'est ton ordinateur.
Avec OffLok, ton ordinateur ne demande plus à un intermédiaire : il trouve lui-même les adresses, en descendant l'arbre du DNS depuis sa racine. Comme le dessine son logo.
Ton ordinateur, avec OffLokPlus aucun annuaire ne reçoit la liste de tes visites. Chaque serveur n'apprend que ce qu'il doit savoir, et OffLok ne garde aucune trace de ce que tu cherches.
Les réponses viennent de la source, pas d'un intermédiaire qui choisit pour toi ce qui existe. Bloquer quelque chose ? C'est toi qui décides quoi.
Ton annuaire ne dépend d'aucune entreprise : si le DNS de ton fournisseur tombe en panne, le tien continue. Et ce qu'il a déjà trouvé reste en mémoire, même quand un serveur ne répond plus.
Quand un nom est signé (DNSSEC, une sorte de sceau numérique), OffLok vérifie le sceau sur ton ordinateur et rejette une réponse trafiquée.
Le blocage des pubs, des pisteurs et des sites piégés est inclus, coupé au départ : un interrupteur par catégorie, une pause de 10 minutes, et « Faire confiance » pour un site qui te manque.
Le code est public (licence MIT) : tout le monde peut le lire et le vérifier. Pas de compte, pas de pub, pas d'abonnement, aucune statistique envoyée.
On préfère te le dire franchement.
Version 0.5.0, gratuite et sans compte. Tu peux l'éteindre ou le désinstaller quand tu veux : ton ordinateur retrouve alors exactement ses réglages d'avant.
Windows 10 (version 2004 ou plus récente) et Windows 11, 64 bits
PC 64 bits (Intel ou AMD). Testé sur Ubuntu 24.04.
Ubuntu, Debian, Linux Mint… (paquets .deb)
cd "$(xdg-user-dir DOWNLOAD)" sudo apt install ./offlok_0.5.0_amd64.deb ./offlok-desktop_0.5.0_amd64.deb
Fedora et ses cousines (paquets .rpm)
cd "$(xdg-user-dir DOWNLOAD)" sudo dnf install ./offlok-0.5.0-1.x86_64.rpm ./offlok-desktop-0.5.0-1.x86_64.rpm
OffLok arrive sur Mac juste après Windows et Linux.
Les téléphones viendront ensuite. Pour l'instant, OffLok s'installe sur un ordinateur.
Ordinateurs ARM 64 bits (sans la fenêtre), versions précédentes et notes de version : tout est sur GitHub.
Chaque version est accompagnée d'un fichier SHA256SUMS, signé avec la clé de publication d'OffLok (offlok-release-45e724ba.pub.pem, Ed25519). Télécharge SHA256SUMS et SHA256SUMS.sig à côté de tes fichiers, puis, avec OpenSSL 3 :
openssl pkeyutl -verify -pubin -inkey offlok-release-45e724ba.pub.pem -rawin -in SHA256SUMS -sigfile SHA256SUMS.sig sha256sum --ignore-missing -c SHA256SUMS
Les mises à jour automatiques font cette vérification toutes seules : une mise à jour ne s'installe que si sa signature est bonne.
La fenêtre d'OffLok, à un clic de son icône.
OffLok démarre avec ton ordinateur et travaille en silence. Son icône, près de l'horloge, te dit où il en est.
Ton ordinateur trouve les adresses lui-même, depuis la racine.
La racine ne répond pas d'ici (Wi-Fi d'hôtel, réseau d'entreprise). OffLok passe par le DNS du réseau le temps que ça revienne : protection réduite, mais Internet marche.
Tes réglages d'origine sont remis tout de suite, et OffLok réessaie une minute plus tard.
Ton ordinateur utilise de nouveau son DNS d'origine.
Active le mode strict. Au Wi-Fi d'un hôtel ou d'une gare, le bouton « Se connecter à ce réseau » ouvre la porte 5 minutes, le temps de sa page de connexion.
Chaque changement est testé. Au moindre échec, OffLok remet tout seul tes réglages d'origine.
Le DNS a plus de quarante ans. Son histoire montre pourquoi celui qui tient l'annuaire compte autant.
Au temps d'ARPANET, l'ancêtre d'Internet, la liste des noms et des adresses tient dans un seul fichier, HOSTS.TXT, tenu à jour au SRI, en Californie, et recopié par chaque ordinateur. Plus le réseau grandit, moins ça tient.
Paul Mockapetris, à l'Information Sciences Institute de l'université de Californie du Sud, invente le DNS (RFC 882 et 883, novembre 1983) : un annuaire réparti en arbre. En haut la racine, puis .com, .org, .fr…, chaque branche tenue par quelqu'un d'autre. C'est cet arbre que dessine le logo d'OffLok.
Les RFC 1034 et 1035 fixent le DNS tel qu'on l'utilise encore, près de quarante ans plus tard.
Le chercheur Dan Kaminsky découvre qu'on peut glisser de fausses réponses dans les annuaires et envoyer leurs utilisateurs vers de faux sites. Le 8 juillet 2008, les éditeurs du monde entier publient ensemble un correctif. La même année, la fondation néerlandaise NLnet Labs sort Unbound, l'annuaire libre qu'OffLok fait tourner sur ton ordinateur.
Google lance son annuaire public, 8.8.8.8, le 3 décembre 2009 ; Cloudflare suit avec 1.1.1.1 le 1er avril 2018. C'est rapide et pratique, mais les questions de millions de gens finissent chez quelques entreprises.
Le 15 juillet 2010, la racine est signée (DNSSEC) : une réponse peut désormais être vérifiée, comme un sceau de cire, jusqu'au sommet de l'arbre. OffLok fait cette vérification lui-même.
Le 17 octobre 2016, pendant environ une heure, des clients d'Orange qui veulent ouvrir google.fr, Wikipédia ou OVH tombent sur la page du ministère de l'Intérieur réservée aux sites terroristes. Une erreur humaine dans l'annuaire d'Orange, qui montre bien que celui qui tient l'annuaire décide de ce que tu vois.
Stéphane Bortzmeyer, de l'Afnic (le gestionnaire du .fr), publie la « minimisation » des questions (RFC 7816, mars 2016) : ne demander à chaque serveur que ce qu'il doit savoir. OffLok s'en sert : la racine ne voit que « org », pas le site entier.
Saisie par Canal+, la justice française ordonne à Google, Cloudflare et Cisco de bloquer dans leurs annuaires publics des sites qui diffusent illégalement du sport ; Cisco préfère fermer son service OpenDNS en France. Ce qui passe par un annuaire peut être filtré par lui.
Le 11 octobre 2026, la racine change de clé de signature, pour la deuxième fois de son histoire. Le 30 octobre sort OffLok 0.5.0, en logiciel libre : l'arbre du DNS, parcouru par ton propre ordinateur, depuis une racine copiée à plus de 2 000 endroits dans le monde.
Non. Chaque changement est testé ; au moindre échec, OffLok remet tout seul tes réglages d'origine et réessaie une minute plus tard. L'éteindre ou le désinstaller rend ton ordinateur exactement comme avant.
La première visite d'un site prend une fraction de seconde de plus, le temps de descendre l'arbre depuis la racine. Ensuite, la réponse est gardée sur ton ordinateur : elle arrive aussitôt, sans même passer par le réseau.
Il ne reçoit plus tes questions pour y répondre, mais elles passent en clair sur son réseau : il pourrait les lire au passage, comme il voit les adresses des serveurs auxquels tu te connectes. OffLok enlève l'intermédiaire, pas le tuyau.
Pour cacher aussi le tuyau, il faut un VPN ou Tor, qui sont d'autres outils.
Ces réseaux bloquent souvent l'accès direct à la racine, ou demandent de se connecter sur une page. OffLok passe alors par le DNS du réseau, le temps de revenir (icône à pastille orange).
Tu préfères ne jamais passer par lui ? Active le mode strict : le bouton « Se connecter à ce réseau » ouvre la porte 5 minutes, le temps de la page de connexion. Tu peux aussi indiquer un résolveur chiffré de secours (DNS over TLS), utilisé avant le DNS du réseau.
Si tu veux. Le blocage est inclus mais coupé au départ, en quatre interrupteurs : les pubs, les pisteurs, les sites piégés (hameçonnage, arnaques) et tes propres listes. Les listes viennent de leurs auteurs (AdGuard, HaGeZi, URLhaus et d'autres), téléchargées une fois par jour par ton ordinateur.
Un site ne marche plus ? « Vérifier » te dit s'il est bloqué et par quelle liste, et « Faire confiance à ce site » le débloque pour de bon.
Pas de piège : OffLok est un logiciel libre (licence MIT). Son code est public, sans compte, sans pub, sans abonnement, et il n'envoie aucune statistique.
Ce qu'il contacte, en plus des serveurs DNS : les listes de blocage que tu actives, et GitHub une fois par jour pour voir s'il existe une nouvelle version. Cette dernière vérification se coupe d'un interrupteur.
Windows se méfie des programmes qui n'ont pas de signature reconnue. Une signature gratuite pour les logiciels libres (SignPath Foundation) est en préparation pour OffLok. En attendant, l'installeur est construit en public par GitHub, à partir du code publié, et tu peux vérifier qu'il n'a pas été modifié (voir « Vérifier ce que tu as téléchargé »).
Oui. Avoir son propre annuaire DNS est tout à fait normal : les entreprises, les universités et les fournisseurs d'accès font exactement pareil. OffLok ne rend pas anonyme et ne change rien à la loi : ce qui est interdit le reste.
Sur Windows : Paramètres › Applications › Applications installées, puis OffLok › Désinstaller. Sur Linux : sudo apt remove offlok offlok-desktop (ou sudo dnf remove sur Fedora).
Dans tous les cas, chaque connexion de ton ordinateur retrouve son DNS d'origine.
OffLok est développé par LokLakh et publié en logiciel libre : tout le monde peut lire son code, le vérifier et proposer des améliorations sur GitHub. Il s'appuie sur Unbound, l'annuaire libre de la fondation NLnet Labs.
Gratuit, libre, sans compte. Et réversible à tout moment.