Configurer la résolution de noms chiffrés
Vérifié avec Windows 11 25H2 — mis à jour le 12 juillet 2026
Pris en charge sur : Au minimum Windows Server 20H2, Windows 10 version 20H2
Chemin dans la console GPO
Configuration ordinateur\Modèles d'administration\Réseau\Client DNS Description
Spécifie si le client DNS effectue la résolution de noms sur des protocoles chiffrés. Par défaut, le client DNS effectue la résolution de noms DNS classique (sur le port UDP ou TCP 53). Ce paramètre peut améliorer le client DNS afin d’utiliser des protocoles chiffrés pour résoudre les noms de domaine. Pour utiliser ce paramètre de stratégie, cliquez sur Activer, puis sélectionnez l’une des options suivantes dans la liste déroulante : Interdire le chiffrement : aucune résolution de nom chiffrée ne sera effectuée. Autoriser le chiffrement : utiliser la résolution de noms chiffrés si les serveurs configurés le prennent en charge. S’ils ne la prennent pas en charge, essayez la résolution de noms classique. Exiger le chiffrement : autoriser uniquement la résolution de noms chiffrés. Si aucun serveur DNS configuré ne gère le chiffrement, la résolution de noms échouera. En plus de la stratégie de chiffrement générique, des stratégies supplémentaires peuvent être configurées au niveau du protocole individuel. Par exemple, pour forcer la résolution de nom DoT uniquement, une combinaison de « Exiger le chiffrement » et « Bloquer DoH » est nécessaire (inversement pour forcer DoH). Pour l’exemple ci-dessus, il est de la responsabilité de l’administrateur de s’assurer que si DoT est forcé, des serveurs DoT valides sont configurés sur l’ordinateur (inversement pour DoH). Si vous désactivez ce paramètre de stratégie ou si vous ne le configurez pas, le client DNS utilise les paramètres configurés localement. Le trafic en texte clair DDR (Détection des résolveurs désignés) sera autorisé, car il est nécessaire pour la découverte automatique des paramètres de chiffrement.
Registre
Software\Policies\Microsoft\Windows NT\DNSClient Générateur d'exports
BETAConfigurez l'état, la portée et les options, puis générez les sorties .reg, PowerShell, Intune et SCCM — ou ajoutez le paramètre à une collection multi-paramètres.
Ces exports écrivent le registre — ce n'est pas une GPO managée. ⓘ
Fichier .reg
Windows Registry Editor Version 5.00
; Exported from gporais.com
; Policy: Configurer la résolution de noms chiffrés
; State: Enabled
; Supported on: Au minimum Windows Server 20H2, Windows 10 version 20H2
[HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\DNSClient]
"DoHPolicy"=dword:00000003
"DohPolicySetting"=dword:00000000
"DotPolicySetting"=dword:00000000Autres formats (PowerShell, Intune, SCCM)
PowerShell
# Exported from gporais.com
# Policy: Configurer la résolution de noms chiffrés
# State: Enabled
# Supported on: Au minimum Windows Server 20H2, Windows 10 version 20H2
$path = 'HKLM:\Software\Policies\Microsoft\Windows NT\DNSClient'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'DoHPolicy' -Value 3 -Type DWord
Set-ItemProperty -Path $path -Name 'DohPolicySetting' -Value 0 -Type DWord
Set-ItemProperty -Path $path -Name 'DotPolicySetting' -Value 0 -Type DWordIntune XML
Aucune correspondance directe Policy CSP / OMA-URI pour cette stratégie. Utilisez l'onglet Intune Remediation, ou importez l'ADMX dans Intune.Intune Remediation
# === Detection script ===
# Exported from gporais.com
# Policy: Configurer la résolution de noms chiffrés
# State: Enabled
# Supported on: Au minimum Windows Server 20H2, Windows 10 version 20H2
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\Windows NT\DNSClient' -Name 'DoHPolicy' -Expected 3 -Kind DWord)
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\Windows NT\DNSClient' -Name 'DohPolicySetting' -Expected 0 -Kind DWord)
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\Windows NT\DNSClient' -Name 'DotPolicySetting' -Expected 0 -Kind DWord)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Configurer la résolution de noms chiffrés
# State: Enabled
# Supported on: Au minimum Windows Server 20H2, Windows 10 version 20H2
$path = 'HKLM:\Software\Policies\Microsoft\Windows NT\DNSClient'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'DoHPolicy' -Value 3 -Type DWord
Set-ItemProperty -Path $path -Name 'DohPolicySetting' -Value 0 -Type DWord
Set-ItemProperty -Path $path -Name 'DotPolicySetting' -Value 0 -Type DWordScripts SCCM
# Exported from gporais.com
# Policy: Configurer la résolution de noms chiffrés
# State: Enabled
# Supported on: Au minimum Windows Server 20H2, Windows 10 version 20H2
# SCCM Configuration Item guidance:
# Create a Configuration Item of type "Setting: Script".
# Discovery script: use the Detection script below.
# Remediation script: use the Remediation script below.
# Compliance rule: the Discovery script output equals 'Compliant'.
# === Detection script ===
# Exported from gporais.com
# Policy: Configurer la résolution de noms chiffrés
# State: Enabled
# Supported on: Au minimum Windows Server 20H2, Windows 10 version 20H2
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\Windows NT\DNSClient' -Name 'DoHPolicy' -Expected 3 -Kind DWord)
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\Windows NT\DNSClient' -Name 'DohPolicySetting' -Expected 0 -Kind DWord)
(Test-RegistryValue -Path 'HKLM:\Software\Policies\Microsoft\Windows NT\DNSClient' -Name 'DotPolicySetting' -Expected 0 -Kind DWord)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Configurer la résolution de noms chiffrés
# State: Enabled
# Supported on: Au minimum Windows Server 20H2, Windows 10 version 20H2
$path = 'HKLM:\Software\Policies\Microsoft\Windows NT\DNSClient'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'DoHPolicy' -Value 3 -Type DWord
Set-ItemProperty -Path $path -Name 'DohPolicySetting' -Value 0 -Type DWord
Set-ItemProperty -Path $path -Name 'DotPolicySetting' -Value 0 -Type DWordVous construisez une collection multi-paramètres ? Ajoutez ce paramètre et générez des exports combinés (.reg, PowerShell, GPO).