IP fixe ou dynamique : comment obtenir une adresse stable

Par La rédaction de Mon-Adresse-IP.net·Publié le 21 août 2026·

Votre adresse IP publique change-t-elle vraiment ? Faut-il payer pour une adresse fixe ? Ce guide sépare trois choses que l'on confond en permanence : l'adresse publique attribuée par l'opérateur, l'adresse privée réservée sur votre réseau local et le nom qui suit votre connexion. Puis il compare les quatre voies réalistes vers une adresse stable, avec leurs limites.

Dynamique, fixe, privée : trois notions distinctes

Votre opérateur attribue à votre ligne une adresse IP publique, celle que voient les serveurs que vous contactez. Cette attribution prend l'une des deux formes suivantes.

Une adresse dynamique est prêtée pour une durée déterminée, le bail. À l'expiration, l'équipement de l'opérateur peut vous rendre la même adresse ou en choisir une autre : rien ne l'engage. Une adresse fixe, au contraire, est affectée durablement à votre abonnement ; l'opérateur s'engage contractuellement à ne pas la changer sans préavis, et vous pouvez la communiquer à un tiers en sachant qu'elle restera valable.

La distinction est donc juridique et contractuelle avant d'être technique. Une adresse dynamique qui n'a pas bougé depuis deux ans reste une adresse dynamique : elle peut changer demain, lors d'une opération de maintenance, sans que vous ayez le moindre recours.

La confusion numéro un : la réservation DHCP

Dans les forums d'entraide, une demande sur deux confond l'adresse publique fixe avec l'adresse privée réservée. Ce sont deux mondes séparés par la traduction d'adresses de votre box. Votre imprimante, votre NAS et votre caméra portent une adresse privée du type 192.168.1.42 ou 10.0.0.5, distribuée par le serveur DHCP intégré à la box. Ces adresses ne sont pas routables sur Internet : elles n'existent qu'à l'intérieur de votre logement. Le mécanisme est détaillé dans notre guide sur les adresses IP publiques et privées.

Réserver une adresse privée (associer durablement 192.168.1.42 à l'adresse matérielle d'un appareil dans l'interface de la box) est utile, mais résout un tout autre problème : il s'agit d'éviter que votre NAS ne change d'adresse locale après une coupure de courant, ce qui casserait la redirection de port configurée vers lui. C'est une condition nécessaire pour rendre un service accessible depuis l'extérieur, pas une condition suffisante.

Réservation DHCP (interne)	Fixe l'adresse privée d'un appareil sur votre réseau local. Gratuite, réglable en deux clics dans la box, sans effet visible depuis Internet. Notre guide DHCP expliqué décrit la procédure.
IP fixe (externe)	Fixe l'adresse publique de votre ligne. Dépend entièrement de votre opérateur, souvent payante ou réservée aux offres professionnelles, et seule pertinente pour être joignable depuis Internet.

Pourquoi les opérateurs distribuent des adresses dynamiques

L'espace IPv4 compte environ 4,3 milliards d'adresses, un nombre défini une fois pour toutes par le format sur 32 bits du protocole. L'IANA a distribué ses derniers blocs libres aux registres régionaux en février 2011, et le RIPE NCC, qui gère l'Europe, a annoncé en novembre 2019 l'épuisement de son stock d'adresses IPv4 disponibles. Depuis, un opérateur ne peut plus recevoir d'allocation classique : il doit se contenter de ses adresses existantes, s'inscrire sur la liste d'attente du RIPE NCC pour un petit bloc rendu ou révoqué, ou racheter des adresses sur le marché des transferts, à un prix élevé. Notre comparatif IPv4 contre IPv6 revient sur cette limite structurelle.

L'attribution dynamique est la réponse historique à cette rareté. Elle permet de mutualiser un stock d'adresses entre des abonnés qui ne sont pas tous connectés simultanément, et surtout de reprendre immédiatement une adresse quand un client résilie ou déménage. Une adresse figée par contrat, elle, est immobilisée même quand la ligne est inactive.

Pourquoi votre adresse « dynamique » ne change presque jamais

Le protocole DHCP prévoit qu'un client demande le renouvellement de son bail à la moitié de la durée écoulée, en réclamant explicitement l'adresse qu'il détient déjà. Tant que la box reste allumée et que l'adresse n'a pas été réaffectée entretemps, le serveur la lui rend. Sur une box qui fonctionne en continu, le bail se renouvelle donc indéfiniment sur la même valeur. C'est la raison pour laquelle un grand nombre d'abonnés français gardent la même adresse publique pendant des mois, voire des années, sans avoir souscrit la moindre option.

Les événements qui provoquent réellement un changement sont identifiables :

• une coupure prolongée : box débranchée assez longtemps pour que le bail expire et que l'adresse soit reprise ;
• le remplacement de la box, qui présente un identifiant différent au réseau ;
• une opération technique de l'opérateur : renumérotation d'une plage, migration d'un nœud de raccordement, bascule d'un abonné vers le CGNAT ;
• un changement d'offre ou de technologie d'accès, par exemple un passage de l'ADSL à la fibre ;
• chez certains opérateurs, une déconnexion volontaire de la session d'accès, parfois utilisée comme méthode de secours quand une adresse se retrouve bloquée par un service.

Cette stabilité de fait est confortable mais trompeuse : elle donne l'illusion d'une adresse fixe et vous laisse construire des dépendances qui casseront le jour où l'adresse bougera, généralement pendant vos vacances. Les pratiques varient sensiblement d'un opérateur à l'autre ; notre panorama des fournisseurs d'accès français récapitule ce que chacun propose en matière d'adressage.

Quand une adresse stable est réellement nécessaire

Avant de chercher comment obtenir une adresse fixe, vérifiez que votre besoin en est vraiment un. La règle est simple : une adresse stable ne sert que lorsque quelque chose vient vers vous, ou lorsqu'un tiers doit vous reconnaître à votre adresse. Tout ce qui part de chez vous fonctionne parfaitement avec une adresse dynamique.

Reste une catégorie intermédiaire, la plus fréquente : vous voulez joindre votre maison depuis l'extérieur, mais personne n'exige de vous une adresse numérique précise. Un nom qui suit votre adresse suffit alors, et c'est précisément ce que fait le DNS dynamique.

Les quatre voies vers une adresse stable

Quatre approches seulement, avec des profils très différents. La dernière colonne du tableau est décisive : si vous êtes derrière un CGNAT, trois des quatre solutions tombent d'emblée.

L'option chez l'opérateur

C'est la solution la plus propre quand elle existe. Selon les opérateurs, elle apparaît sous les intitulés « IP fixe », « adresse IPv4 dédiée » ou « full-stack », et se demande depuis l'espace client ou l'interface d'administration de la box. Vérifiez trois points avant de vous en satisfaire : l'adresse est-elle vraiment garantie ou seulement « susceptible de rester stable » ; la modification impose-t-elle un redémarrage de la ligne ; l'option est-elle réversible sans frais. Sur les offres grand public, elle est fréquemment indisponible : c'est le principal argument commercial des offres professionnelles.

L'offre professionnelle

Un abonnement professionnel apporte davantage qu'une adresse fixe : un délai de rétablissement contractuel, un support dédié, souvent un petit bloc d'adresses plutôt qu'une seule, et surtout la possibilité de faire configurer l'enregistrement PTR. C'est le seul chemin réaliste si vous devez héberger un service que d'autres utilisent professionnellement. Le surcoût n'a de sens que si cette exigence est réelle.

Le tunnel vers un serveur tiers

Le principe inverse tout : au lieu d'attendre que l'extérieur vous joigne, votre machine ouvre en permanence une connexion sortante vers un serveur qui, lui, possède une adresse publique fixe. Le trafic entrant arrive sur ce serveur et redescend dans le tunnel. Techniquement, cela se réalise avec un tunnel WireGuard ou OpenVPN vers un serveur loué, un tunnel inverse SSH, ou un service commercial de tunnel qui automatise l'ensemble.

C'est la seule méthode qui fonctionne derrière un CGNAT, puisqu'elle n'exige aucune connexion entrante. En contrepartie, elle ajoute une latence, une dépendance à un tiers qui voit passer votre trafic, une facture récurrente et un serveur de plus à maintenir et à mettre à jour. Notre guide des VPN décrit les mêmes briques dans leur usage grand public.

Le DNS dynamique, méthode complète

Le DNS dynamique, souvent abrégé DynDNS ou DDNS, ne fige pas votre adresse : il fait suivre un nom. Un petit programme, appelé client de mise à jour, vérifie périodiquement l'adresse publique vue depuis l'extérieur. Dès qu'elle diffère de la dernière valeur connue, il appelle l'interface du fournisseur de nom, qui réécrit l'enregistrement A (IPv4) et, le cas échéant, l'enregistrement AAAA (IPv6) de votre sous-domaine. Vos correspondants continuent d'utiliser maison.exemple.net sans se soucier du chiffre qui se cache derrière. Les mécanismes de résolution sont expliqués dans notre guide du DNS, et le rôle exact de chaque type d'enregistrement dans notre référence sur les types d'enregistrements DNS.

Mise en place

1. Vérifiez que votre adresse est routable Comparez l'adresse WAN de la box et celle vue depuis Internet. Si l'adresse WAN appartient à la plage 100.64.0.0/10, réservée au partage entre opérateurs, vous êtes derrière un CGNAT : arrêtez ici et lisez notre guide dédié, le DNS dynamique ne vous apportera rien.
2. Choisissez le nom Soit un sous-domaine offert par un service de DNS dynamique, soit un nom de votre propre domaine si votre hébergeur DNS expose une interface de mise à jour. La seconde option est préférable : vous gardez la maîtrise du nom si le service disparaît.
3. Abaissez le TTL Réglez la durée de vie de l'enregistrement entre 60 et 300 secondes. Un TTL d'une heure signifierait que votre nom continue de pointer vers l'ancienne adresse pendant une heure après un changement. La contrepartie est un léger surcroît de requêtes DNS, négligeable à cette échelle.
4. Activez le client de mise à jour La grande majorité des box grand public embarquent un client, sous une rubrique « DNS dynamique » ou « DynDNS » des paramètres avancés. C'est la meilleure option : la box connaît l'adresse WAN sans avoir à la deviner, et elle est toujours allumée. À défaut, installez un client sur un appareil qui ne s'éteint jamais (NAS, mini-ordinateur, serveur domestique) surtout pas sur un poste de travail que vous coupez le soir.
5. Ouvrez l'accès au service Le nom résout désormais vers votre ligne, mais rien n'est encore joignable. En IPv4, créez la redirection de port correspondante vers l'adresse privée réservée de la machine concernée, comme décrit dans notre guide pour ouvrir un port sur sa box. En IPv6, il s'agit d'une règle de pare-feu, pas d'une redirection.
6. Contrôlez, puis surveillez Résolvez le nom depuis un réseau extérieur, par exemple depuis un partage de connexion mobile. Puis provoquez volontairement un changement d'adresse et vérifiez que l'enregistrement suit dans le délai attendu. Beaucoup de services de DNS dynamique désactivent les comptes gratuits inactifs : notez la contrainte de réactivation périodique si elle existe.

nslookup maison.exemple.net 1.1.1.1
# ou, avec dig, pour voir le TTL restant sur l'enregistrement
dig +noall +answer maison.exemple.net A
# l'enregistrement IPv6 se contrôle séparément
dig +noall +answer maison.exemple.net AAAA

Ce que le DNS dynamique ne fait pas

• Il n'élimine pas la coupure. Entre le changement d'adresse et la propagation de la nouvelle valeur, votre service est injoignable : quelques minutes en général, davantage si un résolveur intermédiaire ignore les TTL très courts, ce que font certains équipements pour réduire leur charge.
• Il ne satisfait pas un filtrage par adresse. Un partenaire, un pare-feu d'entreprise ou une interface d'administration qui n'autorise que des adresses précises lit une valeur numérique ; un nom qui change de cible ne l'intéresse pas.
• Il ne suffit pas pour la messagerie. Les contrôles anti-spam portent sur l'adresse et sa réputation, pas sur le nom que vous annoncez.
• Il est inopérant derrière un CGNAT. Le nom pointerait vers une adresse partagée dont les ports ne vous appartiennent pas.
• Il expose un nom lisible. Un sous-domaine explicite du type camera-salon.exemple.net annonce à quiconque le découvre ce qui se trouve derrière.

L'enregistrement PTR et le courrier électronique

Le DNS que vous connaissez traduit un nom en adresse. La résolution inverse fait le trajet opposé : à partir d'une adresse, elle retrouve un nom, grâce à un enregistrement PTR publié dans une zone technique, in-addr.arpa pour IPv4, ip6.arpa pour IPv6.

Le point décisif est la question de l'autorité. Une zone inverse est déléguée avec le bloc d'adresses lui-même : elle appartient à celui qui détient la plage, c'est-à-dire votre opérateur ou votre hébergeur. Vous pouvez publier tous les enregistrements que vous voulez dans votre propre domaine, cela ne créera jamais un PTR pour une adresse que vous n'administrez pas. Concrètement, un abonné grand public ne peut pas définir le nom inverse de son adresse : il hérite du nom générique attribué par l'opérateur à toute la plage, souvent une chaîne technique contenant le numéro de la ligne.

Pour un serveur de messagerie, cette impossibilité est rédhibitoire. La plupart des serveurs de réception appliquent des contrôles de cohérence : existence d'un PTR, et surtout concordance directe et inverse, c'est-à-dire que le nom obtenu par le PTR doit lui-même résoudre vers l'adresse de départ. Un PTR absent, ou un nom générique manifestement résidentiel, suffit à faire classer vos messages en indésirables, quand ils ne sont pas rejetés au moment de la connexion. À cela s'ajoutent deux obstacles indépendants : les plages d'accès grand public figurent dans des listes de blocage prévues exactement pour cet usage, et de nombreux opérateurs filtrent le port 25 sortant afin de limiter les envois massifs depuis des machines compromises. Ces mécanismes sont détaillés dans notre guide adresse IP et e-mails.

IPv6 : le préfixe délégué et sa stabilité

IPv6 change la donne : l'espace d'adressage est si vaste que la rareté qui justifie le partage IPv4 disparaît. Votre opérateur ne vous attribue plus une adresse, mais un préfixe délégué, généralement un /56 ou un /64 selon les opérateurs, dans lequel chacun de vos appareils prend une adresse publique unique. Il n'y a plus de traduction d'adresses à traverser : chaque machine est théoriquement joignable directement.

La stabilité de ce préfixe est très variable. Certains opérateurs le rattachent durablement à la ligne, d'autres en attribuent un nouveau à chaque reconnexion. Aucune règle générale ne s'applique ; la seule méthode fiable consiste à le mesurer soi-même : relevez le préfixe, redémarrez la box en la laissant hors tension une dizaine de minutes, puis comparez. Répétez l'opération après quelques semaines. Notre guide activer IPv6 chez soi détaille où lire cette information selon les box.

Deux pièges spécifiques à IPv6

D'abord, l'adresse de vos machines change même quand le préfixe ne bouge pas. Les extensions de confidentialité, actives par défaut sur la plupart des systèmes, génèrent périodiquement une nouvelle partie basse d'adresse pour limiter le pistage. Excellent pour un poste de travail, désastreux pour un serveur : l'enregistrement AAAA se retrouve à pointer vers une adresse abandonnée. Sur la machine que vous voulez joindre, configurez donc une adresse manuelle stable dans le préfixe, ou désactivez ces extensions pour cette machine uniquement.

Ensuite, il n'y a rien à rediriger. Comme aucune traduction d'adresses n'intervient, la redirection de port n'a plus de sens en IPv6 : il faut ouvrir le pare-feu de la box pour autoriser le trafic entrant vers une adresse et un port précis. Les box grand public récentes bloquent par défaut le trafic entrant non sollicité en IPv6, ce qui est le bon réglage, mais c'est à vérifier dans la rubrique pare-feu de votre box, en particulier sur un équipement ancien ou dont le filtrage a déjà été modifié. En l'ouvrant, souvenez-vous que la machine devient directement exposée : le NAT ne joue plus le rôle d'écran involontaire qu'il jouait en IPv4, mécanisme décrit dans notre article sur le NAT.

Sécurité : une adresse stable est une cible stable

Toute adresse publique est balayée en permanence par des robots qui testent les ports courants. Ce n'est pas une menace ciblée, c'est du bruit de fond automatisé : un service nouvellement exposé est repéré en quelques heures. La différence avec une adresse dynamique est que l'attaquant peut, cette fois, revenir : les résultats d'un balayage restent valables, les tentatives peuvent s'étaler dans le temps, et l'adresse devient une entrée durable dans des bases de cibles.

Quelques principes réduisent nettement le risque :

• N'exposez que le strict nécessaire. Chaque port ouvert est une porte à surveiller et à mettre à jour. Fermez ce dont vous ne vous servez plus ; les redirections oubliées sont la première cause d'incident domestique.
• N'exposez jamais une interface d'administration. Administration de la box, panneau d'un NAS, interface web d'une caméra, base de données : rien de tout cela ne doit être accessible depuis Internet, quelle que soit la force du mot de passe.
• Préférez un accès VPN à l'exposition de services. Ouvrir un seul port pour un tunnel chiffré, puis atteindre vos machines depuis l'intérieur du réseau, réduit la surface d'attaque à une seule application, plus facile à maintenir à jour.
• Exigez une authentification forte. Mot de passe long et unique, double facteur quand il existe, authentification par clé plutôt que par mot de passe pour un accès en ligne de commande.
• Limitez et journalisez les tentatives. Un bannissement automatique après plusieurs échecs élimine l'essentiel des attaques par force brute ; relire les journaux de temps en temps révèle ce qui frappe à la porte.
• Désactivez l'ouverture automatique de ports. L'UPnP permet à n'importe quelle application du réseau local d'ouvrir un port sans vous demander votre avis.

Ces points forment un ensemble cohérent avec les réglages décrits dans notre guide pour sécuriser sa box Internet, et la question des équipements grand public exposés est traitée dans notre article sur la sécurité des objets connectés.

Vie privée : le prix de la stabilité

Une adresse dynamique, même stable en pratique, finit par changer ; ce changement casse une partie des corrélations construites autour d'elle. Une adresse fixe, elle, devient un identifiant durable, associé à votre foyer, partagé par tous les appareils de la maison et visible par chaque serveur que vous contactez. Elle facilite le rapprochement de vos visites entre des sites qui n'ont rien à voir entre eux, et elle rend ce rapprochement valable dans la durée. Les mécanismes de suivi et leurs limites sont détaillés dans notre article sur les risques liés à l'exposition de votre adresse IP.

Cette stabilité influe aussi sur la géolocalisation par adresse IP. Les bases de données commerciales enregistrent une position pour chaque adresse ; une adresse qui ne change plus voit son estimation se stabiliser, et éventuellement se préciser, alors qu'une adresse dynamique circule entre plusieurs zones d'un même opérateur. La précision reste celle de la ville ou de la zone de raccordement, jamais celle d'un logement, mais l'association devient persistante.

En droit, la question est tranchée : l'adresse IP est une donnée à caractère personnel dès lors qu'elle permet, directement ou indirectement, d'identifier une personne. La Cour de justice de l'Union européenne l'a confirmé pour les adresses dynamiques dans son arrêt Breyer du 19 octobre 2016, et la CNIL retient la même analyse. Une adresse fixe entre évidemment dans cette catégorie, avec un lien encore plus direct vers un abonné identifié.

Le compromis raisonnable consiste à séparer les usages. Une adresse stable sert à être joint : c'est celle que vos services publient. Pour naviguer, rien n'oblige à sortir avec la même identité : un VPN, un navigateur cloisonné ou un profil dédié limitent la corrélation, sans affecter les services que vous hébergez, qui restent accessibles par l'adresse de la ligne. Notre guide comment masquer son adresse IP compare ces approches, et l'article sur l'empreinte du navigateur rappelle que l'adresse n'est de toute façon qu'un signal parmi beaucoup d'autres.

Questions fréquentes