IPv4 et IPv6 : quelles différences ?

Par La rédaction de Mon-Adresse-IP.net·Publié le 22 mai 2026·Mis à jour le 21 août 2026·

Deux protocoles incompatibles font tourner le même Internet. Ce guide compare ce qui distingue réellement IPv4 d'IPv6, raconte comment le stock d'adresses s'est épuisé, explique les mécanismes de cohabitation que vous utilisez sans le savoir, et détaille ce que le passage à IPv6 change concrètement chez vous.

Pourquoi deux versions du protocole IP

Tout paquet qui circule sur Internet commence par un champ de quatre bits indiquant sa version. Deux valeurs seulement sont utilisées en production : 4 et 6. La version 5 n'a pas été « ratée » : ce numéro avait été attribué à un protocole expérimental de transport de flux temps réel, resté confiné à la recherche. Quand il a fallu nommer le successeur d'IPv4, le 5 était pris.

IPv4 a été normalisée en 1981 par la RFC 791, dans un Internet qui reliait quelques centaines de machines universitaires et militaires ; l'idée qu'une famille possède un jour dix appareils connectés en permanence n'était pas au programme. Le diagnostic de pénurie a été posé dès le début des années 1990. Les travaux menés à l'IETF sous le nom d'IPng ont abouti à une première spécification en 1995, puis à la RFC 2460 en 1998 ; IPv6 n'est devenue une norme Internet à part entière qu'en 2017, avec la RFC 8200.

Le point à retenir, source de la plupart des malentendus, tient en une phrase : les deux protocoles ne se parlent pas. Une machine qui ne dispose que d'IPv6 ne peut pas ouvrir de connexion vers un serveur uniquement IPv4, et réciproquement. Il n'y a pas de négociation possible, seulement de la traduction, assurée par des équipements dédiés. Si les notions d'adresse et de routage ne vous sont pas familières, commencez par notre guide qu'est-ce qu'une adresse IP.

IPv4 en détail

Une adresse IPv4 tient sur 32 bits, écrits en notation décimale pointée : quatre octets séparés par des points, chacun compris entre 0 et 255, par exemple 198.51.100.7. Cette écriture est une commodité humaine ; pour la machine, l'adresse est un entier de 32 bits, ce que notre convertisseur d'adresse IP permet de visualiser en binaire.

L'espace total compte 2³² combinaisons, soit environ 4,3 milliards d'adresses. Ce total est trompeur, car une part notable n'a jamais été disponible pour l'Internet public : le bloc de bouclage 127.0.0.0/8 immobilise à lui seul plus de seize millions d'adresses, les plages privées de la RFC 1918 (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) en réservent près de dix-huit millions à elles trois, et le bloc 240.0.0.0/4, qui en immobilise à lui seul plus de 268 millions, reste marqué comme réservé pour un usage futur jamais venu. Le détail figure dans notre inventaire des adresses IP réservées.

Une adresse se découpe en un préfixe qui identifie le réseau et un suffixe qui identifie la machine. Jusqu'en 1993, ce découpage suivait des classes fixes dont la rigidité gaspillait l'espace : une organisation ayant besoin de 300 adresses recevait un bloc de 65 536. Le CIDR a remplacé les classes par un préfixe de longueur variable, celui que vous lisez dans les notations /24 ou /22 ; notre guide des masques de sous-réseau détaille cette arithmétique.

Côté format, l'en-tête IPv4 occupe au minimum 20 octets et peut atteindre 60 avec ses options. Il comporte une quinzaine de champs, dont une somme de contrôle que chaque routeur doit recalculer puisque la durée de vie change à chaque saut : un coût de traitement raisonnable en 1981, inutile aujourd'hui.

IPv6 en détail

Une adresse IPv6 tient sur 128 bits, notés en hexadécimal sous forme de huit groupes de quatre caractères séparés par des deux-points, par exemple 2001:0db8:85a3:0000:0000:8a2e:0370:7334. Multiplier la longueur par quatre ne multiplie pas la capacité par quatre mais l'élève au carré deux fois : l'espace atteint 2¹²⁸ adresses, soit environ 3,4 × 10³⁸.

Les deux règles d'abréviation

La notation admet deux simplifications : les zéros de tête de chaque groupe disparaissent (0db8 s'écrit db8) ; une suite continue de groupes entièrement nuls se remplace par un double deux-points ::, une seule fois par adresse : sinon rien n'indiquerait combien de groupes chaque :: représente. L'adresse de l'exemple s'écrit donc 2001:db8:85a3::8a2e:370:7334 ; les deux formes désignent exactement la même adresse.

Une frontière à 64 bits

Contrairement à IPv4 où le découpage varie au gré des besoins, IPv6 fixe une convention forte : les 64 premiers bits identifient le réseau, les 64 derniers l'interface. Un réseau local IPv6 est donc presque toujours un /64, qu'il compte deux machines ou deux cents. Cette uniformité permet à un appareil de fabriquer lui-même son adresse sans rien demander à un serveur. Une même carte réseau porte normalement plusieurs adresses : c'est le fonctionnement attendu, pas une anomalie.

2000::/3	Adresses globales routables sur Internet : toutes celles qui commencent par 2 ou 3.
fe80::/10	Liaison locale, obligatoire sur chaque interface, jamais routée ; sert au dialogue entre voisins directs.
fd00::/8	Adresses locales uniques, équivalent conceptuel des plages privées IPv4, non routées sur Internet.
ff00::/8	Multidiffusion, qui remplace intégralement la diffusion générale d'IPv4.
::1	Bouclage local, équivalent de 127.0.0.1.
2001:db8::/32	Bloc réservé à la documentation : toutes les adresses d'exemple de ce guide en proviennent.

Le comparatif complet, ligne par ligne

Le tableau ci-dessous ne retient que des différences vérifiables de conception. Chaque ligne correspond à un choix technique aux conséquences observables sur un réseau.

Deux lignes méritent un mot. La suppression de la somme de contrôle n'est pas un relâchement : elle évite de refaire à chaque routeur un calcul déjà effectué par la couche liaison en dessous et par TCP ou UDP au-dessus. En contrepartie, la somme de contrôle UDP, facultative en IPv4, devient obligatoire en IPv6.

La fragmentation réservée à la source déplace une charge des routeurs vers les extrémités : un routeur IPv6 qui reçoit un paquet trop gros pour le lien suivant le rejette et renvoie un message ICMPv6 indiquant la taille acceptable. Ce mécanisme, la découverte de la MTU du chemin, explique pourquoi un pare-feu qui bloque aveuglément tout l'ICMPv6 provoque des symptômes déroutants : la connexion s'établit, les petites pages passent, et les gros transferts se figent.

L'épuisement d'IPv4 : ce qui s'est réellement passé

La formule « il n'y a plus d'adresses IPv4 » est trompeuse. Les adresses existent toujours et sont massivement utilisées : ce qui a disparu, c'est la réserve libre dans laquelle on pouvait puiser. Et cette disparition ne s'est pas produite un jour donné, mais par paliers.

Les adresses sont distribuées en cascade. L'IANA gère le pool mondial et le répartit entre les cinq registres régionaux : le RIPE NCC pour l'Europe, l'ARIN pour l'Amérique du Nord, l'APNIC pour l'Asie-Pacifique, le LACNIC pour l'Amérique latine, l'AFRINIC pour l'Afrique. Chaque registre attribue ensuite des blocs à ses membres, opérateurs et hébergeurs, qui numérotent leurs clients.

Le premier étage a cédé le 3 février 2011 : l'IANA a distribué ses cinq derniers grands blocs, un à chaque registre, en application d'une politique mondiale prévue de longue date pour éviter la ruée finale. À partir de ce jour, plus aucune adresse nouvelle n'est entrée dans le système.

Les registres ont alors activé leurs politiques de dernier recours, conçues pour ne pas fermer la porte aux nouveaux entrants. Le RIPE NCC, dont dépend la France, a basculé en septembre 2012 dans un régime où chaque membre ne pouvait plus obtenir qu'un unique bloc de 1 024 adresses, une fois pour toutes. Cette réserve de survie a elle-même été consommée : depuis fin 2019, le registre européen n'attribue plus que des blocs de 256 adresses, prélevés sur les adresses récupérées (faillites, restitutions, blocs redevenus vacants) et distribués via une liste d'attente.

D'où l'apparition d'un marché des adresses. Les politiques de transfert autorisent un titulaire à céder un bloc à un autre acteur, avec enregistrement du changement par le registre. Des intermédiaires spécialisés se sont installés sur ce créneau, une ressource administrative est devenue un actif inscrit au bilan, et des blocs historiques attribués très généreusement dans les années 1980 ont été exhumés puis revendus.

Pour un abonné français, cela se traduit par des effets très concrets :

• Le partage d'adresse. Faute d'adresses en nombre suffisant, les opérateurs font passer plusieurs dizaines d'abonnés derrière une même adresse publique : c'est le CGNAT, généralisé sur le mobile et présent sur certaines offres fixes.
• L'adresse dédiée devient une option, à demander et parfois à payer : voir notre guide sur l'adresse IP fixe.
• Une réputation partagée. Si un abonné derrière la même adresse se fait remarquer, captchas et blocages retombent sur tous les autres ; les recours sont décrits dans mon adresse IP est bloquée.
• Des politiques d'accès très variables d'un opérateur à l'autre, que nous comparons dans notre panorama des fournisseurs d'accès français.

Pourquoi la transition est si lente

IPv6 est disponible sur tous les systèmes d'exploitation depuis plus de quinze ans. Sa lenteur d'adoption n'est pas un mystère technique ; elle tient à quatre mécanismes.

Un effet de réseau défavorable. Le bénéfice d'un protocole dépend du nombre de correspondants qui le parlent. Le premier à basculer n'y gagne rien : un site joignable uniquement en IPv6 perdrait la majorité de ses visiteurs. Personne ne peut donc couper IPv4 unilatéralement, et la double pile, en faisant fonctionner les deux, retire toute urgence à la migration. C'est le paradoxe central : le mécanisme qui rend la transition possible est celui qui la ralentit.

Un coût immédiat et certain. Activer IPv6 dans une organisation suppose de concevoir un plan d'adressage, de doubler les règles de pare-feu, de mettre à jour supervision et journalisation, de vérifier que les sondes de sécurité comprennent les en-têtes d'extension, de former les équipes et de retester des applications entières. La dépense est immédiate ; le gain est diffus et lointain.

Du matériel et du logiciel qui ne suivent pas. Imprimantes réseau, caméras, automates industriels, terminaux de paiement : beaucoup d'équipements en service ne recevront jamais de mise à jour. Le problème est encore plus fréquent dans les logiciels métier, où l'adresse IP a souvent été stockée dans un entier de 32 bits ou dans une colonne de quinze caractères : une taille qui suffit tout juste à 255.255.255.255 et déborde à la première adresse IPv6.

Aucun bénéfice perçu. IPv6 ne rend pas les pages plus rapides et ne change rien à l'expérience quotidienne. Pour l'abonné, la migration est un non-événement ; pour l'opérateur qui la finance, il n'y a donc pas d'argument commercial.

Là où la pression a été forte, le basculement a pourtant été rapide : les réseaux mobiles, qui doivent numéroter des millions de terminaux simultanés, ont adopté IPv6 massivement, souvent en supprimant IPv4 côté terminal. Le retard se concentre désormais dans les réseaux d'entreprise et chez une partie des hébergeurs : c'est côté serveur, plus que côté abonné, que se joue la suite.

Les mécanismes de cohabitation

Puisque les deux protocoles ne se parlent pas, il a fallu inventer des mécanismes de coexistence. Vous en utilisez au moins un tous les jours.

La double pile

C'est le mode normal d'une connexion fixe française récente : box et appareils possèdent à la fois une adresse IPv4 et une ou plusieurs adresses IPv6. Votre machine interroge le DNS pour les deux types d'enregistrement ; si un enregistrement AAAA existe et que la connectivité IPv6 fonctionne, elle privilégie IPv6, sinon elle retombe sur IPv4. Notre guide du DNS explique le rôle exact de cette résolution.

NAT64 et DNS64

Ce couple raccorde un client qui n'a que de l'IPv6 à des serveurs qui n'ont que de l'IPv4. Le résolveur DNS de l'opérateur constate qu'un domaine ne possède pas d'enregistrement AAAA et en fabrique un à la volée, en insérant l'adresse IPv4 du serveur dans un préfixe spécial ; un traducteur NAT64 placé dans le réseau convertit ensuite les paquets et gère la conversation en retour.

Le mécanisme fonctionne bien pour la navigation ordinaire, mais il a des angles morts : une application qui utilise une adresse IPv4 écrite en dur, ou un logiciel qui n'interroge pas le DNS, échappent à la synthèse et cessent de fonctionner. Il crée aussi une dépendance forte au résolveur de l'opérateur : changer de DNS public sur un réseau IPv6 seul peut casser la connectivité, ce qui nuance le conseil habituel de notre guide pour changer de serveurs DNS.

464XLAT, le mécanisme de votre téléphone

Le 464XLAT comble ces angles morts sur les réseaux mobiles. Le terminal embarque un traducteur local qui présente aux applications une pseudo-adresse IPv4 privée, parfaitement fonctionnelle de leur point de vue, et convertit le trafic en IPv6 pour la traversée du réseau, où un NAT64 le rebascule vers Internet. Une application ancienne qui ne connaît qu'IPv4 fonctionne donc sur un réseau où IPv4 n'existe plus du tout. C'est pourquoi les réglages d'un smartphone affichent parfois une adresse IPv4 sans rapport avec l'adresse publique que voient les sites visités : celle que notre outil de recherche d'adresse IP vous montre.

Les tunnels historiques, et pourquoi ils ont disparu

Avant qu'IPv6 ne soit fourni nativement, plusieurs mécanismes le transportaient par-dessus IPv4 : 6to4, qui dérivait une adresse IPv6 de votre adresse IPv4 publique via des relais anonymes ; Teredo, conçu pour traverser un routeur NAT ; ISATAP, pour les réseaux internes. Tous partageaient les mêmes défauts : dépendance à des relais dont personne ne garantissait la qualité, chemins asymétriques difficiles à diagnostiquer, latence et taux d'échec élevés. 6to4 a été formellement déclaré obsolète en 2015 et les systèmes ont désactivé ces mécanismes par défaut : ne les réactivez pas.

Happy Eyeballs : pourquoi les pannes IPv6 sont invisibles

Au début de la double pile, un problème récurrent est apparu : quand la connectivité IPv6 était annoncée mais défaillante, le navigateur tentait obstinément IPv6, attendait l'expiration du délai de connexion, puis basculait sur IPv4. L'utilisateur voyait une page mettre vingt secondes à s'ouvrir.

La réponse s'appelle Happy Eyeballs, normalisée en 2012 puis révisée en 2017. Au lieu d'attendre l'échec, le client met les deux protocoles en concurrence : il lance les deux requêtes DNS en parallèle, commence l'établissement de connexion en IPv6, et si la poignée de main n'aboutit pas au bout d'un délai court (de l'ordre de 250 millisecondes dans la version révisée) il démarre une tentative IPv4 en parallèle. La première connexion établie est retenue, l'autre abandonnée. L'algorithme conserve une préférence pour IPv6, à qui il laisse cette avance au départ.

Pour savoir ce qu'il en est vraiment, forcez chaque protocole séparément et comparez :

curl -6 -sS -o /dev/null -w "IPv6 : %{http_code} via %{remote_ip}\n" https://exemple.fr/
curl -4 -sS -o /dev/null -w "IPv4 : %{http_code} via %{remote_ip}\n" https://exemple.fr/
# Si la première ligne échoue et la seconde réussit, votre IPv6 est en panne
# alors même que votre navigation ne montre aucun symptôme.

Les commandes ping -6 et tracert -6 permettent de repérer où le chemin s'interrompt ; notre guide ping et traceroute détaille la lecture de ces sorties.

Sécurité et vie privée

La fin du filtrage accidentel

Sur une connexion IPv4 domestique, la traduction d'adresses bloque les connexions entrantes non sollicitées : le routeur ne sait pas à quelle machine interne les remettre, donc il les jette. Ce n'était pas un objectif de sécurité mais un effet de bord, longtemps confondu avec un pare-feu : notre guide sur le NAT expliqué revient sur ce malentendu.

En IPv6, cet effet de bord disparaît : chaque appareil possède une adresse publique routable et un paquet entrant sait exactement où aller. La seule barrière devient le pare-feu de la box, qui doit refuser explicitement ce qui n'a pas été sollicité. Les box récentes le font par défaut, mais le réglage existe et peut avoir été modifié : c'est le premier point à vérifier, comme le rappelle notre guide pour sécuriser sa box Internet. Autre conséquence : un objet connecté vulnérable, jusque-là invisible derrière le NAT, devient directement joignable dès qu'il obtient une adresse IPv6 et que le filtrage tombe.

Attention également au réflexe hérité d'IPv4 consistant à interdire tout l'ICMP : appliqué à IPv6, il casse le protocole, puisque la découverte des voisins, l'autoconfiguration et la découverte de la MTU reposent toutes sur ICMPv6.

L'ancien risque des adresses dérivées de la carte réseau

Aux débuts de l'autoconfiguration, l'identifiant d'interface, les 64 bits de droite, était dérivé de l'adresse MAC, selon un procédé reconnaissable à la valeur ff:fe insérée au milieu de l'adresse matérielle. Cette moitié droite était stable, unique au monde, et surtout elle vous suivait de réseau en réseau : un même portable présentait le même identifiant chez lui, au bureau et dans un café, offrant un identifiant de suivi plus robuste qu'un cookie.

Deux réponses sont aujourd'hui actives par défaut. Les adresses temporaires génèrent un identifiant aléatoire, renouvelé au bout de quelques heures ou quelques jours et utilisé pour les connexions sortantes ; l'ancienne reste valide un moment afin de ne pas couper les sessions en cours. Les identifiants stables et opaques produisent une valeur stable sur un réseau donné mais différente sur chaque réseau, ce qui préserve la joignabilité locale sans permettre le suivi entre lieux.

Une limite doit être énoncée clairement : le préfixe, lui, ne change pas. Les 64 bits de gauche viennent de votre opérateur et identifient votre accès. Renouveler la partie droite empêche de distinguer vos appareils entre eux, mais un site qui observe deux visites depuis le même préfixe sait qu'elles viennent du même foyer : une régression par rapport au partage d'adresse IPv4, où votre trafic se mélangeait à celui de dizaines d'abonnés. Seul un intermédiaire comme un VPN change la donne, à condition qu'il gère IPv6 ; sinon votre trafic IPv6 sort hors du tunnel, ce que notre test de fuite WebRTC aide à repérer.

Scanner un /64 est impraticable, et ce n'est pas une protection

Balayer les 2⁶⁴ adresses d'un réseau IPv6 pour y chercher des machines n'a aucun sens : à un rythme réaliste, l'opération dépasserait de très loin toute échelle de temps utile. Le balayage exhaustif, banal en IPv4 sur un /24 de 256 adresses, disparaît donc du paysage. Il serait dangereux d'en conclure que vos machines sont introuvables : les adresses se découvrent par les enregistrements AAAA publiés dans le DNS, les journaux des serveurs que vos appareils contactent, les en-têtes de messages, les registres publics de certificats, et le fait que les administrateurs numérotent volontiers leurs serveurs en ::1 ou ::2 par commodité. La taille de l'espace décourage la force brute, elle ne remplace ni un pare-feu, ni des mots de passe solides, ni des mises à jour : voir notre guide sur la sécurité des objets connectés.

Ce que ça change pour vous, concrètement

L'accès distant sans redirection de port. Joindre depuis l'extérieur un serveur de fichiers, une caméra ou une machine de sauvegarde suppose en IPv4 de configurer une redirection sur la box et de disposer d'une adresse publique qui vous appartienne. En IPv6, la machine possède déjà une adresse publique : il n'y a plus rien à rediriger, seulement une règle de pare-feu à autoriser, comme décrit dans notre guide sur l'ouverture d'un port.

La disparition du partage d'adresse. Le CGNAT ne concerne qu'IPv4. En IPv6, votre préfixe n'est partagé avec personne, ce qui élimine les captchas hérités du voisinage, les blocages collectifs et l'impossibilité d'être joignable de l'extérieur.

Le pair-à-pair et le jeu en ligne. Les protocoles qui font dialoguer directement deux abonnés (jeux, appels audio et vidéo, transferts de fichiers) passent leur temps, en IPv4, à contourner les traductions d'adresses via des serveurs relais. En IPv6, la connexion directe redevient possible, ce qui réduit la latence et supprime une bonne partie des « types de NAT » problématiques : voir adresse IP et jeux vidéo.

L'auto-hébergement. Publier un service depuis chez soi devient simple : un enregistrement AAAA pointant vers l'adresse stable de la machine suffit. Deux réserves honnêtes : vos visiteurs sans IPv6 ne pourront pas vous joindre, ce qui impose de conserver une solution IPv4 pour un service public ; et si votre opérateur renouvelle votre préfixe, tous vos enregistrements doivent être mis à jour. Notre page sur les types d'enregistrements DNS décrit les entrées à créer.

Cinq idées reçues à corriger

« IPv6 est plus sécurisé. » IPsec a été spécifié comme composant obligatoire des implémentations IPv6, mais une exigence d'implémentation n'est pas une exigence d'usage ; la révision de 2011 l'a d'ailleurs ramené au rang de recommandation. Dans les faits, le chiffrement du web repose sur TLS, identique dans les deux protocoles.

« IPv6 rend anonyme. » C'est l'inverse qui se rapproche de la vérité : sans partage d'adresse, votre préfixe désigne votre accès sans ambiguïté. Les adresses temporaires protègent la distinction entre vos appareils, pas votre identification comme foyer.

« Plus de NAT, donc plus besoin de pare-feu. » IPv6 supprime le filtrage implicite. Le pare-feu devient plus nécessaire, pas moins.

« Il faut désactiver IPv6 pour que ça marche. » Ce conseil circule parce que Happy Eyeballs rend les pannes IPv6 discrètes : désactiver le protocole supprime le symptôme et donne l'illusion d'une réparation. Vous perdez alors l'accès aux services qui ne publient plus que des enregistrements AAAA.

« IPv6, c'est juste des adresses plus longues. » La longueur est la partie visible ; l'en-tête de taille fixe, la fragmentation confiée à la source, la suppression de la diffusion générale et l'autoconfiguration sans serveur sont au moins aussi structurants. Le glossaire du site reprend chacun de ces termes.

Vérifier et activer IPv6 chez vous

Trois vérifications suffisent à savoir où vous en êtes. Elles sont résumées ici ; la procédure complète, opérateur par opérateur, avec le diagnostic des pannes courantes, figure dans notre guide dédié activer et vérifier IPv6 chez soi.

1. Regardez l'adresse que voit Internet Ouvrez la page d'accueil du site : si l'adresse affichée contient des deux-points et des caractères hexadécimaux, votre connexion sort en IPv6. Quatre nombres séparés par des points signifient que le navigateur a choisi IPv4 : soit qu'IPv6 est absent, soit qu'il est cassé.
2. Inspectez votre machine Une adresse globale commençant par 2 ou 3 sur votre carte réseau signifie que la box vous en délègue une. Une seule adresse en fe80:: indique qu'aucun préfixe n'est annoncé.
3. Contrôlez la box Son interface d'administration indique si l'opérateur vous délègue un préfixe et sa taille. Une case « IPv6 » désactivée est le cas le plus fréquent sur les boîtiers un peu anciens.

# Windows
ipconfig /all
# Linux
ip -6 addr show
# macOS
ifconfig | grep inet6

Dernier point : la disponibilité d'IPv6 dépend d'abord de votre offre et de votre box, pas de votre matériel. Si votre opérateur ne le propose pas encore sur votre ligne, aucun réglage local n'y changera quoi que ce soit, et les tunnels historiques évoqués plus haut ne sont pas une solution recommandable.

Questions fréquentes