Activer et vérifier IPv6 chez soi

Par La rédaction de Mon-Adresse-IP.net·Publié le 21 août 2026·

IPv6 est déployé chez la plupart des abonnés français sans qu'ils le sachent, et à moitié seulement chez beaucoup d'autres. Ce guide vous montre comment savoir où vous en êtes en trois minutes, ce que votre opérateur vous délègue réellement, et comment réparer une connectivité IPv6 défaillante au lieu de la désactiver.

Pourquoi IPv6 vous concerne, même si tout fonctionne

L'argument habituel en faveur d'IPv6 (les 4,3 milliards d'adresses IPv4 sont épuisées) est vrai mais abstrait : il décrit un problème d'opérateur, pas le vôtre. Les conséquences concrètes pour un abonné, en revanche, sont très palpables.

La fin du partage d'adresse. Pour continuer à raccorder des clients sans adresses IPv4 disponibles, les opérateurs ont généralisé le partage d'une même adresse publique entre plusieurs dizaines d'abonnés. C'est le CGNAT, et il a des effets secondaires bien connus : impossibilité d'ouvrir un port, captchas à répétition parce qu'un voisin s'est fait remarquer, blocages sur certaines plateformes, sessions de jeu en ligne dégradées. En IPv6, la question ne se pose plus : il y a assez d'adresses pour que chaque logement reçoive son propre bloc, sans partage.

L'accès distant redevient simple. Joindre depuis l'extérieur une caméra, un serveur de fichiers ou une console suppose, en IPv4, une redirection de port et une adresse publique qui vous appartienne : deux conditions que le CGNAT annule. En IPv6, la machine possède déjà une adresse publique ; il ne reste qu'à autoriser le flux dans le pare-feu, comme l'explique notre guide sur l'ouverture de port.

Des trajets réseau parfois plus courts. Sur les réseaux mobiles et chez certains opérateurs, le trafic IPv4 traverse des équipements de traduction supplémentaires que le trafic IPv6 évite. Le gain n'est pas systématique et se compte en millisecondes, mais il est réel là où la traduction est saturée. À l'inverse, un IPv6 mal configuré dégrade nettement l'expérience : c'est précisément l'objet de la section de diagnostic.

Des services qui n'existent qu'en IPv6. Le cas est encore minoritaire côté grand public, mais il progresse ; certains réseaux mobiles fonctionnent déjà en IPv6 seul avec une traduction pour joindre le reste du monde. En France, l'ARCEP publie régulièrement un baromètre de la transition vers IPv6 qui suit le déploiement fixe et mobile opérateur par opérateur. Si les différences de traitement entre protocoles vous intéressent, notre comparatif IPv4 contre IPv6 reprend les fondamentaux.

Trois méthodes pour savoir si vous avez l'IPv6

Ces trois méthodes ne mesurent pas la même chose : la première teste la chaîne complète jusqu'à Internet, la deuxième l'état de votre machine, la troisième celui de votre accès. Faites-les dans l'ordre, l'écart entre leurs résultats vous dit exactement où se situe le problème.

1. Regardez l'adresse affichée sur notre page d'accueil Ouvrez la page d'accueil du site : elle affiche l'adresse avec laquelle vous avez réellement contacté notre serveur. Une adresse en quatre nombres séparés par des points est de l'IPv4 ; une adresse composée de groupes hexadécimaux séparés par des deux-points, du type 2a01:e0a:..., est de l'IPv6. Un point d'honnêteté que beaucoup de pages omettent : voir une adresse IPv4 ne prouve pas que vous n'avez pas IPv6, cela peut aussi signifier que le site consulté n'est joignable qu'en IPv4. D'où l'intérêt de croiser avec les deux méthodes suivantes.
2. Inspectez les adresses de vos interfaces Sur Windows, ouvrez une invite de commandes et tapez ipconfig /all ; cherchez les lignes « Adresse IPv6 », « Adresse IPv6 temporaire » et « Adresse IPv6 de liaison locale ». Sur Linux, ip -6 addr show ; sur macOS, ifconfig en0 inet6. Si vous ne voyez qu'une adresse commençant par fe80::, votre machine parle IPv6 mais personne ne lui a annoncé de préfixe : le problème est en amont, dans la box ou chez l'opérateur.
3. Consultez l'état IPv6 dans l'interface de votre box Connectez-vous à l'interface d'administration de votre box et cherchez une rubrique réseau ou avancée. Le vocabulaire varie : « IPv6 », « Configuration IPv6 », « Délégation de préfixe », « Prefix Delegation », « DHCPv6-PD ». Vous devez y trouver deux informations distinctes : l'adresse IPv6 de la box côté opérateur, et le préfixe délégué à votre réseau local. Un préfixe absent ou affiché à zéro signifie que la négociation avec l'opérateur n'a pas abouti.

Ce que votre opérateur vous délègue vraiment

C'est le point qui déroute le plus les personnes habituées à IPv4, où l'on reçoit une adresse publique. En IPv6, l'opérateur vous attribue deux choses de nature différente.

L'adresse de la box côté opérateur sert au dialogue entre votre équipement et le réseau du fournisseur. Elle ne concerne pas vos appareils.

Le préfixe délégué est un bloc d'adresses entier confié à votre réseau local. Selon les opérateurs et les offres, il s'agit le plus souvent d'un /56 ou d'un /64. La différence est loin d'être cosmétique : un /64 constitue un seul réseau, tandis qu'un /56 contient 256 réseaux /64 distincts, ce qui permet de segmenter la maison, un réseau pour les ordinateurs, un pour les objets connectés, un pour les invités. Cette logique de découpage est la même qu'en IPv4, à une échelle différente ; notre table des masques de sous-réseau explique comment lire ces notations.

Une fois le préfixe reçu, la box l'annonce sur votre réseau local. Chaque appareil fabrique alors lui-même son adresse : il reprend les 64 premiers bits annoncés et y ajoute un identifiant d'interface de 64 bits qu'il génère. Ce mécanisme, l'autoconfiguration sans état, explique qu'aucun serveur ne distribue les adresses IPv6 chez vous comme le fait le DHCP en IPv4. Résultat : votre imprimante, votre téléviseur et votre téléphone disposent chacun d'une adresse publique routable, jointe depuis n'importe où dans le monde si le pare-feu l'autorise.

Reconnaître les adresses IPv6 de votre réseau

« Pourquoi ma machine a-t-elle quatre adresses IPv6 ? » est la question qui revient le plus souvent, et la réponse tient dans les premiers caractères de chacune.

Ce que vous voyez	Ce que c'est
fe80::	Adresse de liaison locale. Toujours présente, unique par interface, jamais routée hors du réseau local. C'est elle que votre machine utilise pour parler à la box.
fd00:: à fdff::	Adresse locale unique (ULA), l'équivalent conceptuel du 192.168.x.x d'IPv4. Générée par certaines box pour que le réseau interne continue de fonctionner même si le préfixe opérateur change.
Débute par 2 ou 3	Adresse globale, publique et routable sur Internet. C'est celle que voient les sites que vous visitez.
::1	Boucle locale, l'équivalent de 127.0.0.1.
ff02::1, ff02::2	Adresses de multidiffusion : tous les nœuds, tous les routeurs du lien. Utilisées par les mécanismes d'autoconfiguration.

Reste le cas des adresses globales multiples. Un système moderne en fabrique au moins deux dans le même préfixe : une adresse stable, qui ne change pas tant que le préfixe reste le même, et une ou plusieurs adresses temporaires destinées à la vie privée, définies par la RFC 8981. Les connexions que vous initiez utilisent l'adresse temporaire ; l'adresse stable sert aux services entrants et à l'administration du réseau.

Ces adresses temporaires sont renouvelées régulièrement, de l'ordre d'une journée pour la durée d'usage préférée et de quelques jours pour la validité totale, avec des valeurs par défaut qui varient d'un système à l'autre. Le chevauchement est volontaire : la nouvelle adresse prend en charge les nouvelles connexions pendant que l'ancienne finit tranquillement celles qui sont en cours, sans coupure. Vous verrez donc souvent, dans ipconfig /all ou ip -6 addr, deux ou trois adresses temporaires dont une seule est réellement active en sortie. Sur Linux, le drapeau temporary les distingue explicitement dans la sortie de la commande ; sur macOS, la mention temporary accompagne l'adresse concernée.

Activer IPv6 selon le contexte

Dans l'interface de la box

C'est le premier endroit à regarder, car sur certains modèles installés il y a plusieurs années IPv6 n'est toujours pas activé par défaut. Cherchez dans les paramètres réseau ou avancés une case portant l'un de ces libellés : « Activer IPv6 », « IPv6 natif », « Double pile » ou « Dual stack ». Certaines box exposent aussi un mode de transition, souvent nommé 6rd, qui encapsule IPv6 dans votre lien IPv4 : il donne une connectivité IPv6 fonctionnelle mais avec un surcoût de latence et une taille de paquet réduite. Si l'option native est disponible, préférez-la. L'activation entraîne généralement un redémarrage de la box et une renégociation complète du préfixe. Les pratiques varient beaucoup d'un fournisseur à l'autre ; notre panorama des opérateurs français détaille ces différences.

Sur l'appareil

Windows, macOS, Linux, Android et iOS activent IPv6 par défaut depuis longtemps. Si votre machine ne l'a pas alors que les autres appareils du foyer l'ont, quelqu'un ou quelque chose l'a désactivé. Deux coupables reviennent constamment.

Le premier est le tutoriel d'optimisation. Une génération entière de guides « accélérez votre PC » recommandait de décocher IPv6 dans les propriétés de la carte réseau, ou d'écrire une valeur de registre désactivant les composants IPv6 sous Windows. Le conseil était déjà discutable à l'époque ; il est aujourd'hui contre-productif, l'éditeur du système déconseillant explicitement cette désactivation. Pour vérifier sous Windows, dans une invite de commandes :

reg query HKLM\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters /v DisabledComponents
# Valeur absente = configuration par défaut, IPv6 actif.
# Une valeur non nulle (0xff, 0xffffffff...) désactive tout ou partie d'IPv6.

Sur Linux, l'équivalent se lit dans les paramètres du noyau :

sysctl net.ipv6.conf.all.disable_ipv6
# 0 = IPv6 actif, 1 = désactivé (cherchez alors le fichier fautif dans /etc/sysctl.d/)

Le second coupable est le logiciel VPN. Beaucoup de clients désactivent IPv6 sur les interfaces réseau pour éviter les fuites qu'ils ne savent pas gérer autrement. Le mécanisme est légitime tant que le VPN tourne, mais le réglage survit parfois à la désinstallation du logiciel : on se retrouve avec une machine sans IPv6 sans comprendre pourquoi. Si votre IPv6 a disparu après avoir essayé un service VPN, commencez vos recherches là.

Le cas du routeur personnel en cascade

Brancher son propre routeur derrière la box est courant, et c'est en IPv6 que cela se complique. En IPv4, la solution de facilité était le double NAT : moche, mais fonctionnel. En IPv6, il n'y a pas de NAT à empiler. Deux scénarios :

• Votre box délègue un sous-préfixe. Si l'opérateur vous donne un /56 et que la box sait déléguer un /64 à votre routeur, tout se passe bien : chaque segment a son propre réseau, le routage fonctionne.
• Votre box ne délègue rien, ou vous n'avez qu'un /64. Un /64 ne se découpe pas dans la pratique, car l'autoconfiguration l'exige entier. Votre routeur secondaire ne pourra donc pas router IPv6 ; la seule issue propre est de le basculer en mode pont ou point d'accès, afin que la box reste l'unique routeur du foyer.

Diagnostiquer un IPv6 qui ne fonctionne pas

Testez dans cet ordre : chaque étape suppose la précédente réussie, donc la première qui échoue désigne la couche fautive.

1. Votre machine a-t-elle une adresse globale ? Si ipconfig /all ou ip -6 addr ne montre qu'une adresse fe80::, la box n'annonce pas de préfixe. Le problème est dans la box ou chez l'opérateur, inutile de chercher plus loin sur la machine.
2. Existe-t-il une route par défaut ? Sous Linux, ip -6 route doit contenir une ligne default via fe80::… ; sous Windows, netsh interface ipv6 show route. Une adresse globale sans route par défaut signifie que l'annonce du routeur est incomplète ou qu'elle vient du mauvais équipement.
3. La box répond-elle en IPv6 ? Envoyez un ping vers son adresse de liaison locale. Sous Windows, l'index de zone est obligatoire, ce que la plupart des tutoriels oublient de préciser : ping -6 fe80::1%12, où 12 est le numéro d'interface donné par netsh interface ipv6 show interfaces. Sous Linux : ping -6 fe80::1%eth0.
4. Sortez-vous du réseau local ? Testez une adresse littérale connue, pour écarter le DNS de l'équation :

   ping -6 2606:4700:4700::1111
   # Windows : ping -6 ; Linux/macOS : ping6 ou ping -6 selon la version
   tracert -6 2606:4700:4700::1111
   # Linux/macOS : traceroute6

   Si le ping passe mais que la navigation reste cassée, le routage est bon et le problème se situe plus haut. Notre guide sur ping et traceroute explique comment lire les résultats intermédiaires.
5. La résolution DNS renvoie-t-elle des adresses IPv6 ? Une machine parfaitement connectée en IPv6 n'utilisera jamais le protocole si son résolveur ne lui donne pas d'enregistrement AAAA :

   nslookup -type=AAAA example.com      # Windows
   dig +short AAAA example.com          # Linux / macOS

   Une réponse vide sur un domaine qui publie bien un AAAA oriente vers le résolveur configuré, un filtrage local ou un logiciel de sécurité.

Le site qui met dix secondes à s'ouvrir

C'est le symptôme le plus déroutant : tout fonctionne, mais lentement, et désactiver IPv6 « répare » la situation. L'explication tient dans l'ordre des tentatives. Quand un nom de domaine possède à la fois une adresse IPv4 et une IPv6, les systèmes modernes privilégient IPv6. Si le chemin IPv6 est cassé sans que rien ne renvoie d'erreur (un préfixe annoncé alors qu'aucune route ne le porte, typiquement), les paquets partent dans le vide et il faut attendre l'expiration du délai avant de retomber sur IPv4.

Les navigateurs ont largement résolu ce problème avec l'algorithme dit Happy Eyeballs, normalisé par la RFC 8305 : la connexion IPv6 est lancée en premier, puis la tentative IPv4 démarre après un court délai, de l'ordre de 250 millisecondes, sans attendre l'échec de la première. La plus rapide gagne, l'autre est abandonnée. L'honnêteté impose toutefois deux réserves. D'une part, tous les logiciels ne l'implémentent pas : clients de messagerie, jeux, applications métier et outils en ligne de commande retombent souvent sur un délai d'attente classique de plusieurs secondes. D'autre part, Happy Eyeballs masque le défaut sans le corriger : si vous constatez cette lenteur, votre IPv6 est cassé et le restera pour tout ce qui ne triche pas.

IPv6 et vie privée : la vraie question

La crainte la plus répandue se formule ainsi : puisque chaque appareil possède désormais une adresse publique unique, chaque appareil devient identifiable individuellement. La réponse mérite d'être découpée, car une partie du risque a bel et bien disparu tandis qu'une autre demeure.

L'ancien risque : l'adresse dérivée de la carte réseau. Les premières implémentations construisaient l'identifiant d'interface à partir de l'adresse MAC de la carte, selon le format EUI-64. La conséquence était sérieuse : la moitié droite de l'adresse restait identique partout, au domicile, au bureau et en déplacement. Un site pouvait ainsi reconnaître la même machine sur trois réseaux différents, et l'adresse trahissait le fabricant du matériel. Ce comportement n'est plus celui par défaut : les systèmes modernes génèrent désormais un identifiant stable mais opaque, différent sur chaque réseau et sans lien avec le matériel.

Ce que les adresses temporaires apportent réellement. Elles font varier la partie droite de l'adresse au fil des jours, ce qui empêche un observateur de corréler vos sessions successives sur la seule base de l'identifiant d'interface. C'est utile, mais limité, et c'est le point que la plupart des pages passent sous silence : le préfixe, lui, ne change pas. Tant que votre opérateur vous délègue le même bloc, toutes vos adresses successives commencent par les mêmes 56 ou 64 bits. Un site qui ne conserve que ce préfixe suit votre foyer aussi bien qu'une adresse IPv4 fixe le permettrait, et distingue même votre logement de celui des voisins : ce que le CGNAT, paradoxalement, rendait plus flou.

La conclusion pratique est donc mesurée : les adresses temporaires protègent contre le suivi de l'appareil, pas contre l'identification du foyer. Si c'est cette seconde question qui vous préoccupe, la réponse relève du masquage d'adresse et non des réglages IPv6 ; notre page sur les risques liés à une IP exposée fait le tri entre ce qu'une adresse révèle vraiment et ce qu'elle ne révèle pas.

IPv6 et sécurité : la fin du filtrage implicite

En IPv4, vos machines sont protégées des connexions entrantes par accident. La traduction d'adresses n'a jamais eu pour but de sécuriser quoi que ce soit : elle permettait simplement à plusieurs appareils de partager une adresse publique. Mais comme la box ne sait pas à qui remettre un paquet entrant non sollicité, elle le jette. Ce filtrage gratuit disparaît en IPv6, où chaque appareil est directement adressable.

Les spécifications destinées aux box grand public prévoient précisément ce cas et recommandent de refuser par défaut les connexions entrantes IPv6 non sollicitées. Les modèles récents des opérateurs français appliquent cette règle. Deux situations méritent malgré tout une vérification : un équipement ancien, et une box dont vous avez modifié le pare-feu par le passé.

Vérifier que le pare-feu bloque bien l'entrant

Un test depuis votre propre réseau ne prouve rien, puisque le trafic ne traverse pas le pare-feu. Deux approches valables :

• Depuis un accès extérieur. Coupez le Wi-Fi de votre téléphone pour passer en données mobiles (la plupart des réseaux mobiles français fournissent IPv6) puis tentez de joindre l'adresse globale d'une de vos machines. Un échec est le résultat souhaité.
• Dans l'interface de la box. Cherchez la rubrique « Pare-feu IPv6 » ou « Filtrage IPv6 ». Le niveau attendu correspond à un blocage des connexions entrantes hors celles que vous avez explicitement autorisées.

Autoriser un service précis

La logique diffère d'IPv4 et c'est déroutant au début. Il n'y a pas de redirection : on n'associe pas un port externe à une machine interne, on ouvre un passage vers une adresse et un port qui existent déjà. Vous indiquerez donc à la box l'adresse IPv6 complète de la machine et le port concerné.

Le piège classique : si vous saisissez une adresse temporaire, votre règle cessera de fonctionner sous quelques jours. Utilisez l'adresse stable de la machine, ou mieux, fixez son suffixe dans la configuration du système afin qu'il survive aux redémarrages. Et gardez à l'esprit qu'un service exposé en IPv6 est exposé au monde entier : les précautions du guide ouvrir un port sur sa box et celles de sécuriser sa box Internet s'appliquent intégralement, à commencer par un mot de passe robuste et un logiciel à jour sur la machine concernée.

IPv6 et VPN : la fuite qui passe inaperçue

Voici le scénario qui annule silencieusement la protection recherchée. Un service VPN établit un tunnel qui n'achemine que l'IPv4. Votre système, lui, continue de préférer IPv6 pour les destinations qui en disposent. Résultat : une partie de votre trafic (souvent la plus importante, car les grands services sont accessibles en IPv6) sort par votre connexion réelle, avec votre préfixe opérateur en clair, pendant que l'interface du logiciel affiche un cadenas rassurant.

La détection est simple et prend une minute :

1. VPN désactivé, relevez vos deux adresses Ouvrez la page d'accueil et notez l'adresse affichée. Si elle est en IPv6, notez surtout ses premiers groupes : c'est votre préfixe.
2. Activez le VPN et rechargez L'adresse affichée doit avoir changé. Si vous voyez toujours une adresse IPv6 commençant par le même préfixe qu'avant, la fuite est confirmée.
3. Vérifiez aussi le navigateur Certaines fuites ne passent pas par la couche réseau mais par le navigateur lui-même : notre test de fuite WebRTC révèle les adresses locales et publiques, IPv4 comme IPv6, qu'une page peut obtenir malgré un tunnel actif.

Trois remèdes existent, par ordre de préférence : choisir un service qui achemine réellement l'IPv6 dans son tunnel ; à défaut, activer un dispositif de coupure automatique qui bloque tout trafic sortant hors tunnel, IPv6 compris ; en dernier recours, laisser le client désactiver IPv6 pendant la session, solution grossière mais efficace, à condition de savoir la défaire ensuite, comme vu dans la section sur l'activation. Notre guide sur les VPN détaille les autres critères de choix et ce qu'un tunnel ne protège pas.

Questions fréquentes