← Retour au blog
RUENESZHARPTDEFRJAKOITTRIDVIFAHI

Proxies uniquement pour les sites nécessaires : routage par domaine dans sing-box et mihomo

Il n'est pas nécessaire de faire passer tout le trafic via un proxy payant. Nous examinons le routage par domaines dans sing-box et mihomo (Clash Meta) : des configurations prêtes pour les versions actuelles, des règles pour les sites et les programmes, plusieurs pays en même temps et des pièges - QUIC, fuites DNS, conflit avec l'anti-détection et rotation en plein milieu de la session.

📅13 octobre 2026
Proxies uniquement pour les sites nécessaires : routage par domaine dans sing-box et mihomo

Situation typique : un magasin sur Amazon allemand doit être ouvert avec une IP allemande, le bureau du fournisseur des États-Unis — avec une IP américaine, tandis que YouTube, le messager de travail et les mises à jour du système peuvent fonctionner directement. Activer un proxy « pour tout le système » est peu pratique et coûteux : lorsque vous payez pour un gigaoctet via un proxy, tout le trafic de fond est consommé. Éteindre et allumer manuellement — vous oublierez au moment le plus inopportun. La solution — routage par domaine : le client local décide lui-même quel site passer par quel proxy et lequel directement. Ci-dessous se trouvent des configurations fonctionnelles pour les deux moteurs les plus populaires de 2026, sing-box et mihomo (anciennement Clash Meta), ainsi qu'une analyse des pièges sur lesquels le schéma échoue généralement.

Pourquoi c'est mieux que les proxies dans le navigateur et les fichiers PAC

Un proxy dans les paramètres du navigateur ou une extension ne fonctionne que pour ce navigateur. Un fichier PAC peut choisir un proxy par domaine, mais vit aussi à l'intérieur du navigateur et des paramètres système — le client de bureau du marché, Telegram, un script Python ou un utilitaire en ligne de commande l'ignoreront simplement.

sing-box et mihomo fonctionnent à un niveau inférieur : ils créent une interface réseau virtuelle (mode TUN) et laissent passer le trafic de tous les programmes. Ensuite, chaque connexion passe par une liste de règles : domaine, sous-réseau IP, nom du processus, port. Si une règle correspond, la connexion est dirigée vers la sortie spécifiée (proxy du pays souhaité ou connexion directe).

Ce que cela donne en pratique :

  • Économie de trafic. Seuls les sites de travail passent par le proxy payant, tandis que les vidéos, les mises à jour et les sauvegardes cloud passent directement.
  • Plusieurs pays simultanément. amazon.de — via la sortie allemande, walmart.com — via la sortie américaine, sans commutations.
  • Règles par programmes. Il est possible d'envoyer un processus spécifique dans le proxy dans son intégralité (par exemple, le client de bureau ou le script), sans toucher aux autres.
  • Moins d'erreurs humaines. Pas besoin de se souvenir si le proxy est activé — le site s'ouvre toujours avec la « bonne » IP.

Ce dont vous aurez besoin

  • Un proxy avec support SOCKS5 ou HTTP et une authentification par nom d'utilisateur et mot de passe. Les deux moteurs peuvent transmettre le nom d'utilisateur et le mot de passe eux-mêmes, un passerelle locale n'est pas nécessaire.
  • Client : pour sing-box — applications officielles pour Android, iOS et macOS ou noyau pour Windows/Linux ; pour mihomo — interfaces graphiques comme Clash Verge Rev ou FlClash.
  • Une liste de domaines qui doivent passer par le proxy. Il est conseillé de la rassembler à l'avance — nous en parlerons ci-dessous.

Option 1 : sing-box (versions 1.12 et plus récentes)

Une note importante concernant les versions. De nombreuses configurations sur Internet sont écrites pour l'ancien sing-box et ne fonctionnent pas sur les versions actuelles. Selon la liste officielle des fonctionnalités obsolètes : geosite et geoip ont été supprimés dans 1.12.0 (à la place, il y a rule-set), le champ outbound à l'intérieur des règles a été remplacé par des actions ("action": "route") depuis 1.11, les anciens formats de serveurs DNS ont été supprimés dans 1.14.0, et les sorties spéciales block et dns — encore dans 1.13.0. La branche stable actuelle au moment de la rédaction est 1.14.

Configuration minimale fonctionnelle : un proxy résident allemand pour quelques domaines, tout le reste directement.

{
  "log": { "level": "info" },
  "dns": {
    "servers": [ { "type": "local", "tag": "local" } ]
  },
  "inbounds": [
    {
      "type": "tun",
      "tag": "tun-in",
      "address": [ "172.18.0.1/30" ],
      "auto_route": true,
      "strict_route": true
    }
  ],
  "outbounds": [
    {
      "type": "socks",
      "tag": "resi-de",
      "server": "HÔTE_DANS_LE_BUREAU",
      "server_port": 1080,
      "username": "NOM_D_UTILISATEUR",
      "password": "MOT_DE_PASSE"
    },
    { "type": "direct", "tag": "direct" }
  ],
  "route": {
    "auto_detect_interface": true,
    "default_domain_resolver": "local",
    "rules": [
      { "action": "sniff" },
      { "protocol": "dns", "action": "hijack-dns" },
      {
        "network": "udp",
        "port": 443,
        "domain_suffix": [ "amazon.de", "otto.de" ],
        "action": "reject"
      },
      {
        "domain_suffix": [ "amazon.de", "otto.de", "ipinfo.io" ],
        "action": "route",
        "outbound": "resi-de"
      }
    ],
    "final": "direct"
  }
}

Remplacez l'hôte, le port, le nom d'utilisateur et le mot de passe par ceux de votre fournisseur. Le port 1080 ici est juste un exemple.

Que fait chaque partie

  1. Entrée TUN (auto_route) encapsule dans sing-box le trafic de tout le système. strict_route sur Windows ajoute également des règles de pare-feu contre les fuites DNS (la documentation avertit que cela peut casser certains programmes, par exemple VirtualBox).
  2. "action": "sniff" — la ligne clé. Les connexions passent par TUN sur des adresses IP, et non sur des domaines. Le sniffing extrait le nom du site de la poignée de main TLS (SNI) ou de l'en-tête HTTP, et ce n'est qu'après que les règles domain_suffix commencent à s'appliquer. Sans cette ligne, les règles de domaine ne fonctionnent pas silencieusement — une cause fréquente de « la configuration ne s'applique pas ».
  3. hijack-dns intercepte les requêtes DNS du système et les renvoie au module DNS de sing-box.
  4. La règle avec reject pour UDP 443 désactive QUIC (HTTP/3) pour les domaines proxyés. Le navigateur reviendra à un HTTPS normal sur TCP, et cela passera par le proxy. Pourquoi — dans la section sur les pièges.
  5. domain_suffix capture le domaine et tous ses sous-domaines : amazon.de couvre à la fois www.amazon.de et sellercentral.amazon.de.
  6. auto_detect_interface lie les connexions sortantes de sing-box à l'adaptateur réseau physique. Sans cela, le trafic vers le serveur proxy retournera dans TUN, créant une boucle de routage.
  7. final: direct — tout ce qui ne correspond à aucune règle va directement.

Plusieurs pays et règle par programme

Une deuxième sortie est ajoutée comme un autre objet socks avec son propre tag (par exemple, resi-us) et une règle distincte. Envoyer un programme entier dans le proxy est possible avec une règle contenant le champ process_name (fonctionne sur Windows, macOS et Linux) :

{
  "process_name": [ "python.exe" ],
  "action": "route",
  "outbound": "resi-us"
}

Les règles sont vérifiées de haut en bas jusqu'à la première correspondance, donc placez les règles spécifiques au-dessus des règles générales.

Option 2 : mihomo (Clash Meta)

mihomo est pratique car il dispose d'interfaces graphiques matures, et la configuration est écrite en YAML, qui est plus facile à lire. Le même scénario :

tun:
  enable: true
  stack: gvisor
  auto-route: true
  auto-detect-interface: true
  dns-hijack:
    - any:53

dns:
  enable: true
  enhanced-mode: fake-ip
  nameserver:
    - https://1.1.1.1/dns-query

proxies:
  - name: resi-de
    type: socks5
    server: HÔTE_DANS_LE_BUREAU
    port: 1080
    username: NOM_D_UTILISATEUR
    password: MOT_DE_PASSE

rule-providers:
  work-de:
    type: inline
    behavior: classical
    payload:
      - DOMAIN-SUFFIX,amazon.de
      - DOMAIN-SUFFIX,otto.de
      - DOMAIN-SUFFIX,ipinfo.io

rules:
  - RULE-SET,work-de,resi-de
  - MATCH,DIRECT

Les principales différences par rapport à sing-box :

  • Mode fake-ip résout le problème « la connexion est venue sur l'IP, et non sur le domaine » différemment : mihomo répond lui-même à la requête DNS avec une adresse fictive, se souvient à quel domaine elle correspond, et applique les règles en fonction de cela. L'adresse réelle du site est ensuite connue du serveur proxy de son côté.
  • Ensemble de règles (rule-providers) est pratique à garder dans une liste séparée. Le type inline stocke les domaines directement dans la configuration, le type http tire la liste via un lien et la met à jour à intervalles réguliers, par exemple, la liste générale de l'équipe dans le dépôt.
  • MATCH — l'équivalent de final : tout le reste va directement.
  • Pour les règles par programme, il existe PROCESS-NAME, sur Android, il accepte le nom du paquet de l'application.

Comment rassembler une liste de domaines et ne pas manquer les nécessaires

Un site n'est pas un seul domaine. Le marché charge des images depuis un CDN, des scripts — depuis un domaine séparé, l'autorisation peut vivre sur un troisième. Si le domaine principal passe par une IP allemande, mais que le domaine d'entrée vient de votre véritable IP, l'anti-fraude voit deux adresses différentes dans une seule session.

  1. Ouvrez le site avec les outils de développement (F12 → onglet Réseau), suivez le scénario typique : connexion, recherche, fiche produit, bureau.
  2. Notez tous les domaines de la colonne Domaine. Vous pouvez ignorer les compteurs tiers et la publicité, mais les domaines du service lui-même (y compris le CDN et le serveur d'autorisation) doivent être inclus.
  3. Ajoutez-les à la règle et répétez le scénario. Dans le journal de sing-box (niveau info) ou dans l'onglet des connexions de l'interface mihomo, vous pouvez voir quelle règle a été appliquée pour chaque connexion.
  4. Gardez dans la liste un domaine « de contrôle » comme ipinfo.io : il montre l'IP du proxy, et le service de vérification IP voisin, qui n'est pas dans la liste, montre votre véritable IP. Ainsi, vous pouvez rapidement vérifier que le routage fonctionne.

Pièges sur lesquels le schéma échoue

1. QUIC passe à côté du proxy

Chrome et d'autres navigateurs se connectent volontiers à de grands sites via HTTP/3, c'est-à-dire via UDP. De nombreux fournisseurs de proxy ne prennent pas en charge UDP via SOCKS5 ou le prennent en charge de manière limitée. Dans le pire des cas, la connexion va ailleurs, dans le meilleur des cas — le site ralentit jusqu'à ce que le navigateur revienne à TCP. C'est pourquoi dans la configuration de sing-box ci-dessus, UDP sur le port 443 pour les domaines de travail est explicitement rejeté. Dans mihomo, un effet similaire est plus facile à obtenir en désactivant QUIC dans le navigateur (drapeau chrome://flags/#enable-quic).

2. Fuite DNS vers le fournisseur

Si le domaine de travail est résolu localement via le DNS de votre fournisseur Internet, le site lui-même ne le verra pas : la connexion viendra toujours de l'IP du proxy. Mais le fournisseur et quiconque voit votre DNS saura quels sites vous ouvrez. Le mode fake-ip dans mihomo et la transmission du domaine au serveur proxy après le sniffing dans sing-box atténuent ce problème. Plus d'informations sur les vérifications et les méthodes de protection — dans l'analyse des méthodes de protection contre les fuites DNS.

3. Conflit avec un autre VPN ou anti-détection

Deux interfaces TUN simultanément — un chaos garanti dans les routes. Si le navigateur anti-détection a déjà son propre proxy pour le profil, il est préférable de sortir son trafic de TUN : avec une règle par nom de processus, envoyez le navigateur en direct, et alors chaque profil passera par son propre proxy, comme prévu.

4. Le routage système ne remplace pas l'anti-détection

Tous les programmes sur l'ordinateur sortiront sur un seul IP pour le domaine. Pour un seul magasin, c'est normal. Pour 10 comptes sur une même plateforme — non : la plateforme voit une empreinte de navigateur identique et une seule adresse. Pour le multi-comptes, le routage par domaine est un outil auxiliaire, et non un remplacement pour la combinaison « profil séparé + proxy séparé ».

5. Rotation IP au milieu de la session

Si le proxy est configuré pour changer d'IP à chaque requête, le site d'autorisation verra une nouvelle adresse à chaque chargement d'image. Pour les bureaux, magasins et réseaux sociaux, utilisez un login avec une session collante (IP fixe pendant la durée de travail) ou une rotation par minute avec des intervalles de plusieurs dizaines de minutes.

6. Proxy sans support du protocole nécessaire

Si le fournisseur ne fournit qu'un proxy HTTP, dans sing-box utilisez une sortie de type http, dans mihomo — type: http. Les deux moteurs prennent en charge le nom d'utilisateur et le mot de passe également pour HTTP. Si le programme lui-même ne peut pas travailler avec un proxy avec authentification, et que vous ne voulez pas lever TUN, un passerelle locale sur gost, 3proxy ou Squid conviendra.

Quel proxy mettre dans la règle

  • Marchés, réseaux sociaux, bureaux de vendeur, bureaux de publicité — proxies résidentiels du pays souhaité avec une session collante. L'adresse du fournisseur domestique soulève le moins de questions pour l'anti-fraude.
  • Plateformes avec le contrôle le plus strict (applications mobiles, TikTok, Instagram) — proxies mobiles : un seul IP d'opérateur sort simultanément pour de nombreux abonnés réels.
  • API, documentation, dépôts de paquets, services sans protection anti-bot — proxies de centres de données : ils sont moins chers et plus rapides, et pour de telles tâches, une IP « domestique » n'est pas nécessaire.

Il est pratique de créer plusieurs sorties de différents types dans la configuration et de les répartir sur les domaines, plutôt que de faire passer tout par le plus cher.

Conclusion

Le routage par domaine transforme le proxy d'un « interrupteur » en un outil précis : les sites nécessaires s'ouvrent toujours avec la bonne IP, le reste du trafic ne consomme pas les gigaoctets payés. Pour commencer, 30 lignes de configuration suffisent. L'essentiel est de ne pas oublier le sniffing (ou fake-ip), de désactiver QUIC pour les domaines proxyés, de rassembler une liste complète de domaines du service et de prendre la syntaxe actuelle : les configurations pour sing-box jusqu'à 1.12 ne fonctionneront pas sur les versions récentes.