Cela me semble impossible d'avoir une redirection transparente, sans accepter l'alerte du navigateur web qui affiche que le certificat ne correspond pas au nom de domaine.

S'il y avait une redirection transparente, c'est qu'il y a un vrai problème de sécurité dans la gestion des certificats.

Pour avoir déjà eu un blocage par DNS en entreprise, c'est tout à fait possible de faire ça sans déclencher la moindre alerte de certificat TLS dans un navigateur, et ça restait en HTTPS.
Mais je ne connais pas la technique DNS pour paramétrer une tel comportement.

Quand j'avais auto-hébergé un serveur DNS, je n'avais pas du tout l'intention d'en faire un DNS menteur.
Et depuis, j'utilise le DNS de Google le plus possible (chez moi en DNS sécurisé), sinon celui de Cloudfare (en entreprise avec aussi le DNS sécurisé dans Firefox).

je me demande comment fonctionne le système en HTTPS, par exemple si l'utilisateur va sur https://microsft.com -> comment l'utilisateur atterrit-il sur https://site-bloque.sfr.fr/(...) de manière transparente ?

Cela me semble impossible d'avoir une redirection transparente, sans accepter l'alerte du navigateur web qui affiche que le certificat ne correspond pas au nom de domaine.

S'il y avait une redirection transparente, c'est qu'il y a un vrai problème de sécurité dans la gestion des certificats.

Je n’arrive pas à comprendre comment le trafic remonte à ce truc. Les abonnés FTTH, câble et xDSL n’ont pas les mêmes « portes de sorties » ?

C'est un DNS menteur basique, lorsque le fqdn matche une liste chez eux, le DNS intercepte la vraie réponse et écrit 109.0.66.29 (et l'ipv6) à la place. Le browser se connecte à la fausse IP et fait charger le site. [1]

Je ne suis pas chez SFR donc je vais spéculer :
- soit SFR a appliqué une configuration différente suivant les box lorsque la box récupère ses infos DHCP depuis le réseau SFR (box fibre -> DHCP avec DNS menteur, box pas fibre -> DHCP avec DNS pas menteur), je suppose que SFR peut facilement avoir l'information par un moyen ou un autre (flag dans la requête DHCP ?) si la box est fibre ou pas
- soit SFR fait du split-horizon en fonction d'où vient la requête, là aussi je suppose que SFR a le moyen de savoir si ça vient d'une box fibre ou non, si les box fibre et non-fibre sont sur des plages d'IP différentes

Ça serait intéressant de voir (je ne sais pas si ça se vérifie facilement surles box SFR) une différence de configuration DNS entre un client fibre et un client pas fibre, ça aiguillera sur comment ils font

[1] pour continuer sur ce sujet, je me demande comment fonctionne le système en HTTPS, par exemple si l'utilisateur va sur https://microsft.com -> comment l'utilisateur atterrit-il sur https://site-bloque.sfr.fr/(...) de manière transparente ?
Il y a un certificat wildcard ou créé à la volée pour faire une redirection sans lever d'alerte ? En tout cas celui de site-bloque.sfr.fr est un certificat Let's Encrypt assez basique et avec rien de particulier (pas de atlname)...