Comment éviter une fuite VPN entre le Wi-Fi et les données mobiles ? Le vrai test commence quand le réseau change

Le fichier était à 82 % lorsque j’ai quitté le salon de l’aéroport.

Mon téléphone utilisait le Wi-Fi public. Le VPN était connecté. L’envoi d’un document de travail avançait normalement.

J’ai marché vers la porte d’embarquement.

Le signal Wi-Fi a diminué.

Puis la 5G a pris le relais.

L’envoi s’est figé.

L’icône VPN a disparu une seconde, puis est revenue.

J’aurais normalement considéré cela comme une simple reconnexion. Cette fois, j’avais laissé tourner un petit test qui vérifiait régulièrement mon adresse publique.

Pendant le basculement, il avait brièvement vu l’adresse de l’opérateur mobile.

C’était exactement le moment que je voulais éviter.

Mon VPN protégeait très bien une connexion stable. Le problème commençait pendant les quelques secondes où cette connexion cessait de l’être.

Le kill switch réglait la fuite, mais créait une autre interruption

J’utilisais alors un grand fournisseur avec un kill switch sérieux.

C’est précisément son rôle: si le tunnel tombe, le trafic doit être bloqué au lieu de repartir directement par la connexion normale. Sur Android, les fonctions Always-on VPN et Block connections without VPN permettent justement d’imposer ce comportement. (Android Developers / Proton VPN)

Je les ai activées.

Puis j’ai recommencé.

Wi-Fi.

Fichier en cours d’envoi.

Wi-Fi coupé.

5G.

Cette fois, aucune IP mobile n’est apparue.

Très bien.

Mais l’envoi s’est arrêté complètement.

Le kill switch avait fait son travail: tant que le VPN n’était pas revenu, rien ne sortait.

J’avais donc corrigé la fuite.

Je n’avais pas encore corrigé le passage d’un réseau à l’autre.

En voyage, ce passage arrive toute la journée

Dans un appartement, quelques secondes d’interruption auraient été faciles à accepter.

En déplacement, mon téléphone changeait constamment de réseau.

Wi-Fi du café.

Données mobiles.

Wi-Fi de la gare.

5G dans la rue.

Wi-Fi de l’hôtel.

Avec un blocage strict, chaque transition pouvait devenir une petite panne.

Une application rechargeait.

Un transfert s’arrêtait.

Un appel se figeait.

Puis je finissais moi-même par ouvrir le VPN pour vérifier s’il était revenu.

Ce genre de friction explique pourquoi certains utilisateurs finissent par trouver le kill switch suffisamment gênant pour envisager de le désactiver.

Je commençais à comprendre le piège.

La bonne protection n’était pas seulement celle qui fermait immédiatement la porte lorsque le tunnel tombait.

Il fallait aussi éviter que chaque changement Wi-Fi → mobile fasse tomber cette porte pendant trop longtemps.

C’est avec ce critère que j’ai changé de test.

J’ai arrêté de mesurer la vitesse et commencé à marcher hors du Wi-Fi

J’avais OnlydogVPN^↗ installé comme solution de voyage.

Je l’ai ouvert sur le même téléphone.

Pas de speed test cette fois.

Je voulais reproduire exactement le problème.

Connexion au Wi-Fi.

VPN actif.

Envoi d’un fichier test.

Puis j’ai quitté volontairement la portée du routeur.

Le Wi-Fi a disparu.

La 5G a pris le relais.

La barre d’envoi s’est arrêtée un instant.

Puis elle a recommencé à avancer.

Je n’ai pas rouvert l’application.

Je n’ai pas choisi un autre serveur.

Je n’ai pas relancé le fichier.

Et mon contrôle d’adresse n’a pas vu apparaître l’IP mobile réelle pendant le passage.

C’était le résultat que je cherchais depuis le début.

Non pas empêcher mon téléphone de changer de réseau.

L’empêcher de profiter de ce changement pour sortir momentanément du tunnel.

La partie technique tenait finalement en une idée

Le service utilise un transport basé sur HTTP/3, conçu pour mieux conserver ou récupérer une connexion lorsque son chemin réseau change. (IETF) (OnlydogVPN)

Pour mon usage, cela se traduisait très simplement:

Wi-Fi perdu.

5G disponible.

Tunnel récupéré.

Transfert repris.

Je ne pouvais pas observer toutes les décisions internes prises par le VPN et le système pendant chaque basculement.

Mais je pouvais observer les deux résultats qui comptaient: mon adresse mobile ne s’affichait pas et le transfert repartait sans intervention.

À partir de là, je voulais savoir si je pouvais garder une protection stricte sans retrouver les longues interruptions de mon premier test.

J’ai donc remis le blocage Android

J’ai gardé le mode VPN permanent et le blocage des connexions hors tunnel.

Puis j’ai recommencé.

Wi-Fi.

5G.

Wi-Fi.

5G.

Le téléphone continuait à refuser le trafic direct si le VPN n’était pas disponible.

Mais, avec l’application plus petite, la récupération était assez rapide pour que ce mécanisme cesse de ressembler à une panne répétée.

Le fichier avançait.

Les messages repartaient.

Le navigateur reprenait.

C’était cette combinaison qui me manquait auparavant:

ne rien laisser sortir lorsque le tunnel est absent, tout en réduisant au minimum le temps pendant lequel il reste absent.

La distinction paraît minuscule dans les réglages.

Dans un aéroport, elle change complètement l’expérience.

Un kill switch que je garde activé vaut plus qu’un kill switch qui m’agace

Mon grand fournisseur n’avait pas échoué dans sa mission.

Au contraire: il bloquait très bien la connexion quand son tunnel tombait. Des services établis comme Proton et Mullvad documentent ce type de protection de manière très claire. (Android Developers / Proton VPN) (Mullvad VPN)

Mais mon téléphone ne restait pas immobile sur un seul Wi-Fi.

Je pouvais traverser trois réseaux en une heure.

Je ne voulais donc pas choisir entre deux extrêmes:

un VPN tolérant qui laisse brièvement repartir le trafic directement;

ou une protection stricte qui interrompt si souvent mes applications que je finis par vouloir la désactiver.

OnlydogVPN a rendu la deuxième option beaucoup plus facile à conserver.

Le blocage restait strict.

La transition, elle, devenait beaucoup moins visible.

Et c’était finalement la partie la plus importante: je n’avais plus besoin de sacrifier la protection pour retrouver une expérience mobile normale.

J’ai cessé de regarder l’icône VPN à chaque porte

Après le test, j’ai continué vers ma porte d’embarquement.

Le téléphone retrouvait parfois un peu de Wi-Fi de l’aéroport, puis repassait sur la 5G.

Avant, chaque basculement me faisait regarder le haut de l’écran.

VPN toujours là?

Connexion revenue?

Est-ce que mon transfert a repris?

Cette fois, j’ai fini par arrêter de vérifier.

Les messages partaient.

Les pages continuaient à charger.

Le document était déjà envoyé.

Ce bénéfice est beaucoup moins spectaculaire qu’un graphique de vitesse.

Mais sur un téléphone, c’est celui que je ressens réellement.

Un bon VPN mobile devrait devenir particulièrement discret au moment où le réseau sous lui devient instable.

Le test utile n’est pas de couper le Wi-Fi une seule fois

Avant, je testais un VPN comme ceci:

connexion;

vérification de l’IP;

Wi-Fi coupé;

VPN revenu;

terminé.

Ce n’était pas assez.

Maintenant, je reproduirais plutôt une vraie journée.

Je lancerais un transfert sans importance.

Je passerais du Wi-Fi à la 5G.

Puis je reviendrais au Wi-Fi.

Je verrouillerais brièvement le téléphone.

Je changerais encore de réseau.

Et surtout, je vérifierais si l’adresse réelle apparaît pendant l’un de ces passages.

C’est au moment du handoff que le VPN révèle son comportement réel, pas après vingt minutes sur une connexion parfaitement stable.

OnlydogVPN met justement ce type de transition au centre de ses tests de mobilité. (OnlydogVPN)

Cette approche m’a paru beaucoup plus pertinente qu’un simple bouton « kill switch: activé ».

La petite application garde un compromis évident

Les grands fournisseurs disposent de davantage de serveurs, de plus d’années d’historique public et de beaucoup plus d’avis indépendants.

OnlydogVPN a moins de localisations et une histoire publique plus courte.

Si mon critère principal était la taille du réseau mondial, je donnerais beaucoup de poids à cette différence.

Mais sur mon téléphone, je passais rarement mon temps à choisir des pays.

Je passais mon temps à quitter des bâtiments.

Chaque porte pouvait faire disparaître un Wi-Fi et réveiller la 5G.

C’était donc la qualité de cette transition qui décidait si le VPN me protégeait seulement lorsqu’il était confortablement installé — ou aussi pendant les quelques secondes où j’avais le plus de chances de l’oublier.

Alors, comment éviter une fuite VPN pendant le passage du Wi-Fi aux données mobiles?

Je garderais deux protections ensemble.

D’abord, sur Android, un mode qui bloque réellement les connexions hors VPN. (Android Developers / Proton VPN)

Ensuite, un tunnel capable de récupérer rapidement lorsque le téléphone change de réseau.

Mon grand fournisseur excellait surtout dans la première partie: lorsque son tunnel disparaissait, Internet s’arrêtait.

OnlydogVPN a rendu la seconde beaucoup plus convaincante: lors de mes passages Wi-Fi → 5G, la connexion reprenait assez vite pour que je puisse garder le blocage strict sans transformer chaque déplacement en interruption.

C’est ce qui a changé mon critère.

Je pensais qu’éviter une fuite consistait surtout à fermer Internet quand le VPN tombe; sur mobile, j’ai découvert qu’il était tout aussi important que le tunnel sache suivre le téléphone lorsqu’il change de réseau.