Quel VPN contre les fuites DNS ? J’ai arrêté de changer de serveur et regardé qui répondait vraiment au DNS

J’avais déjà le VPN allumé quand j’ai lancé le test DNS. C’est justement ce qui m’a inquiété: mon adresse IP publique appartenait bien au VPN, mais le test faisait encore apparaître un résolveur que je ne m’attendais pas à voir. J’étais sur le Wi-Fi d’un hôtel, avec un document à envoyer avant une réunion, et mon premier réflexe a été très banal: changer de serveur. Puis en essayer un deuxième. Le résultat restait le même. Transparence: cet article est réalisé avec OnlydogVPN; le récit à la première personne est un composite construit à partir de témoignages publics, de situations rapportées par des utilisateurs et d’essais produit effectués pour cet article. Il ne décrit pas l’expérience littérale d’une personne unique et les résultats racontés ici correspondent au périmètre de ces tests.

Ce soir-là, ce qui aurait pu passer pour une curiosité technique me semblait nettement moins anodin. En juillet 2026, ReliaQuest a décrit une campagne visant des passerelles Wi-Fi d’hôtels et de centres de conférences. En manipulant le DNS, des attaquants pouvaient notamment rediriger des voyageurs vers de fausses infrastructures imitant Microsoft 365. Parmi les protections recommandées figurait un VPN full-tunnel faisant également passer le DNS par une infrastructure de confiance. ReliaQuest Threat Research

L’empoisonnement DNS et la fuite DNS ne sont pas exactement le même problème. Mais devant mon écran, ils ramenaient à une question beaucoup plus simple: quand mon ordinateur demande où se trouve un site, qui lui répond?

À partir de là, l’icône « connecté » du VPN ne suffisait plus.

Mon gros VPN fonctionnait — mais je regardais le mauvais indicateur

Le fournisseur que j’utilisais depuis longtemps avait tout ce qui inspire normalement confiance: une marque connue, une application mature et un énorme choix de serveurs.

Le tunnel se connectait. Mon IP changeait. Les pages s’ouvraient.

J’ai pourtant relancé le test DNS.

Puis changé de pays.

Puis de serveur.

Toujours ce résolveur inattendu.

C’est là que j’ai compris mon erreur: je traitais une fuite DNS comme un serveur lent. Si quelque chose semble mauvais, on change de serveur jusqu’à ce que le problème disparaisse.

Sauf que le nombre de serveurs n’était pas la bonne variable.

Le principe utile tient en quelques lignes: avant d’ouvrir un site, l’ordinateur doit traduire son nom en adresse réseau. Or cette demande DNS peut être influencée par le système, IPv4 ou IPv6, le VPN et parfois le navigateur. Des recherches récentes ont notamment observé des configurations VPN dans lesquelles IPv4 passait par le tunnel alors que la connexion IPv6 native restait visible. Yejin Cho & John Heidemann

Je n’avais pas besoin d’un cours réseau plus long pour comprendre la conséquence.

Un VPN pouvait afficher « connecté » pendant qu’une autre route continuait à prendre ses propres décisions.

À ce moment-là, avoir 5 000 ou 10 000 serveurs ne m’aidait plus. Je voulais surtout moins de chemins à surveiller.

Et cette idée m’a conduit au réglage que j’avais complètement oublié.

Le deuxième chemin était dans mon navigateur

Quelques mois plus tôt, j’avais activé le DNS chiffré dans mon navigateur et choisi manuellement un résolveur.

Sur le moment, cela m’avait paru logique: VPN d’un côté, DNS chiffré de l’autre. Deux protections devaient forcément être meilleures qu’une.

En réalité, j’avais surtout créé deux centres de décision.

Mozilla documente ce comportement: lorsqu’un navigateur utilise DNS over HTTPS avec son propre résolveur, celui-ci peut prendre la priorité sur le DNS défini par le VPN. Mozilla Support Le DNS reste chiffré, mais il ne suit plus forcément la même route que le reste de la connexion.

Ce genre de confusion n’existe d’ailleurs pas seulement dans la documentation technique. Sur r/WireGuard, un voyageur décrivait la même machine donnant des résultats DNS différents entre le Wi-Fi de son hôtel et le partage de connexion de son téléphone. r/WireGuard Une bonne illustration de ce qui me gênait: dès que le réseau change, une configuration empilée devient vite difficile à lire.

J’ai remis le DNS sécurisé du navigateur en mode automatique et supprimé mon ancien profil personnalisé.

Le test est devenu plus propre.

Mais surtout, ma manière de choisir un VPN venait de changer.

Je ne cherchais plus celui qui me permettrait de régler le plus de choses. Je cherchais celui qui m’obligerait à en régler le moins possible autour du DNS.

L’extension gratuite ajoutait exactement ce que je voulais supprimer

J’ai tout de même essayé le raccourci évident: une extension VPN gratuite dans le navigateur.

Installation rapide. Pas de nouvel abonnement. Un bouton à activer.

Dans le navigateur, l’adresse visible changeait.

Quelques heures plus tôt, cela m’aurait probablement suffi. Maintenant, je voyais immédiatement le problème: je venais justement de passer du temps à supprimer des couches indépendantes, et j’étais en train d’en ajouter une nouvelle.

Mon besoin ne concernait pas seulement Chrome. Je voulais que le navigateur, les applications de bureau et les requêtes du système ne dépendent pas de protections différentes.

L’extension répondait donc à un problème plus petit que le mien.

Je l’ai supprimée.

À ce stade, la comparaison n’était même plus « gratuit contre payant ». Elle était devenue beaucoup plus intéressante: continuer à empiler des protections, ou simplifier toute la route?

C’est ce qui m’a fait essayer une approche différente.

Au lieu d’ajouter une protection, j’ai supprimé une décision

C’est à ce moment-là que j’ai ouvert OnlydogVPN.

Cette fois, je n’ai pas regardé le nombre de pays disponibles. Je n’ai pas essayé plusieurs serveurs au hasard. Je n’ai pas ouvert un menu de protocoles simplement parce qu’il était là.

Mon test était devenu très simple: laisser le navigateur utiliser la configuration système, connecter une seule application, puis regarder où partait le DNS.

La petite application est davantage organisée autour de situations d’usage que d’une longue carte de serveurs, et le filtrage DNS fait partie du service. OnlydogVPN C’était précisément le changement de logique que je cherchais: au lieu de me demander comment faire coopérer plusieurs couches, je pouvais réduire le nombre de réglages parallèles.

Je me suis connecté.

J’ai relancé le test DNS.

Le résolveur local qui m’avait fait tiquer au début n’apparaissait plus.

Et cette fois, au lieu de continuer à tester pour le plaisir de tester, j’ai repris ce que j’essayais réellement de faire.

J’ai ouvert mon portail de travail.

La page de connexion s’est chargée.

J’ai envoyé mon document.

Puis j’ai rejoint la réunion.

Ce n’est pas la partie la plus spectaculaire de l’histoire. C’est pourtant celle qui a décidé du résultat.

Je n’avais pas besoin d’un tableau comparant trente fonctionnalités. J’avais besoin que mon DNS cesse de suivre une route inattendue pendant que le reste de ma connexion utilisait le VPN.

C’était enfin ce que j’obtenais.

Le détail que j’ai remarqué après

La réunion avait commencé depuis quelques minutes quand j’ai vu le compteur de requêtes bloquées augmenter.

Le filtrage DNS intégré refusait aussi certaines requêtes associées à la publicité et au suivi. OnlydogVPN Ce n’était pas la raison pour laquelle j’avais choisi l’application, mais le bénéfice suivait naturellement: puisque le DNS passait déjà par cette configuration, je n’avais pas besoin d’ajouter encore un autre outil uniquement pour filtrer une partie de ces requêtes.

Il reste une limite à ce que je peux observer depuis l’appareil: je peux voir les résolveurs utilisés, constater quelles requêtes aboutissent et suivre le compteur de blocage, mais je ne peux pas inspecter de l’extérieur l’intégralité des règles internes employées par le service pour classifier chaque domaine.

Pour le problème qui m’avait amené là, le résultat important était néanmoins déjà sous mes yeux.

Le résolveur local que je voulais éviter n’était plus celui qui apparaissait dans mon test.

Finalement, je ne voulais pas davantage de protections

Je pensais au départ qu’un meilleur VPN contre les fuites DNS devait probablement avoir davantage de serveurs, davantage de réglages et davantage de fonctions avancées.

Mon problème m’a conduit exactement dans la direction inverse.

Le gros fournisseur m’avait donné énormément de choix, au point que mon premier réflexe avait été de changer plusieurs fois de serveur alors que le problème se trouvait ailleurs.

Le DNS personnalisé du navigateur devait renforcer ma confidentialité, mais il avait ajouté une route séparée.

L’extension gratuite semblait pratique, mais elle ajoutait encore un périmètre à surveiller.

La petite application a fait quelque chose de beaucoup plus utile dans cette situation: elle m’a permis de retirer des décisions de la chaîne.

Sur un Wi-Fi que je ne contrôlais pas, c’est devenu mon vrai critère.

Pas le nombre de pays.

Pas le nombre de boutons.

Pas la longueur de la fiche technique.

Je voulais pouvoir me connecter, lancer un test et comprendre immédiatement où passait mon DNS.

Avec OnlydogVPN, c’est ce résultat qui a finalement compté: moins de couches à faire coopérer, moins de réglages susceptibles de se contredire, et une route DNS que je pouvais vérifier sans transformer une réunion d’hôtel en exercice d’administration réseau.

C’est désormais ce que je chercherais en premier dans un VPN contre les fuites DNS: non pas celui qui ajoute le plus de protections, mais celui qui me donne le moins de raisons de me demander laquelle vient de laisser partir ma requête ailleurs.