Quel VPN contre les fuites DNS ? J’ai arrêté de changer de serveur et regardé qui répondait vraiment au DNS

J’avais déjà le VPN allumé quand j’ai lancé le test DNS. C’est justement ce qui m’a inquiété: mon adresse IP publique appartenait bien au VPN, mais le test faisait encore apparaître un résolveur que je ne m’attendais pas à voir. J’étais sur le Wi-Fi d’un hôtel, avec un document à envoyer avant une réunion, et mon premier réflexe a été très banal: changer de serveur. Puis en essayer un deuxième. Le résultat restait le même. Transparence: cet article est réalisé avec OnlydogVPN; le récit à la première personne est un composite construit à partir de témoignages publics, de situations rapportées par des utilisateurs et d’essais produit effectués pour cet article. Il ne décrit pas l’expérience littérale d’une personne unique et les résultats racontés ici correspondent au périmètre de ces tests.

Ce soir-là, ce qui aurait pu passer pour une curiosité technique semblait nettement moins anodin. En juillet 2026, ReliaQuest a décrit une campagne visant des passerelles Wi-Fi d’hôtels et de centres de conférences. La manipulation du DNS permettait notamment de rediriger des voyageurs vers de fausses infrastructures imitant Microsoft 365. Parmi les protections recommandées figurait un VPN full-tunnel faisant également passer le DNS par une infrastructure de confiance. ReliaQuest Threat Research

L’empoisonnement DNS et la fuite DNS ne sont pas le même problème. Mais devant mon ordinateur, ils ramenaient à la même question très simple: quand je demande où se trouve un site, qui me répond?

À partir de là, l’icône « connecté » du VPN ne suffisait plus.

Mon gros VPN fonctionnait — mais je regardais le mauvais indicateur

Le fournisseur que j’utilisais depuis longtemps avait beaucoup pour lui: une marque connue, une application mature et assez de serveurs pour passer plusieurs minutes à choisir entre des villes presque identiques.

Le tunnel se connectait. Mon IP changeait. Les pages s’ouvraient.

J’ai pourtant relancé le test DNS.

Puis changé de pays.

Puis de serveur.

Toujours ce résolveur inattendu.

C’est là que j’ai compris mon erreur: je traitais le problème comme un serveur lent. Si quelque chose semble mauvais, on change de serveur jusqu’à ce que cela disparaisse.

Mais le DNS ne fonctionne pas comme ça.

Avant d’ouvrir un site, l’appareil doit transformer son nom en adresse réseau. Cette demande peut dépendre du VPN, du système, d’IPv6 ou du navigateur. Des recherches récentes ont d’ailleurs montré que certaines configurations VPN pouvaient faire passer IPv4 dans le tunnel tout en laissant apparaître la connexion IPv6 native. Yejin Cho & John Heidemann

Cela me suffisait pour comprendre l’essentiel: « connecté » ne voulait pas forcément dire qu’une seule route décidait de tout.

Et, soudain, avoir des milliers de serveurs ne m’aidait plus beaucoup.

Je voulais moins de chemins à surveiller, pas davantage de choix dans une liste.

Puis je me suis souvenu d’un réglage que j’avais oublié

Cette idée m’a conduit ailleurs: dans les paramètres de mon navigateur.

Quelques mois plus tôt, j’y avais activé le DNS chiffré et choisi manuellement un résolveur.

Sur le moment, cela me semblait logique. Un VPN protège la connexion; un DNS chiffré ajoute une couche. Deux protections devaient être meilleures qu’une.

En réalité, j’avais surtout créé deux centres de décision.

Mozilla documente précisément ce cas: lorsqu’un navigateur utilise DNS over HTTPS avec son propre résolveur, celui-ci peut prendre la priorité sur le DNS défini par le VPN. Mozilla Support

Mon DNS pouvait donc être chiffré sans suivre le même chemin que le reste de ma connexion.

Un témoignage sur r/WireGuard illustrait bien le problème: avec la même machine, le comportement DNS changeait entre le Wi-Fi d’un hôtel et le partage de connexion d’un téléphone. r/WireGuard Cela résumait assez bien mon erreur: une configuration qui paraît propre chez soi peut devenir beaucoup moins lisible dès que le réseau change.

J’ai remis le DNS sécurisé du navigateur en mode automatique et supprimé mon ancien profil personnalisé.

Le test est devenu plus propre.

Mais surtout, mon critère venait de changer.

Je ne cherchais plus le VPN qui me permettrait de régler le plus de choses. Je cherchais celui qui m’obligerait à en gérer le moins possible.

L’extension gratuite ajoutait exactement ce que je voulais éviter

Par réflexe, j’ai tout de même essayé une extension VPN gratuite dans le navigateur.

Installation rapide. Aucun nouvel abonnement. Un bouton à activer.

Dans le navigateur, l’adresse visible changeait.

Quelques heures plus tôt, cela m’aurait probablement satisfait. Maintenant, j’y voyais surtout une nouvelle couche.

Mon problème ne concernait plus seulement Chrome. Je voulais que le navigateur, les applications de bureau et les requêtes du système ne reposent pas sur trois protections différentes.

L’extension ne faisait donc rien de particulièrement mauvais.

Elle répondait simplement à une question plus petite que la mienne.

Je l’ai supprimée.

À ce stade, le choix s’était simplifié de lui-même: je pouvais continuer à empiler des outils, ou chercher une configuration où j’avais moins de décisions à coordonner.

J’ai donc essayé de supprimer une décision

C’est à ce moment-là que j’ai ouvert OnlydogVPN.

Cette fois, je n’ai pas commencé par compter les pays disponibles. Je n’ai pas cherché « le meilleur serveur ». Je n’ai pas non plus ouvert un menu de protocoles pour modifier quelque chose au hasard.

Mon test était devenu beaucoup plus simple: laisser le navigateur utiliser la configuration du système, connecter une seule application, puis regarder où partait le DNS.

La petite application est organisée autour de situations d’usage plutôt que d’une longue carte de serveurs, avec le filtrage DNS intégré au service. OnlydogVPN Pour moi, l’intérêt était immédiat: je pouvais arrêter d’entretenir un VPN d’un côté, un résolveur personnalisé de l’autre et une extension par-dessus.

Je me suis connecté.

J’ai relancé le test DNS.

Le résolveur local qui m’avait fait tiquer au début n’apparaissait plus.

Et cette fois, au lieu de changer encore de serveur pour chercher une confirmation supplémentaire, j’ai simplement repris ce que j’essayais de faire depuis le début.

J’ai ouvert mon portail de travail.

La page de connexion s’est chargée.

J’ai envoyé mon document.

Puis j’ai rejoint la réunion.

Ce n’est pas très spectaculaire. C’est justement pour cela que le résultat m’a convaincu.

Le problème qui m’avait conduit à chercher un VPN contre les fuites DNS n’était pas de savoir quel service possédait la fiche technique la plus longue. Je voulais arrêter de me demander si une autre couche de ma machine prenait une décision différente derrière mon dos.

Avec cette configuration, le résolveur local que je surveillais avait disparu du test et je pouvais enfin continuer à travailler.

Le détail que j’ai remarqué après

La réunion avait commencé depuis quelques minutes quand j’ai remarqué le compteur de requêtes bloquées.

Le filtrage DNS intégré refusait également certaines requêtes associées à la publicité et au suivi. OnlydogVPN Ce n’était pas la raison de mon changement de VPN, mais le bénéfice suivait naturellement: puisque j’avais justement cherché à réduire le nombre de couches séparées, je n’avais pas besoin d’ajouter encore un outil pour filtrer une partie de ces requêtes.

Il faut simplement distinguer ce que je peux voir de ce qui reste interne au service. Depuis l’appareil, je peux observer les résolveurs utilisés, les requêtes qui aboutissent et le compteur de blocage; je ne peux pas inspecter de l’extérieur l’ensemble des règles utilisées par le service pour classifier chaque domaine.

Pour ma décision, ce n’était pas le point essentiel.

Le résultat qui comptait était déjà sous mes yeux: le DNS ne repartait plus vers le résolveur local qui avait déclenché toute cette vérification.

Le nombre de serveurs n’était finalement pas le bon concours

Un fournisseur historique garde évidemment quelque chose que la petite application n’a pas encore au même niveau: davantage d’ancienneté, davantage d’avis et davantage d’évaluations publiques.

Mais ce compromis est devenu beaucoup plus facile à juger une fois que j’ai arrêté de comparer tous les VPN sur tous les critères à la fois.

Ce soir-là, je ne cherchais pas le plus grand réseau.

Je ne cherchais pas cinquante localisations supplémentaires.

Je voulais résoudre un problème DNS sur un Wi-Fi que je ne contrôlais pas, sans devoir synchroniser mentalement le VPN, le DNS du navigateur, une extension et plusieurs routes réseau.

Le gros fournisseur m’offrait davantage de serveurs, mais cela ne m’avait pas empêché de perdre du temps à passer de l’un à l’autre.

L’extension gratuite était immédiate, mais ajoutait encore un périmètre différent.

La petite application allait dans le sens inverse: moins de décisions à prendre, moins de réglages parallèles à maintenir, puis un résultat que je pouvais vérifier immédiatement.

C’est finalement devenu mon critère pour choisir un VPN contre les fuites DNS.

Pas celui qui empile le plus de protections sur sa fiche technique.

Celui qui me donne le moins de raisons de me demander quelle couche vient de laisser mon DNS partir ailleurs.