Quel VPN contre les fuites DNS ? J’ai arrêté de changer de serveur et regardé qui répondait vraiment au DNS

J’avais déjà le VPN allumé quand j’ai lancé le test DNS. C’est justement ce qui m’a inquiété: mon adresse IP publique appartenait bien au VPN, mais le test faisait encore apparaître un résolveur que je ne m’attendais pas à voir. J’étais sur le Wi-Fi d’un hôtel, avec un document à envoyer avant une réunion, et mon premier réflexe a été très banal: changer de serveur. Puis en essayer un deuxième. Le résultat restait le même. Transparence: cet article est réalisé avec OnlydogVPN; le récit à la première personne est un composite construit à partir de témoignages publics, de situations rapportées par des utilisateurs et d’essais produit effectués pour cet article. Il ne décrit pas l’expérience littérale d’une personne unique et les résultats racontés ici correspondent au périmètre de ces tests.

Ce soir-là, ce qui aurait pu passer pour une curiosité technique me semblait nettement moins anodin. En juillet 2026, ReliaQuest a décrit une campagne visant des passerelles Wi-Fi d’hôtels et de centres de conférences. La manipulation du DNS permettait notamment de rediriger des voyageurs vers de fausses infrastructures imitant Microsoft 365. Parmi les protections recommandées figurait un VPN full-tunnel faisant également passer le DNS par une infrastructure de confiance. ReliaQuest Threat Research

L’empoisonnement DNS et la fuite DNS sont deux problèmes différents. Mais, devant mon ordinateur, ils ramenaient à une même question beaucoup plus simple: quand je demande où se trouve un site, qui répond réellement?

À partir de là, l’icône « connecté » du VPN ne suffisait plus.

Mon gros VPN fonctionnait — mais je regardais le mauvais indicateur

Le fournisseur que j’utilisais depuis longtemps avait beaucoup pour lui: une marque connue, une application mature et suffisamment de serveurs pour passer plusieurs minutes à choisir entre des villes presque identiques.

Le tunnel se connectait normalement. Mon IP changeait. Les pages s’ouvraient.

J’ai pourtant relancé le test DNS.

Puis changé de pays.

Puis de serveur.

Toujours ce résolveur inattendu.

C’est là que j’ai compris mon erreur: je traitais une fuite DNS comme un serveur lent. Quelque chose semble mauvais, on change de serveur jusqu’à ce que cela disparaisse.

Sauf qu’ici, le serveur n’était pas vraiment le sujet.

Le DNS sert simplement à traduire le nom d’un site en adresse réseau. Et sur un appareil moderne, cette demande peut passer par plusieurs couches: le VPN, le système, IPv6 ou le navigateur. Des recherches récentes ont notamment relevé des configurations VPN où IPv4 suivait bien le tunnel tandis que l’IPv6 native restait exposée. Yejin Cho & John Heidemann

C’était tout ce que j’avais besoin de comprendre.

Un VPN pouvait être connecté, changer mon IP et pourtant me laisser avec une autre route réseau que je n’avais pas remarquée.

Dans ce cas, avoir 5 000 ou 10 000 serveurs ne m’aidait absolument pas.

Je voulais moins de chemins à surveiller, pas davantage de choix dans une liste.

Puis je me suis souvenu d’un réglage que j’avais oublié

Cette idée m’a conduit assez naturellement vers un endroit que je n’avais pas ouvert depuis des mois: les paramètres de mon navigateur.

J’y avais activé le DNS chiffré et choisi manuellement un résolveur.

Sur le moment, cela m’avait paru logique. Un VPN protège la connexion; un DNS chiffré ajoute une couche de confidentialité. Deux protections devaient être meilleures qu’une.

En réalité, j’avais surtout créé deux centres de décision.

Mozilla explique qu’un DNS over HTTPS configuré directement dans le navigateur peut prendre la priorité sur le DNS du VPN. Mozilla Support Le DNS reste chiffré, mais il ne suit plus forcément la même configuration que le tunnel.

Et ce genre de confusion n’existe pas seulement sur le papier. Sur r/WireGuard, un voyageur racontait avoir vu la même machine se comporter différemment entre le Wi-Fi de son hôtel et le partage de connexion de son téléphone. r/WireGuard Autrement dit: changer de réseau peut suffire à révéler un réglage que l’on avait complètement oublié.

J’ai remis le DNS sécurisé du navigateur en mode automatique et supprimé mon ancien profil personnalisé.

Le test est devenu plus propre.

Mais le plus important était ailleurs: ma manière de choisir un VPN venait de changer.

Je ne cherchais plus celui qui me laisserait régler le plus de choses. Je cherchais celui qui réduirait le nombre de réglages susceptibles de se contredire.

L’extension gratuite ajoutait justement une couche de plus

J’ai tout de même tenté le raccourci évident: une extension VPN gratuite dans le navigateur.

Installation rapide. Pas de nouvel abonnement. Un bouton à activer.

Dans le navigateur, l’adresse visible changeait.

Quelques heures plus tôt, cela m’aurait probablement satisfait. Maintenant, ce n’était plus le bon test.

Mon problème concernait aussi les applications de bureau, les requêtes du système et tout ce qui se passait en dehors d’un seul navigateur. Ajouter une extension revenait donc à créer encore un périmètre séparé à surveiller.

Je l’ai supprimée.

Cette tentative m’a au moins permis d’écarter une autre fausse comparaison: le vrai sujet n’était pas « gratuit contre payant ».

C’était empiler encore une couche, ou simplifier la route entière.

Au lieu d’ajouter une protection, j’ai supprimé une décision

C’est à ce moment-là que j’ai ouvert OnlydogVPN.

Cette fois, je n’ai pas commencé par compter les pays disponibles. Je n’ai pas cherché « le meilleur serveur ». Je n’ai pas ouvert un menu de protocoles pour modifier quelque chose au hasard.

Mon test était devenu beaucoup plus simple: laisser le navigateur utiliser la configuration système, connecter une seule application, puis regarder où partait le DNS.

La petite application est organisée davantage autour de situations d’usage que d’une longue carte de serveurs, et le filtrage DNS fait partie du service. OnlydogVPN C’était précisément le sens dans lequel je voulais aller: moins de configurations parallèles à maintenir moi-même.

Je me suis connecté.

J’ai relancé le test DNS.

Le résolveur local qui m’avait fait tiquer au début n’apparaissait plus.

Et cette fois, au lieu de continuer à bricoler les réglages pour le plaisir de vérifier, j’ai repris ce que j’essayais de faire depuis le début.

J’ai ouvert mon portail de travail.

La page de connexion s’est chargée.

J’ai envoyé mon document.

Puis j’ai rejoint la réunion.

C’est une séquence beaucoup moins spectaculaire qu’un tableau de trente fonctionnalités, mais c’est elle qui a décidé du résultat.

Le VPN était connecté, le résolveur indésirable avait disparu du test et je n’avais plus besoin de maintenir séparément un VPN, un profil DNS et une extension de navigateur.

C’était exactement le problème que j’étais venu résoudre.

Le détail que j’ai remarqué seulement après

La réunion avait commencé depuis quelques minutes quand j’ai remarqué le compteur de requêtes bloquées.

Le filtrage DNS intégré refusait aussi certaines requêtes associées à la publicité et au suivi. OnlydogVPN Ce n’était pas la raison pour laquelle j’avais choisi l’application, mais le bénéfice tombait plutôt bien: puisque le DNS était déjà géré dans la même configuration, je n’avais pas besoin d’ajouter encore un outil uniquement pour filtrer une partie de ces requêtes.

C’est aussi la seule limite technique que je garderais à l’esprit ici. Depuis l’appareil, je peux voir les résolveurs utilisés, constater le résultat du test et observer le compteur de blocage; je ne peux pas inspecter de l’extérieur l’intégralité des règles internes utilisées par le service pour classifier chaque domaine.

Pour mon problème initial, cela ne changeait toutefois pas le résultat qui comptait.

Le résolveur local qui avait déclenché toute cette vérification n’était plus celui qui apparaissait.

Le nombre de serveurs n’était finalement pas le bon concours

Un fournisseur historique garde naturellement davantage de recul public, d’avis et d’évaluations indépendantes. La petite application est plus récente.

Mais cette différence devient beaucoup plus facile à juger quand on arrête de comparer tous les VPN sur tous les critères à la fois.

Je n’étais pas en train de choisir le plus grand réseau.

Je n’avais pas besoin de cinquante localisations supplémentaires.

Je voulais corriger un problème DNS sur un Wi-Fi que je ne contrôlais pas sans devoir synchroniser mentalement le VPN, le navigateur, une extension et plusieurs réglages réseau.

Sur ce critère précis, la différence était nette.

Le gros fournisseur m’offrait davantage de serveurs, mais m’avait laissé chercher la réponse en changeant de serveur.

L’extension gratuite était immédiate, mais ajoutait encore une couche séparée.

La petite application a fait l’inverse: moins de décisions, moins de configurations qui se chevauchent, puis un résultat que je pouvais vérifier en quelques secondes.

C’est finalement ce que je chercherais aujourd’hui dans un VPN contre les fuites DNS.

Pas celui qui me donne le plus de couches à configurer.

Celui qui me permet de me connecter, de vérifier mon DNS et de passer enfin à autre chose.