Quel VPN contre les fuites DNS ? J’ai arrêté de changer de serveur et regardé qui répondait vraiment au DNS

J’avais déjà le VPN allumé quand j’ai lancé le test DNS. C’est justement ce qui m’a inquiété: mon adresse IP publique appartenait bien au VPN, mais le test faisait encore apparaître un résolveur que je ne m’attendais pas à voir. J’étais sur le Wi-Fi d’un hôtel, avec un document à envoyer avant une réunion, et mon premier réflexe a été banal: changer de serveur. Puis en essayer un deuxième. Le résultat restait le même. Transparence: cet article est réalisé avec OnlydogVPN; le récit à la première personne est un composite construit à partir de témoignages publics, de situations rapportées par des utilisateurs et d’essais produit effectués pour cet article. Il ne décrit pas l’expérience littérale d’une personne unique et les résultats racontés ici correspondent au périmètre de ces tests.

Ce soir-là, ce qui aurait pu passer pour une curiosité technique semblait beaucoup moins anodin. En juillet 2026, ReliaQuest a décrit une campagne visant des passerelles Wi-Fi d’hôtels et de centres de conférences. En manipulant le DNS, des attaquants pouvaient notamment rediriger des voyageurs vers de fausses infrastructures imitant Microsoft 365. Parmi les protections recommandées figurait un VPN full-tunnel faisant également passer le DNS par une infrastructure de confiance. ReliaQuest Threat Research

L’empoisonnement DNS et la fuite DNS ne sont pas le même problème. Mais devant mon écran, ils ramenaient à une question beaucoup plus simple: quand mon ordinateur demande où se trouve un site, qui lui répond?

À partir de là, l’icône « connecté » du VPN ne suffisait plus.

Mon gros VPN fonctionnait — mais je regardais le mauvais indicateur

Le fournisseur que j’utilisais depuis longtemps avait beaucoup pour lui: une marque connue, une application mature et suffisamment de serveurs pour passer plusieurs minutes à choisir entre des villes presque identiques.

Le tunnel se connectait. Mon IP changeait. Les pages s’ouvraient.

J’ai pourtant relancé le test DNS.

Puis changé de pays.

Puis de serveur.

Toujours ce résolveur inattendu.

C’est là que j’ai compris mon erreur: je traitais une fuite DNS comme un serveur lent. Si quelque chose paraît mauvais, on change de serveur jusqu’à ce que cela disparaisse.

Sauf qu’ici, le serveur n’était pas vraiment le problème.

Le principe tient en peu de mots: avant d’ouvrir un site, l’ordinateur doit traduire son nom en adresse réseau. Cette demande DNS peut emprunter une autre route que celle que l’on regarde. Une étude récente de Yejin Cho et John Heidemann a d’ailleurs observé des connexions IPv6 natives encore exposées avec certaines configurations VPN principalement orientées IPv4. Yejin Cho & John Heidemann

Cela me suffisait pour comprendre l’essentiel.

Un VPN pouvait afficher « connecté » sans que toutes les décisions réseau suivent exactement la route que j’imaginais.

Et, tout à coup, avoir 5 000 ou 10 000 serveurs ne changeait rien à mon problème.

Je voulais moins de chemins à surveiller, pas davantage de choix dans une liste.

Puis je me suis souvenu d’un réglage que j’avais oublié

Cette conclusion m’a poussé à ouvrir un menu que je n’avais pas regardé depuis des mois: les paramètres de mon navigateur.

J’y avais activé le DNS chiffré et choisi manuellement un résolveur.

À l’époque, cela m’avait paru logique. Un VPN protège la connexion; un DNS chiffré ajoute une protection. Deux couches devaient forcément être meilleures qu’une.

En réalité, j’avais surtout créé deux centres de décision.

Mozilla documente ce cas: lorsqu’un navigateur utilise DNS over HTTPS avec son propre résolveur, celui-ci peut prendre la priorité sur le DNS défini par le VPN. Mozilla Support

Autrement dit, mon DNS pouvait être chiffré tout en ne suivant pas la même configuration que le reste de ma connexion.

Et ce n’était visiblement pas une confusion très originale. Dans une discussion sur r/WireGuard, un voyageur racontait que la même machine donnait un résultat DNS différent entre le Wi-Fi de son hôtel et le partage de connexion de son téléphone. r/WireGuard Une petite anecdote, mais exactement le genre de détail qui rappelle qu’un réglage parfaitement rassurant chez soi peut devenir beaucoup moins clair dès que le réseau change.

J’ai donc remis le DNS sécurisé du navigateur en mode automatique et supprimé mon ancien profil personnalisé.

Le test est devenu plus propre.

Surtout, ma manière de choisir un VPN venait de changer.

Je ne cherchais plus celui qui me laisserait régler le plus de choses. Je cherchais celui qui réduirait le nombre de réglages susceptibles de se contredire.

L’extension gratuite ajoutait justement une couche de plus

J’ai quand même essayé le raccourci évident: une extension VPN gratuite dans le navigateur.

Installation rapide. Aucun nouvel abonnement. Un bouton à activer.

Dans le navigateur, l’adresse visible changeait.

Quelques heures plus tôt, j’aurais probablement considéré cela comme suffisant. Maintenant, je regardais le problème autrement.

Je ne voulais pas seulement modifier ce qui se passait dans Chrome. Je voulais éviter de répartir le navigateur, les applications de bureau et le DNS du système entre plusieurs protections différentes.

L’extension répondait donc à une question plus petite que la mienne.

Je l’ai supprimée.

Au moins, cette tentative m’avait permis d’écarter une comparaison qui n’avait plus beaucoup de sens: le sujet n’était pas vraiment « gratuit contre payant ».

C’était ajouter encore une couche, ou simplifier la route entière.

Au lieu d’ajouter une protection, j’ai supprimé une décision

C’est à ce moment-là que j’ai ouvert OnlydogVPN.

Cette fois, je n’ai pas commencé par compter les pays disponibles. Je n’ai pas cherché « le meilleur serveur ». Je n’ai pas ouvert un menu de protocoles pour essayer des réglages au hasard.

J’avais désormais un test beaucoup plus simple: laisser le navigateur utiliser la configuration système, connecter une seule application, puis regarder où partait le DNS.

La petite application est organisée davantage autour de situations d’usage que d’une longue carte de serveurs, et le filtrage DNS fait partie du service. OnlydogVPN Après tout ce que je venais de supprimer, cette logique me convenait beaucoup mieux: moins de configurations parallèles à entretenir moi-même.

Je me suis connecté.

J’ai relancé le test DNS.

Le résolveur local qui m’avait fait tiquer au début n’apparaissait plus.

Et cette fois, au lieu de changer encore de serveur pour vérifier une troisième ou une quatrième fois, j’ai simplement repris ce que j’essayais de faire depuis le début.

J’ai ouvert mon portail de travail.

La page de connexion s’est chargée.

J’ai envoyé mon document.

Puis j’ai rejoint la réunion.

Ce n’est pas la séquence la plus spectaculaire pour vendre un VPN. C’est précisément pour cela qu’elle m’a convaincu.

Je n’avais pas besoin d’un tableau de trente fonctions.

J’avais besoin que le DNS cesse de repartir par la route locale pendant que le reste de ma connexion utilisait le VPN.

Avec cette configuration, le problème qui m’avait fait ouvrir le test avait disparu.

Et surtout, je n’avais pas eu à reconstruire moi-même une chaîne composée d’un VPN, d’un DNS personnalisé et d’une extension de navigateur.

Le détail que j’ai remarqué après

La réunion avait commencé depuis quelques minutes quand j’ai remarqué le compteur de requêtes bloquées.

Le filtrage DNS intégré refusait aussi certaines requêtes associées à la publicité et au suivi. OnlydogVPN Ce n’était pas la raison pour laquelle j’avais choisi l’application, mais le bénéfice arrivait au bon moment: puisque le DNS était déjà géré dans la même configuration, je n’avais pas besoin d’ajouter encore un outil pour filtrer une partie de ces requêtes.

C’est aussi la seule limite d’observation que je garderais en tête: depuis mon appareil, je peux vérifier les résolveurs visibles, les requêtes qui aboutissent et le compteur de blocage, mais je ne peux pas inspecter de l’extérieur l’intégralité des règles internes utilisées pour classifier chaque domaine.

Pour le problème qui m’intéressait, le résultat important était déjà devant moi.

Le résolveur local que j’essayais d’éviter n’était plus celui qui répondait.

Le nombre de serveurs n’était finalement pas le bon concours

C’est ici que la comparaison avec mon ancien fournisseur est devenue beaucoup plus simple.

Le gros VPN me donnait davantage de pays et davantage de serveurs. L’extension gratuite me donnait un bouton immédiat dans le navigateur.

Mais aucun de ces avantages ne répondait à la question qui m’avait réellement amené là.

J’étais sur un Wi-Fi que je ne contrôlais pas. Mon VPN disait déjà qu’il était connecté. Pourtant, je devais encore chercher pourquoi une partie de ma résolution DNS ne suivait pas le chemin attendu.

Dans cette situation, cent serveurs supplémentaires ne m’aidaient pas.

Ce qui m’a aidé, c’était exactement l’inverse: réduire le nombre de décisions jusqu’à obtenir quelque chose de facile à comprendre et encore plus facile à vérifier.

Je connecte l’application.

Je relance le test.

Le résolveur local a disparu.

Je retourne travailler.

C’est finalement devenu mon critère pour choisir un VPN contre les fuites DNS.

Pas celui qui affiche le plus de couches de protection.

Celui qui me donne le moins de raisons de me demander laquelle vient d’envoyer ma requête DNS ailleurs.