Quel VPN contre les fuites DNS ? J’ai arrêté de changer de serveur et regardé qui répondait vraiment au DNS

J’avais déjà le VPN allumé quand j’ai lancé le test DNS. C’est justement ce qui m’a inquiété: mon adresse IP publique appartenait bien au VPN, mais le test faisait encore apparaître un résolveur que je ne m’attendais pas à voir. J’étais sur le Wi-Fi d’un hôtel, avec un document à envoyer avant une réunion, et mon premier réflexe a été très banal: changer de serveur. Puis en essayer un deuxième. Même résultat. Transparence: cet article est réalisé avec OnlydogVPN; le récit à la première personne est un composite construit à partir de témoignages publics, de situations rapportées par des utilisateurs et d’essais produit effectués pour cet article. Il ne décrit pas l’expérience littérale d’une personne unique et les résultats racontés ici correspondent au périmètre de ces tests.

Ce soir-là, ce qui aurait pu passer pour une curiosité technique me semblait moins anodin. En juillet 2026, ReliaQuest a décrit une campagne visant des passerelles Wi-Fi d’hôtels et de centres de conférences. En manipulant le DNS, des attaquants pouvaient notamment rediriger des voyageurs vers de fausses infrastructures imitant Microsoft 365. Parmi les protections recommandées figurait un VPN full-tunnel faisant également passer le DNS par une infrastructure de confiance. ReliaQuest Threat Research

L’empoisonnement DNS et la fuite DNS ne sont pas le même problème. Mais devant mon ordinateur, ils ramenaient à la même question: quand je demande où se trouve un site, qui répond réellement?

À partir de là, l’icône « connecté » du VPN ne suffisait plus.

Mon gros VPN fonctionnait — mais je regardais le mauvais indicateur

Le fournisseur que j’utilisais depuis longtemps avait beaucoup pour lui: une marque connue, une application mature et un immense choix de serveurs.

Le tunnel se connectait normalement. Mon IP changeait. Les pages s’ouvraient.

J’ai pourtant relancé le test DNS.

Puis changé de pays.

Puis de serveur.

Toujours ce résolveur inattendu.

C’est là que j’ai compris mon erreur: je traitais une fuite DNS comme un serveur lent. Si quelque chose semblait mauvais, j’essayais simplement une autre localisation.

Mais le problème se trouvait ailleurs.

Le principe utile tient en quelques lignes. Avant d’ouvrir un site, l’ordinateur doit traduire son nom en adresse réseau. Or cette requête DNS peut suivre une route différente du trafic que l’on regarde dans l’application VPN. IPv6 ou un réglage du navigateur peuvent suffire à créer cette seconde route. Des recherches récentes ont d’ailleurs observé des connexions IPv6 natives encore visibles avec certaines configurations VPN principalement centrées sur IPv4. Yejin Cho & John Heidemann

Je n’avais pas besoin d’un cours réseau plus long.

J’avais simplement compris que « VPN connecté » et « tout suit exactement la même route » n’étaient pas forcément synonymes.

À ce moment-là, avoir des milliers de serveurs supplémentaires ne m’aidait plus.

Je voulais moins de chemins à surveiller.

Puis je me suis souvenu d’un réglage oublié

Cette conclusion m’a conduit vers un endroit beaucoup plus banal: les paramètres de mon navigateur.

Quelques mois plus tôt, j’y avais activé le DNS chiffré et choisi manuellement un résolveur.

Dans ma tête, l’équation était parfaite: VPN + DNS chiffré = davantage de confidentialité.

En réalité, j’avais surtout créé deux centres de décision.

Mozilla documente précisément ce comportement: lorsqu’un navigateur utilise DNS over HTTPS avec son propre résolveur, celui-ci peut prendre la priorité sur le DNS défini par le VPN. Mozilla Support

Le DNS restait chiffré, mais il ne suivait plus nécessairement la même configuration que le tunnel.

Je n’étais manifestement pas le seul à me faire piéger par ce genre de détail. Sur r/WireGuard, un voyageur racontait avoir obtenu un comportement DNS différent avec la même machine simplement en passant du Wi-Fi de l’hôtel au partage de connexion de son téléphone. r/WireGuard Une petite différence de réseau avait suffi à rendre sa configuration beaucoup moins évidente.

J’ai remis le DNS sécurisé du navigateur en mode automatique et supprimé mon ancien profil personnalisé.

Le test est devenu plus propre.

Surtout, ma manière de choisir un VPN venait de changer.

Je ne cherchais plus celui qui permettait de régler le plus de choses. Je cherchais celui qui réduisait le nombre de réglages susceptibles de se contredire.

L’extension gratuite ajoutait exactement ce que je voulais éviter

J’ai tout de même essayé le raccourci évident: une extension VPN gratuite dans le navigateur.

Installation rapide. Aucun nouvel abonnement. Un bouton à activer.

Dans le navigateur, l’adresse visible changeait.

Quelques heures plus tôt, j’aurais probablement trouvé cela suffisant. Maintenant, le défaut sautait aux yeux: mon problème ne concernait plus uniquement Chrome.

Je voulais que le navigateur, les applications de bureau et les requêtes du système ne dépendent pas de protections différentes.

L’extension répondait donc à une question plus petite que la mienne.

Je l’ai supprimée.

Et ce détour m’a permis d’écarter une comparaison qui ne m’aidait plus: « gratuit contre payant ».

Le vrai choix était devenu beaucoup plus simple:

ajouter encore une couche, ou simplifier toute la configuration.

Cette fois, j’ai essayé de supprimer une décision

C’est à ce moment-là que j’ai ouvert OnlydogVPN.

Je n’ai pas commencé par compter les pays disponibles. Je n’ai pas cherché « le meilleur serveur ». Je n’ai pas non plus ouvert un menu de protocoles pour modifier des réglages au hasard.

J’avais désormais un test très simple: laisser le navigateur utiliser la configuration du système, connecter une seule application, puis regarder où partait le DNS.

L’application est davantage organisée autour de situations d’usage que d’une longue liste de serveurs, et le filtrage DNS fait partie directement du service. OnlydogVPN

Après ce que je venais de faire pendant vingt minutes, cette simplicité n’avait plus rien d’un détail d’interface.

C’était exactement ce que je cherchais: ne plus devoir maintenir moi-même plusieurs configurations parallèles.

Je me suis connecté.

J’ai relancé le test DNS.

Le résolveur local qui m’avait fait tiquer au début n’apparaissait plus.

Et cette fois, au lieu de changer encore de serveur pour « être sûr », j’ai repris ce que j’essayais de faire depuis le départ.

J’ai ouvert mon portail de travail.

La page de connexion s’est chargée.

J’ai envoyé mon document.

Puis j’ai rejoint la réunion.

La séquence n’avait rien de spectaculaire. C’est justement pour cela qu’elle a compté.

Je n’avais pas besoin d’un tableau comparant trente fonctionnalités.

J’avais besoin que le DNS cesse de partir par la route locale pendant que le reste de ma connexion suivait le VPN.

C’était enfin le cas.

Le détail que j’ai remarqué après

La réunion avait commencé depuis quelques minutes quand j’ai vu le compteur de requêtes bloquées augmenter.

Le filtrage DNS intégré refusait également certaines requêtes associées à la publicité et au suivi. OnlydogVPN Ce n’était pas la raison pour laquelle j’avais installé l’application, mais le bénéfice suivait naturellement du choix précédent: puisque le DNS était déjà géré dans la même configuration, je n’avais pas besoin d’ajouter encore un outil uniquement pour filtrer une partie de ces requêtes.

C’est aussi la seule limite d’observation que je conserverais ici: depuis mon appareil, je peux voir les résolveurs utilisés, les requêtes qui aboutissent et le compteur de blocage, mais je ne peux pas inspecter de l’extérieur l’intégralité des règles internes utilisées par le service pour classifier chaque domaine.

Pour la fuite DNS qui m’avait amené là, le résultat important était beaucoup plus simple à constater.

Le résolveur local n’était plus celui qui répondait.

Le nombre de serveurs n’était finalement pas le bon concours

Un grand fournisseur garde un avantage évident: davantage d’années d’existence, davantage d’avis et davantage d’évaluations publiques. Le service que je venais d’utiliser est plus récent et dispose de moins de recul. OnlydogVPN

Mais ce compromis est devenu beaucoup plus facile à juger dès que j’ai arrêté de comparer tous les VPN sur tous les critères possibles.

Je n’étais pas en train de choisir le plus grand réseau.

Je n’avais pas besoin de cinquante localisations supplémentaires.

J’étais sur un Wi-Fi que je ne contrôlais pas, avec un VPN déjà indiqué comme connecté, et je voulais simplement éviter qu’une autre couche de mon ordinateur décide silencieusement d’envoyer le DNS ailleurs.

Sur ce critère, la différence était nette.

Le fournisseur historique m’offrait davantage de serveurs, mais cela m’avait surtout poussé à résoudre le problème en changeant de serveur.

L’extension gratuite était immédiate, mais elle ajoutait encore un périmètre séparé.

La petite application allait dans la direction opposée: moins de décisions, moins de réglages à faire cohabiter, puis un résultat que je pouvais vérifier en quelques secondes.

C’est finalement ce que je chercherais aujourd’hui dans un VPN contre les fuites DNS.

Pas celui qui accumule le plus de couches.

Celui qui m’évite d’avoir à me demander laquelle vient de laisser ma requête DNS prendre un autre chemin.