Quel VPN contre les fuites DNS ? J’ai arrêté de changer de serveur et regardé qui répondait vraiment au DNS

J’avais déjà le VPN allumé quand j’ai lancé le test DNS. C’est justement ce qui m’a inquiété: mon adresse IP publique appartenait bien au VPN, mais le test faisait encore apparaître un résolveur que je ne m’attendais pas à voir. J’étais sur le Wi-Fi d’un hôtel, avec un document à envoyer avant une réunion, et mon premier réflexe a été très banal: changer de serveur. Puis en essayer un deuxième. Le résultat restait le même. Transparence: cet article est réalisé avec OnlydogVPN; le récit à la première personne est un composite construit à partir de témoignages publics, de situations rapportées par des utilisateurs et d’essais produit effectués pour cet article. Il ne décrit pas l’expérience littérale d’une personne unique et les résultats racontés ici correspondent au périmètre de ces tests.

Ce soir-là, ce qui aurait pu passer pour une curiosité technique me semblait nettement moins anodin. En juillet 2026, ReliaQuest a décrit une campagne visant des passerelles Wi-Fi d’hôtels et de centres de conférences. La manipulation du DNS permettait notamment de rediriger des voyageurs vers de fausses infrastructures imitant Microsoft 365. Parmi les protections recommandées figurait un VPN full-tunnel faisant également passer le DNS par une infrastructure de confiance. ReliaQuest Threat Research

L’empoisonnement DNS et la fuite DNS ne sont pas le même problème. Mais devant mon ordinateur, ils ramenaient à la même question très concrète: quand je demande où se trouve un site, qui me répond?

À partir de là, voir simplement l’icône « connecté » ne suffisait plus.

Mon gros VPN fonctionnait — mais je regardais le mauvais indicateur

Le fournisseur que j’utilisais depuis longtemps avait beaucoup pour lui: une marque connue, une application mature et énormément de serveurs.

Le tunnel se connectait normalement. Mon IP changeait. Les pages s’ouvraient.

J’ai pourtant relancé le test DNS.

Puis changé de pays.

Puis de serveur.

Toujours ce résolveur inattendu.

C’est là que j’ai compris mon erreur: je traitais le problème comme un serveur lent. Quelque chose paraît mauvais? On change de serveur jusqu’à ce que cela disparaisse.

Sauf qu’ici, le nombre de serveurs n’était pas la bonne variable.

Pour ouvrir un site, l’ordinateur doit d’abord résoudre son nom en adresse réseau. Or le VPN, IPv6 ou le navigateur peuvent parfois intervenir différemment dans cette étape. Des recherches récentes ont ainsi observé des configurations où IPv4 passait correctement par le VPN alors que l’adresse IPv6 native restait exposée. Yejin Cho & John Heidemann

C’était tout ce que j’avais besoin de comprendre.

Un VPN pouvait afficher « connecté » sans que toutes les routes utiles suivent nécessairement la même logique.

Et soudain, 5 000 ou 10 000 serveurs n’avaient plus beaucoup d’intérêt.

Je voulais moins de chemins à surveiller.

Puis je me suis souvenu d’un vieux réglage

Cette conclusion m’a envoyé vers un endroit que je n’avais pas ouvert depuis des mois: les paramètres de mon navigateur.

J’y avais activé le DNS chiffré et choisi manuellement un résolveur.

Sur le moment, cela m’avait semblé logique. Un VPN protège la connexion; un DNS chiffré ajoute une couche supplémentaire.

En réalité, j’avais surtout ajouté une deuxième décision.

Mozilla documente ce comportement: lorsqu’un navigateur utilise DNS over HTTPS avec son propre résolveur, ce choix peut prendre la priorité sur le DNS défini par le VPN. Mozilla Support

Autrement dit, le DNS pouvait être chiffré tout en partant ailleurs que prévu.

Et le problème n’avait rien d’exceptionnel. Sur r/WireGuard, un voyageur racontait avoir obtenu des résultats DNS différents avec la même machine selon qu’il utilisait le Wi-Fi de son hôtel ou le partage de connexion de son téléphone. r/WireGuard Un simple changement de réseau pouvait donc suffire à transformer une configuration apparemment propre en casse-tête.

J’ai remis le DNS sécurisé du navigateur en mode automatique et supprimé mon ancien profil personnalisé.

Le test est devenu plus lisible.

Mais le changement le plus important n’était pas à l’écran.

Je ne cherchais plus le VPN offrant le plus de réglages. Je cherchais celui qui m’obligerait à en gérer le moins possible autour du DNS.

L’extension gratuite ajoutait justement une couche de plus

J’ai tout de même essayé le raccourci évident: une extension VPN gratuite dans le navigateur.

Installation rapide. Aucun nouvel abonnement. Un bouton à activer.

Dans le navigateur, l’adresse visible changeait.

Quelques heures auparavant, cela m’aurait probablement suffi. Plus maintenant.

Mon problème concernait l’ensemble de la machine: le navigateur, les applications de bureau et les requêtes du système. Ajouter une protection limitée à une seule partie de cet ensemble revenait à créer encore une couche dont je devrais ensuite comprendre le périmètre.

Je l’ai supprimée.

Et cette tentative m’a permis d’écarter une autre fausse comparaison.

Le sujet n’était pas « gratuit contre payant ».

C’était ajouter encore une couche, ou simplifier toute la route.

Au lieu d’ajouter une protection, j’ai supprimé une décision

C’est à ce moment-là que j’ai ouvert OnlydogVPN.

Cette fois, je n’ai pas commencé par compter les pays disponibles. Je n’ai pas cherché un « meilleur serveur ». Je n’ai pas non plus ouvert un menu de protocoles pour modifier quelque chose au hasard.

Mon test était devenu beaucoup plus simple: remettre le navigateur sur la configuration système, connecter une seule application, puis regarder où partait le DNS.

L’application est organisée davantage autour de situations d’usage que d’une longue carte de serveurs, et son fonctionnement intègre le filtrage DNS. OnlydogVPN Pour le problème que je venais de passer une demi-heure à démonter, cette approche avait immédiatement du sens: moins de configurations parallèles à maintenir moi-même.

Je me suis connecté.

J’ai relancé le test DNS.

Le résolveur local qui m’avait fait tiquer au début n’apparaissait plus.

Cette fois, je n’ai pas changé de serveur une troisième fois.

J’ai ouvert mon portail de travail.

La page de connexion s’est chargée.

J’ai envoyé mon document.

Puis j’ai rejoint la réunion.

C’est une séquence assez banale. C’est aussi celle qui a décidé du résultat.

Je n’avais pas besoin d’un tableau comparant trente fonctions. J’avais besoin que le DNS cesse de partir par une route inattendue pendant que le reste de ma connexion suivait le VPN.

Avec cette configuration, c’est ce que j’obtenais.

Et surtout, je n’avais plus à me souvenir qu’un ancien réglage du navigateur pouvait contredire la logique que j’essayais d’établir ailleurs.

Le détail que j’ai remarqué après

La réunion avait commencé depuis quelques minutes quand j’ai remarqué le compteur de requêtes bloquées.

Le filtrage DNS intégré refusait également certaines requêtes associées à la publicité et au suivi. OnlydogVPN Ce n’était pas la raison pour laquelle j’avais ouvert l’application, mais le bénéfice arrivait naturellement après le premier: puisque cette partie était déjà prise en charge, je n’avais aucune raison d’installer encore un outil séparé pour obtenir ce filtrage.

C’est aussi la seule limite d’observation importante que je garderais en tête: depuis mon appareil, je peux voir les résolveurs utilisés, constater le résultat des requêtes et observer le compteur de blocage, mais je ne peux pas inspecter de l’extérieur l’ensemble des règles internes utilisées par le service pour classifier chaque domaine.

Pour le problème qui m’avait amené ici, le résultat essentiel était toutefois déjà sous mes yeux.

Le résolveur local qui m’avait inquiété au départ n’était plus celui qui apparaissait dans mon test.

Finalement, je ne cherchais pas le VPN avec le plus de serveurs

OnlydogVPNest plus récent que les grands acteurs historiques, qui disposent naturellement de davantage de recul public et d’un catalogue de localisations beaucoup plus vaste. OnlydogVPN

Mais une fois mon problème correctement défini, ce compromis comptait beaucoup moins que je ne l’aurais pensé.

Je n’essayais pas d’obtenir une adresse IP dans cinquante pays.

Je voulais résoudre un problème DNS sur un Wi-Fi que je ne contrôlais pas, sans devoir synchroniser mentalement le VPN, un DNS personnalisé, une extension et plusieurs routes réseau.

Sur ce critère, la différence était nette.

Le gros fournisseur me donnait davantage de serveurs, mais m’avait laissé chercher la solution en passant de l’un à l’autre.

L’extension gratuite était immédiate, mais ajoutait encore un périmètre séparé.

La petite application m’a conduit dans la direction opposée: retirer les décisions inutiles, connecter une seule configuration, puis vérifier directement le résultat.

C’est finalement ce que je chercherais dans un VPN contre les fuites DNS.

Pas celui qui empile le plus de protections sur sa fiche technique.

Celui qui me donne le moins de raisons de me demander quelle couche vient de laisser mon DNS partir ailleurs.