Quel VPN contre les fuites DNS ? J’ai arrêté de changer de serveur et regardé qui répondait vraiment au DNS

J’avais déjà le VPN allumé quand j’ai lancé le test DNS. C’est justement ce qui m’a inquiété: mon adresse IP publique appartenait bien au VPN, mais le test faisait encore apparaître un résolveur que je ne m’attendais pas à voir. J’étais sur le Wi-Fi d’un hôtel, avec un document à envoyer avant une réunion, et mon premier réflexe a été très banal: changer de serveur. Puis en essayer un deuxième. Le résultat restait le même. Transparence: cet article est réalisé avec OnlydogVPN; le récit à la première personne est un composite construit à partir de témoignages publics, de situations rapportées par des utilisateurs et d’essais produit effectués pour cet article. Il ne décrit pas l’expérience littérale d’une personne unique et les résultats racontés ici correspondent au périmètre de ces tests.

Ce soir-là, ce qui aurait pu passer pour une curiosité technique me semblait nettement moins anodin. En juillet 2026, ReliaQuest a décrit une campagne visant des passerelles Wi-Fi d’hôtels et de centres de conférences. La manipulation du DNS permettait notamment de rediriger des voyageurs vers de fausses infrastructures imitant Microsoft 365. Parmi les protections recommandées figurait un VPN full-tunnel faisant également passer le DNS par une infrastructure de confiance. ReliaQuest Threat Research

L’empoisonnement DNS et la fuite DNS ne sont pas le même problème. Mais devant mon ordinateur, ils ramenaient à une question beaucoup plus simple: quand je demande l’adresse d’un site, qui répond réellement?

À partir de là, l’icône « connecté » du VPN ne suffisait plus.

Mon gros VPN fonctionnait — mais je regardais le mauvais indicateur

Le fournisseur que j’utilisais depuis longtemps avait beaucoup pour lui: une marque connue, une application mature et énormément de serveurs.

Le tunnel se connectait normalement. Mon IP changeait. Les pages s’ouvraient.

J’ai pourtant relancé le test DNS.

Puis changé de pays.

Puis de serveur.

Toujours ce résolveur inattendu.

C’est là que j’ai compris mon erreur: je traitais une fuite DNS comme un serveur lent. Si quelque chose semble mauvais, on change de serveur jusqu’à ce que cela disparaisse.

Mais le problème se trouvait ailleurs.

Avant d’ouvrir un site, l’ordinateur doit convertir son nom en adresse réseau. Et cette demande DNS peut emprunter une route différente de celle que l’on imagine, notamment à cause d’IPv6 ou d’un réglage du navigateur. Des recherches récentes ont d’ailleurs observé des configurations VPN dans lesquelles IPv4 passait correctement par le tunnel alors que la connexion IPv6 native restait visible. Yejin Cho & John Heidemann

C’était tout ce que j’avais besoin de comprendre.

Mon VPN pouvait être connecté sans que toutes les routes utiles soient aussi cohérentes que je le pensais.

À cet instant, le nombre de serveurs a cessé de m’intéresser.

Je voulais moins de chemins à surveiller, pas davantage de choix dans une liste.

Puis je me suis souvenu d’un réglage que j’avais oublié

Cette conclusion m’a envoyé vers un endroit beaucoup moins spectaculaire: les paramètres de mon navigateur.

Quelques mois plus tôt, j’y avais activé le DNS chiffré et choisi manuellement un résolveur.

Sur le moment, l’idée m’avait paru logique. VPN + DNS chiffré: deux protections devaient forcément être meilleures qu’une.

En réalité, j’avais surtout créé deux centres de décision.

Mozilla explique que lorsqu’un navigateur utilise DNS over HTTPS avec son propre résolveur, celui-ci peut prendre la priorité sur le DNS défini par le VPN. Mozilla Support

Le DNS restait donc chiffré, mais il ne suivait plus forcément la même route que le reste de ma connexion.

Une discussion sur r/WireGuard m’a rappelé à quel point ce genre de situation peut devenir déroutant: un voyageur voyait la même machine se comporter différemment sur le Wi-Fi de son hôtel et sur le partage de connexion de son téléphone. r/WireGuard Autrement dit, changer de réseau pouvait suffire à faire réapparaître le doute.

J’ai remis le DNS sécurisé du navigateur en mode automatique et supprimé mon ancien profil personnalisé.

Le test est devenu plus propre.

Mais le changement le plus important n’était pas à l’écran.

C’était mon critère de choix.

Je ne cherchais plus le VPN qui me permettrait de régler le plus de choses. Je cherchais celui qui réduirait les réglages susceptibles de se contredire.

L’extension gratuite ajoutait justement une couche de plus

J’ai tout de même tenté le raccourci évident: une extension VPN gratuite dans le navigateur.

Installation rapide. Aucun nouvel abonnement. Un bouton à activer.

Dans le navigateur, l’adresse visible changeait.

Quelques heures plus tôt, cela m’aurait probablement satisfait. Maintenant, je savais que ce n’était qu’une partie du problème.

Je ne voulais pas protéger uniquement un onglet. Je voulais éviter que le navigateur, les applications et le système dépendent chacun d’une configuration différente.

L’extension ne faisait rien de mal.

Elle répondait simplement à une question plus petite que la mienne.

Je l’ai supprimée.

Et cette tentative a éliminé une autre fausse comparaison: le sujet n’était finalement pas « gratuit contre payant ».

C’était ajouter encore une couche, ou simplifier la route entière.

Au lieu d’ajouter une protection, j’ai supprimé une décision

C’est à ce moment-là que j’ai ouvert OnlydogVPN.

Cette fois, je n’ai pas compté les pays disponibles. Je n’ai pas cherché un supposé « meilleur serveur ». Je n’ai pas non plus commencé à changer de protocole au hasard.

Mon test était devenu beaucoup plus simple: laisser le navigateur utiliser la configuration système, connecter une seule application, puis regarder où partait le DNS.

La petite application est organisée davantage autour de situations d’usage que d’une longue carte de serveurs, et le filtrage DNS fait partie du service. OnlydogVPN Pour le problème que je venais de passer une demi-heure à démêler, cette approche avait un avantage immédiat: j’avais moins de configurations parallèles à maintenir moi-même.

Je me suis connecté.

J’ai relancé le test DNS.

Le résolveur local qui m’avait fait tiquer au début n’apparaissait plus.

Et cette fois, au lieu de changer encore de serveur pour continuer à tester, j’ai simplement repris ce que j’essayais de faire depuis le début.

J’ai ouvert mon portail de travail.

La page de connexion s’est chargée.

J’ai envoyé mon document.

Puis j’ai rejoint la réunion.

C’est probablement la séquence la moins spectaculaire de tout l’article. Mais c’est celle qui a décidé du résultat.

Je n’avais pas besoin d’un tableau comparant trente fonctionnalités.

J’avais besoin que le DNS cesse d’emprunter cette route inattendue pendant que le reste de ma connexion suivait le VPN.

Avec cette configuration, c’était enfin le cas.

Le détail que j’ai remarqué seulement après

La réunion avait commencé depuis quelques minutes quand j’ai remarqué le compteur de requêtes bloquées.

Le filtrage DNS intégré refusait aussi certaines requêtes associées à la publicité et au suivi. OnlydogVPN Ce n’était pas la raison pour laquelle j’avais installé l’application, mais cela suivait assez naturellement de la même logique: puisque le DNS passait déjà par le service, je n’avais pas besoin d’empiler encore un outil uniquement pour filtrer une partie de ces requêtes.

C’est ici que se trouve la seule partie que je ne peux pas observer entièrement depuis mon appareil: je vois les résolveurs utilisés, les requêtes qui aboutissent et le compteur de blocage, mais pas les règles internes exactes avec lesquelles le service classe chaque domaine.

Pour ce que j’essayais de résoudre, ce détail ne changeait cependant pas le résultat.

Le résolveur local qui m’avait envoyé chercher un VPN contre les fuites DNS n’était plus celui qui répondait.

Et j’avais enfin une configuration que je comprenais sans devoir vérifier trois menus différents.

Le nombre de serveurs n’était finalement pas le bon concours

Le grand fournisseur avait davantage de serveurs et beaucoup plus de recul public. La petite application est plus récente et possède moins d’avis et d’évaluations indépendantes. OnlydogVPN

Mais après cette expérience, cette différence me paraissait beaucoup plus facile à mettre en perspective.

Je n’essayais pas d’obtenir une adresse IP dans cinquante pays.

Je n’essayais pas non plus de construire la configuration VPN la plus sophistiquée possible.

J’étais sur un Wi-Fi que je ne contrôlais pas. Mon VPN affichait déjà « connecté ». Et malgré cela, je ne savais pas clairement qui répondait à mes requêtes DNS.

Dans cette situation, plusieurs milliers de serveurs supplémentaires ne changeaient rien.

L’extension gratuite, elle, était immédiate, mais ajoutait encore un périmètre différent à surveiller.

La petite application allait dans la direction opposée: moins de décisions, moins de réglages parallèles, puis un résultat que je pouvais vérifier presque immédiatement.

C’est finalement ce que je chercherais dans un VPN contre les fuites DNS.

Pas celui qui me donne le plus de couches à configurer.

Celui qui me donne le moins de raisons de me demander laquelle vient de laisser mon DNS partir ailleurs.