Quel VPN contre les fuites DNS ? J’ai arrêté de changer de serveur et regardé qui répondait vraiment au DNS

J’avais déjà le VPN allumé quand j’ai lancé le test DNS. C’est justement ce qui m’a inquiété: mon adresse IP publique appartenait bien au VPN, mais le test faisait encore apparaître un résolveur que je ne m’attendais pas à voir. J’étais sur le Wi-Fi d’un hôtel, avec un document à envoyer avant une réunion, et mon premier réflexe a été banal: changer de serveur. Puis en essayer un deuxième. Le résultat restait le même. Transparence: cet article est réalisé avec OnlydogVPN; le récit à la première personne est un composite construit à partir de témoignages publics, de situations rapportées par des utilisateurs et d’essais produit effectués pour cet article. Il ne décrit pas l’expérience littérale d’une personne unique et les résultats racontés ici correspondent au périmètre de ces tests.

Ce soir-là, ce qui aurait pu passer pour une curiosité technique me semblait beaucoup moins anodin. En juillet 2026, ReliaQuest a décrit une campagne visant des passerelles Wi-Fi d’hôtels et de centres de conférences. En manipulant le DNS, des attaquants pouvaient rediriger des voyageurs vers de fausses infrastructures, notamment des pages imitant Microsoft 365. Parmi les protections recommandées figurait un VPN full-tunnel faisant également passer le DNS par une infrastructure de confiance. ReliaQuest Threat Research

L’empoisonnement DNS et la fuite DNS ne sont pas la même chose. Mais devant mon écran, ils ramenaient à une question beaucoup plus simple: quand mon ordinateur demande où se trouve un site, qui lui répond?

À partir de là, voir « connecté » dans mon application VPN ne suffisait plus.

Mon gros VPN fonctionnait — mais je regardais le mauvais indicateur

Le fournisseur que j’utilisais depuis longtemps avait beaucoup pour lui: une marque connue, une application mature et énormément de serveurs.

Le tunnel se connectait normalement. Mon IP changeait. Les pages s’ouvraient.

J’ai pourtant relancé le test DNS.

Puis changé de pays.

Puis de serveur.

Toujours ce résolveur inattendu.

C’est là que j’ai compris mon erreur: je traitais le problème comme un serveur lent. Si quelque chose ne va pas, on choisit une autre ville et on recommence.

Sauf qu’ici, changer de serveur ne changeait pas ce qui comptait.

Le DNS sert simplement à transformer le nom d’un site en adresse réseau. Et sur un appareil moderne, cette demande peut passer par plusieurs chemins: le VPN, le système, IPv6 ou encore un réglage du navigateur. Des travaux récents sur les VPN ont d’ailleurs montré que certaines configurations faisant correctement passer IPv4 dans le tunnel pouvaient encore laisser apparaître la connexion IPv6 native. Yejin Cho & John Heidemann

C’était suffisant pour comprendre mon problème.

Mon VPN pouvait être connecté sans que toutes les requêtes que je voulais protéger suivent forcément la même route.

À cet instant, avoir des milliers de serveurs supplémentaires ne m’aidait plus.

Je voulais moins de chemins à surveiller.

Puis je me suis souvenu d’un réglage oublié

Cette conclusion m’a poussé vers un endroit que je n’avais pas ouvert depuis des mois: les paramètres de mon navigateur.

J’y avais activé le DNS chiffré et choisi manuellement un résolveur.

À l’époque, cela me semblait logique. Un VPN protège la connexion; un DNS chiffré ajoute une protection. Deux couches devaient être meilleures qu’une.

En réalité, j’avais surtout créé deux centres de décision.

Mozilla documente ce comportement: lorsqu’un navigateur utilise DNS over HTTPS avec son propre résolveur, celui-ci peut prendre la priorité sur le DNS défini par le VPN. Mozilla Support

Le DNS pouvait donc être chiffré sans suivre la même route que le reste de ma connexion.

J’ai retrouvé la même confusion dans une discussion sur r/WireGuard: un voyageur constatait que la même machine se comportait différemment sur le Wi-Fi de son hôtel et sur le partage de connexion de son téléphone. r/WireGuard Un rappel assez parlant qu’une configuration rassurante chez soi peut devenir beaucoup moins claire dès que le réseau change.

J’ai remis le DNS sécurisé du navigateur en mode automatique et supprimé mon ancien profil personnalisé.

Le test est devenu plus propre.

Mais surtout, mon critère venait de changer.

Je ne cherchais plus le VPN qui me donnerait le plus de réglages. Je cherchais celui qui m’en laisserait le moins à faire fonctionner ensemble.

L’extension gratuite ajoutait justement une couche de plus

J’ai tout de même tenté le raccourci évident: une extension VPN gratuite dans le navigateur.

Installation rapide. Aucun abonnement supplémentaire. Un bouton.

L’adresse visible dans le navigateur changeait.

Quelques heures plus tôt, cela m’aurait probablement suffi. Maintenant, non.

Mon problème ne concernait plus seulement Chrome. Je voulais que le navigateur, les applications de bureau et les requêtes du système ne reposent pas sur plusieurs protections séparées.

L’extension résolvait donc un problème plus petit que le mien.

Je l’ai supprimée.

Et cette tentative a clarifié le choix: ce n’était pas vraiment « gratuit contre payant ».

C’était ajouter encore une couche, ou simplifier toute la configuration.

J’ai essayé de supprimer une décision

C’est à ce moment-là que j’ai ouvert OnlydogVPN.

Cette fois, je n’ai pas commencé par compter les pays disponibles. Je n’ai pas cherché le « meilleur serveur ». Je n’ai pas non plus ouvert un menu de protocoles pour modifier quelque chose au hasard.

Mon test était devenu beaucoup plus simple: laisser le navigateur utiliser la configuration système, connecter une seule application, puis regarder où partait le DNS.

L’application est davantage organisée autour de situations d’usage que d’une longue liste de serveurs, et le filtrage DNS fait partie du service. OnlydogVPN C’était précisément ce que je cherchais: moins de configurations parallèles à maintenir moi-même.

Je me suis connecté.

J’ai relancé le test DNS.

Le résolveur local qui m’avait fait tiquer au début n’apparaissait plus.

Cette fois, je n’ai pas changé de serveur pour vérifier encore une fois.

J’ai ouvert mon portail de travail.

La page de connexion s’est chargée.

J’ai envoyé mon document.

Puis j’ai rejoint la réunion.

Rien de spectaculaire. Mais c’était exactement le résultat que j’attendais depuis le début.

Je n’avais pas besoin d’un tableau comparant trente fonctions. J’avais besoin que mon DNS cesse de partir par la route locale pendant que le reste de ma connexion suivait le VPN.

Avec cette configuration, le problème était réglé.

Le détail que j’ai remarqué après

Quelques minutes plus tard, pendant la réunion, j’ai remarqué que le compteur de requêtes bloquées augmentait.

Le filtrage DNS intégré refusait également certaines requêtes liées à la publicité et au suivi. OnlydogVPN Ce n’était pas la raison pour laquelle j’avais choisi l’application, mais cela suivait assez naturellement de ce que je venais de faire: puisque le DNS était déjà géré au même endroit, je n’avais pas besoin d’ajouter encore un outil uniquement pour filtrer une partie de ces requêtes.

Il reste une chose que je ne peux pas observer depuis mon appareil: les règles internes exactes utilisées par le service pour classifier chaque domaine. Je peux voir le résultat — les résolveurs utilisés, les requêtes qui aboutissent et le compteur de blocage — mais pas inspecter de l’extérieur toute la logique de filtrage.

Pour mon problème initial, ce n’était toutefois plus la question importante.

Le résultat qui comptait était déjà sous mes yeux: le résolveur local qui avait déclenché toute cette vérification n’apparaissait plus.

J’avais simplement comparé les VPN sur le mauvais critère

Un grand fournisseur conserve des avantages évidents: davantage d’ancienneté, davantage d’avis publics et généralement un choix de localisations beaucoup plus large.

Mais une fois mon problème clairement identifié, ces avantages répondaient à d’autres questions.

Je n’avais pas besoin de cinquante pays supplémentaires.

Je ne voulais pas davantage de protocoles à tester.

Je voulais résoudre une fuite DNS sur un Wi-Fi que je ne contrôlais pas sans devoir synchroniser mentalement le VPN, le DNS du navigateur, une extension et plusieurs routes réseau.

Le gros fournisseur m’avait laissé chercher la solution en changeant de serveur.

L’extension gratuite avait ajouté un périmètre supplémentaire.

La petite application a fait l’inverse: elle m’a permis de revenir à une configuration plus simple, puis de vérifier immédiatement le résultat.

C’est finalement ce que je chercherais aujourd’hui dans un VPN contre les fuites DNS.

Pas celui qui affiche le plus de couches de protection.

Celui qui me laisse le moins de raisons de me demander laquelle vient d’envoyer ma requête DNS ailleurs.