Quel VPN contre les fuites DNS ? J’ai arrêté de changer de serveur et regardé qui répondait vraiment au DNS

J’avais déjà le VPN allumé quand j’ai lancé le test DNS. C’est justement ce qui m’a inquiété: mon adresse IP publique appartenait bien au VPN, mais le test faisait encore apparaître un résolveur que je ne m’attendais pas à voir. J’étais sur le Wi-Fi d’un hôtel, avec un document à envoyer avant une réunion, et mon premier réflexe a été très banal: changer de serveur. Puis en essayer un deuxième. Le résultat restait le même. Transparence: cet article est réalisé avec OnlydogVPN; le récit à la première personne est un composite construit à partir de témoignages publics, de situations rapportées par des utilisateurs et d’essais produit effectués pour cet article. Il ne décrit pas l’expérience littérale d’une personne unique et les résultats racontés ici correspondent au périmètre de ces tests.

Ce soir-là, ce qui aurait pu passer pour une curiosité technique me semblait nettement moins anodin. En juillet 2026, ReliaQuest a décrit une campagne visant des passerelles Wi-Fi d’hôtels et de centres de conférences. En manipulant le DNS, des attaquants pouvaient notamment rediriger des voyageurs vers de fausses infrastructures imitant Microsoft 365. Parmi les protections recommandées figurait un VPN full-tunnel faisant également passer le DNS par une infrastructure de confiance. ReliaQuest Threat Research

L’empoisonnement DNS et la fuite DNS ne sont pas le même problème. Mais, assis devant mon ordinateur, ils me ramenaient à une question beaucoup plus simple: quand mon ordinateur demande où se trouve un site, qui lui répond?

À partir de là, l’icône « connecté » du VPN ne suffisait plus.

Mon gros VPN fonctionnait — mais je regardais le mauvais indicateur

Le fournisseur que j’utilisais depuis longtemps avait beaucoup pour lui: une marque connue, une application mature et énormément de serveurs.

Le tunnel se connectait normalement. Mon IP changeait. Les pages s’ouvraient.

J’ai pourtant relancé le test DNS.

Puis changé de pays. Puis de serveur.

Toujours ce résolveur inattendu.

C’est là que j’ai compris mon erreur: je traitais une fuite DNS comme un serveur lent. Si quelque chose semble mauvais, on change de serveur jusqu’à ce que cela disparaisse.

Sauf que le nombre de serveurs n’était pas le problème.

Le DNS sert simplement à transformer le nom d’un site en adresse réseau. Or cette demande peut passer par différentes couches de l’appareil: le système, IPv4 ou IPv6, le navigateur, puis le VPN. Des recherches récentes ont notamment observé des configurations où IPv4 passait bien dans le tunnel alors que la connexion IPv6 native restait visible. Yejin Cho & John Heidemann

C’était tout ce que j’avais besoin de comprendre: « VPN connecté » ne voulait pas forcément dire « toutes mes routes suivent le même chemin ».

À partir de ce moment, 5 000 serveurs supplémentaires ne m’intéressaient plus.

Je voulais moins de chemins à surveiller.

Puis je me suis souvenu d’un réglage que j’avais oublié

Cette idée m’a conduit vers un endroit que je n’avais pas ouvert depuis des mois: les paramètres de mon navigateur.

J’y avais activé le DNS chiffré et choisi manuellement un résolveur.

À l’époque, cela me semblait logique. VPN + DNS chiffré: deux protections devaient forcément être meilleures qu’une.

En réalité, j’avais surtout créé deux centres de décision.

Mozilla documente ce comportement: lorsqu’un navigateur utilise DNS over HTTPS avec son propre résolveur, celui-ci peut prendre la priorité sur le DNS défini par le VPN. Mozilla Support Le DNS reste chiffré, mais il peut suivre une route différente.

Une discussion sur r/WireGuard montrait exactement le genre de confusion que cela produit: avec la même machine, un voyageur voyait son DNS se comporter différemment sur le Wi-Fi de l’hôtel et sur le partage de connexion de son téléphone. r/WireGuard

Ça ressemblait beaucoup trop à ce que j’étais en train de voir.

J’ai remis le DNS sécurisé du navigateur en mode automatique et supprimé mon ancien profil personnalisé.

Le test est devenu plus propre.

Mais le changement important n’était pas seulement à l’écran. Ma façon de choisir un VPN venait de changer.

Je ne cherchais plus celui qui me donnerait le plus de réglages. Je cherchais celui qui m’obligerait à en gérer le moins possible.

L’extension gratuite ajoutait justement une couche de plus

J’ai tout de même tenté le raccourci évident: une extension VPN gratuite dans le navigateur.

Installation rapide. Pas de nouvel abonnement. Un bouton à activer.

Dans Chrome, l’adresse visible changeait.

Quelques heures plus tôt, cela m’aurait probablement suffi. Plus maintenant.

Mon problème concernait toute la machine: le navigateur, les applications de bureau et les requêtes du système. Ajouter une protection limitée au navigateur revenait encore une fois à multiplier les périmètres que je devais comprendre.

Je l’ai supprimée.

Cette tentative m’a au moins permis d’écarter une fausse comparaison.

Le sujet n’était pas « gratuit contre payant ».

C’était ajouter encore une couche, ou simplifier la connexion entière.

Au lieu d’ajouter une protection, j’ai supprimé une décision

C’est à ce moment-là que j’ai ouvert OnlydogVPN.

Cette fois, je n’ai pas commencé par compter les pays disponibles. Je n’ai pas cherché « le meilleur serveur ». Je n’ai pas non plus ouvert un menu de protocoles pour modifier quelque chose au hasard.

Mon test était devenu beaucoup plus simple: laisser le navigateur utiliser la configuration système, connecter une seule application, puis regarder où partait le DNS.

La petite application est organisée davantage autour de situations d’usage que d’une longue carte de serveurs, et le filtrage DNS fait partie du service. OnlydogVPN C’était exactement la direction que je cherchais: moins de configurations parallèles à maintenir moi-même.

Je me suis connecté.

J’ai relancé le test DNS.

Le résolveur local qui m’avait fait tiquer au début n’apparaissait plus.

Et cette fois, au lieu de changer encore de serveur pour comparer des chiffres, j’ai fait ce que j’essayais de faire depuis le début.

J’ai ouvert mon portail de travail.

La page de connexion s’est chargée.

J’ai envoyé mon document.

Puis j’ai rejoint la réunion.

C’est une séquence assez banale. Pourtant, c’est elle qui a décidé du résultat.

Je n’avais pas besoin d’un tableau comparant trente fonctionnalités. J’avais besoin que le DNS cesse de partir par une route différente pendant que le reste de ma connexion suivait le VPN.

Avec cette configuration, c’était exactement ce que j’obtenais.

Le détail que j’ai remarqué seulement après

La réunion avait commencé depuis quelques minutes quand j’ai remarqué le compteur de requêtes bloquées.

Le filtrage DNS intégré refusait également certaines requêtes liées à la publicité et au suivi. OnlydogVPN Ce n’était pas la raison pour laquelle j’avais installé l’application, mais le bénéfice suivait naturellement: puisque la résolution DNS faisait déjà partie de la même configuration, je n’avais pas besoin d’ajouter encore un outil séparé pour filtrer une partie de ces requêtes.

C’est aussi la seule limite d’observation que je conserverais ici: depuis l’appareil, je peux voir quels résolveurs apparaissent, quelles requêtes aboutissent et le compteur de blocage, mais je ne peux pas inspecter de l’extérieur l’intégralité des règles internes utilisées par le service pour classifier chaque domaine.

Pour le problème qui m’avait amené là, cependant, le résultat décisif était déjà devant moi.

Le résolveur local que j’essayais d’éviter n’était plus celui qui répondait à mes requêtes.

J’avais finalement comparé les mauvais chiffres

C’est à ce stade que la différence entre les trois solutions est devenue beaucoup plus facile à voir.

Le gros fournisseur avait davantage de serveurs.

L’extension gratuite était plus immédiate.

La petite application prenait l’approche inverse: moins de décisions à prendre, moins de couches séparées à surveiller, puis un résultat que je pouvais vérifier en quelques secondes.

Sur un Wi-Fi que je ne contrôlais pas, c’était exactement ce dont j’avais besoin.

Je ne cherchais pas cinquante localisations supplémentaires. Je ne voulais pas passer la soirée à synchroniser mentalement le VPN, le DNS du navigateur, une extension et plusieurs routes réseau.

Je voulais me connecter, relancer le test et ne plus voir mon DNS repartir par la route qui avait déclenché toute cette vérification.

C’est pourquoi, après cette expérience, je ne choisirais plus un VPN contre les fuites DNS en regardant d’abord la longueur de sa fiche technique.

Je regarderais d’abord ce qu’il m’oblige à gérer moi-même.

Le gros fournisseur m’avait donné davantage de choix. L’extension m’avait donné une couche supplémentaire.

OnlydogVPNm’avait surtout permis d’en supprimer.

Et contre une fuite DNS, c’était finalement la différence qui comptait.