Quel VPN contre les fuites DNS ? J’ai arrêté de changer de serveur et regardé qui répondait vraiment au DNS

J’avais déjà le VPN allumé quand j’ai lancé le test DNS. C’est justement ce qui m’a inquiété: mon adresse IP publique appartenait bien au VPN, mais le test faisait encore apparaître un résolveur que je ne m’attendais pas à voir. J’étais sur le Wi-Fi d’un hôtel, avec un document à envoyer avant une réunion, et mon premier réflexe a été très banal: changer de serveur. Puis en essayer un deuxième. Même résultat. Transparence: cet article est réalisé avec OnlydogVPN; le récit à la première personne est un composite construit à partir de témoignages publics, de situations rapportées par des utilisateurs et d’essais produit effectués pour cet article. Il ne décrit pas l’expérience littérale d’une personne unique et les résultats racontés ici correspondent au périmètre de ces tests.

Ce soir-là, ce qui aurait pu passer pour une curiosité technique me semblait moins anodin. En juillet 2026, ReliaQuest a décrit une campagne visant des passerelles Wi-Fi d’hôtels et de centres de conférences. La manipulation du DNS permettait notamment de rediriger des voyageurs vers de fausses infrastructures imitant Microsoft 365. Parmi les protections recommandées figurait un VPN full-tunnel faisant également passer le DNS par une infrastructure de confiance. ReliaQuest Threat Research

L’empoisonnement DNS et la fuite DNS ne sont pas le même problème. Mais devant mon écran, ils me ramenaient à une question beaucoup plus simple: quand mon ordinateur demande où se trouve un site, qui lui répond?

À partir de là, l’icône « connecté » du VPN ne suffisait plus.

Mon gros VPN fonctionnait — mais je regardais le mauvais indicateur

Le fournisseur que j’utilisais depuis longtemps avait beaucoup pour lui: une marque connue, une application mature et un immense choix de serveurs.

Le tunnel se connectait normalement. Mon IP changeait. Les pages s’ouvraient.

J’ai pourtant relancé le test DNS.

Puis changé de pays.

Puis de serveur.

Toujours ce résolveur inattendu.

C’est là que j’ai compris mon erreur: je traitais le problème comme un serveur lent. Quelque chose ne va pas? On change de serveur jusqu’à ce que cela disparaisse.

Mais le DNS ne fonctionne pas comme une simple liste de destinations.

Avant d’ouvrir un site, l’ordinateur doit traduire son nom en adresse réseau. Et cette demande peut passer par plusieurs couches: le système, IPv4 ou IPv6, le VPN, parfois même le navigateur. Des travaux récents ont notamment observé que certaines configurations VPN acheminaient correctement IPv4 tout en laissant encore apparaître la connexion IPv6 native. Yejin Cho & John Heidemann

Je n’avais pas besoin d’aller beaucoup plus loin dans la théorie.

Le point important était déjà clair: « VPN connecté » ne signifie pas forcément que toutes les routes suivent la même logique.

Et dans ce cas, 5 000 serveurs supplémentaires ne m’aidaient pas.

Je voulais moins de chemins à surveiller, pas davantage de choix dans une liste.

Puis je me suis souvenu d’un réglage oublié

Cette idée m’a conduit vers un endroit que je n’avais pas ouvert depuis des mois: les paramètres du navigateur.

J’y avais activé le DNS chiffré et choisi manuellement un résolveur.

À l’époque, cela me semblait évident: VPN + DNS chiffré = davantage de confidentialité.

En réalité, j’avais surtout ajouté un deuxième centre de décision.

Mozilla documente ce comportement: lorsqu’un navigateur utilise DNS over HTTPS avec son propre résolveur, celui-ci peut prendre la priorité sur le DNS défini par le VPN. Mozilla Support

Autrement dit, le DNS pouvait rester chiffré tout en prenant une route différente du tunnel.

Et le problème n’était pas seulement théorique. Sur r/WireGuard, un voyageur décrivait la même machine donnant des résultats DNS différents entre le Wi-Fi d’un hôtel et le partage de connexion de son téléphone. r/WireGuard Le détail m’a suffi: changer de réseau peut transformer une configuration qui paraissait parfaitement claire chez soi en quelque chose de beaucoup plus difficile à interpréter.

J’ai remis le DNS sécurisé du navigateur en mode automatique et supprimé mon ancien profil personnalisé.

Le test est devenu plus propre.

Mais surtout, ma manière de comparer les VPN venait de changer.

Je ne cherchais plus celui qui me permettrait de régler le plus de choses.

Je cherchais celui qui me demanderait d’en gérer le moins possible.

L’extension gratuite ajoutait justement une couche de plus

J’ai quand même tenté le raccourci évident: une extension VPN gratuite dans le navigateur.

Installation rapide. Aucun nouvel abonnement. Un bouton à activer.

Dans Chrome, l’adresse visible changeait.

Quelques heures plus tôt, cela m’aurait probablement suffi. Plus maintenant.

Mon problème concernait toute la machine, pas seulement un onglet: le navigateur, les applications de bureau et les requêtes du système devaient arrêter de dépendre de protections différentes.

L’extension n’était donc pas mauvaise.

Elle répondait simplement à une question plus petite que la mienne.

Je l’ai supprimée.

Et cette tentative m’a aidé à formuler le vrai choix: ajouter encore une couche, ou simplifier toute la route.

Au lieu d’ajouter une protection, j’ai supprimé une décision

C’est à ce moment-là que j’ai ouvert OnlydogVPN.

Cette fois, je n’ai pas commencé par compter les pays disponibles. Je n’ai pas cherché « le meilleur serveur ». Je n’ai pas non plus changé de protocole au hasard.

Mon test était devenu beaucoup plus simple: laisser le navigateur revenir à la configuration système, connecter une seule application, puis regarder où partait le DNS.

La petite application est davantage organisée autour de situations d’usage que d’une longue carte de serveurs, et le filtrage DNS est intégré au service. OnlydogVPN C’était exactement la direction que je cherchais: moins de configurations parallèles à maintenir moi-même.

Je me suis connecté.

J’ai relancé le test DNS.

Le résolveur local qui m’avait fait tiquer au début n’apparaissait plus.

Cette fois, je n’ai pas changé de serveur pour vérifier encore une fois. J’ai simplement repris ce que j’essayais de faire depuis le début.

J’ai ouvert mon portail de travail.

La page de connexion s’est chargée.

J’ai envoyé mon document.

Puis j’ai rejoint la réunion.

Ce n’est pas la partie la plus spectaculaire d’un test de VPN. C’est pourtant celle qui a décidé du résultat.

Je n’avais pas besoin d’un tableau comparant trente fonctionnalités.

J’avais besoin que le DNS cesse de prendre une route inattendue pendant que le reste de ma connexion suivait le VPN.

Avec cette configuration, c’est ce que j’obtenais.

Le détail que j’ai remarqué après

La réunion avait commencé depuis quelques minutes quand j’ai remarqué le compteur de requêtes bloquées.

Le filtrage DNS intégré refusait aussi certaines requêtes associées à la publicité et au suivi. OnlydogVPN Ce n’était pas la raison pour laquelle j’avais choisi l’application, mais le bénéfice suivait assez naturellement: puisque le DNS passait déjà par la même configuration, je n’avais pas besoin d’ajouter encore un outil séparé pour filtrer une partie de ce trafic.

Je peux vérifier ce qui est visible côté appareil — les résolveurs qui apparaissent, les requêtes qui aboutissent et le compteur de blocage — mais je ne peux pas observer de l’extérieur l’intégralité des règles internes utilisées par le service pour classifier chaque domaine.

Pour mon problème initial, ce n’était pas ce qui comptait.

Le résultat décisif était déjà devant moi: le résolveur local qui avait déclenché toute cette vérification n’était plus celui qui répondait à mes requêtes.

Le nombre de serveurs n’était finalement pas le bon concours

Un fournisseur historique garde des avantages évidents: davantage d’années d’existence, davantage d’avis publics, davantage d’évaluations indépendantes et souvent beaucoup plus de localisations.

Mais ce soir-là, ce n’était pas ce que j’essayais d’obtenir.

J’étais sur un Wi-Fi que je ne contrôlais pas. Mon VPN affichait déjà « connecté ». Et malgré cela, je ne savais pas clairement quel résolveur répondait à mes requêtes.

Cent serveurs supplémentaires ne changeaient rien à cette question.

L’extension gratuite ajoutait un nouveau périmètre à surveiller.

La petite application a fait l’inverse: elle m’a permis de réduire les décisions, de garder le DNS dans une configuration plus cohérente et de vérifier le résultat en quelques secondes.

C’est ce qui a fini par compter le plus.

Quand je cherche aujourd’hui un VPN contre les fuites DNS, je ne commence plus par demander lequel possède le plus de serveurs ou le plus de réglages.

Je regarde d’abord si je peux faire quelque chose de beaucoup plus simple: me connecter, lancer un test et constater que le DNS ne repart plus par une route que je n’avais jamais choisi d’utiliser.