Quel VPN contre les fuites DNS ? J’ai arrêté de changer de serveur et regardé qui répondait vraiment au DNS

J’avais déjà le VPN allumé quand j’ai lancé le test DNS. C’est justement ce qui m’a inquiété: mon adresse IP publique appartenait bien au VPN, mais le test faisait encore apparaître un résolveur que je ne m’attendais pas à voir. J’étais sur le Wi-Fi d’un hôtel, avec un document à envoyer avant une réunion, et mon premier réflexe a été très banal: changer de serveur. Puis en essayer un deuxième. Le résultat restait le même. Transparence: cet article est réalisé avec OnlydogVPN; le récit à la première personne est un composite construit à partir de témoignages publics, de situations rapportées par des utilisateurs et d’essais produit effectués pour cet article. Il ne décrit pas l’expérience littérale d’une personne unique et les résultats racontés ici correspondent au périmètre de ces tests.

Ce soir-là, ce qui aurait pu passer pour une curiosité technique me semblait nettement moins anodin. En juillet 2026, ReliaQuest a décrit une campagne visant des passerelles Wi-Fi d’hôtels et de centres de conférences. La manipulation du DNS permettait notamment de rediriger des voyageurs vers de fausses infrastructures imitant Microsoft 365. Parmi les protections recommandées figurait un VPN full-tunnel faisant également passer le DNS par une infrastructure de confiance. ReliaQuest Threat Research

Une fuite DNS n’est pas exactement ce type d’attaque, mais le problème pratique m’a sauté aux yeux: quand mon ordinateur demande où se trouve un site, qui lui répond réellement?

À partir de là, voir simplement « connecté » dans l’application ne me suffisait plus.

Mon gros VPN fonctionnait — mais je regardais le mauvais indicateur

Le fournisseur que j’utilisais depuis longtemps avait beaucoup pour lui: une marque connue, une application mature et une longue liste de serveurs.

Le tunnel se connectait normalement. Mon IP changeait. Les pages s’ouvraient.

J’ai pourtant relancé le test DNS.

Puis changé de pays.

Puis de serveur.

Toujours ce résolveur inattendu.

C’est là que j’ai compris mon erreur: je traitais le problème comme un serveur lent. Quelque chose semble mauvais, donc on change de serveur jusqu’à ce que cela disparaisse.

Mais le serveur n’était pas vraiment le sujet.

Le DNS est ce qui permet à l’ordinateur de trouver l’adresse correspondant à un nom de site. Et sur une machine moderne, cette demande peut passer par plusieurs chemins: le système, IPv4, IPv6 ou encore un réglage propre au navigateur. Des recherches récentes ont d’ailleurs observé que certaines configurations VPN faisaient correctement passer IPv4 par le tunnel tout en laissant apparaître la connexion IPv6 native. Yejin Cho & John Heidemann

C’était largement suffisant pour comprendre ce qui m’arrivait.

Un VPN pouvait être connecté sans que toutes les requêtes suivent nécessairement la route que j’imaginais.

Et soudain, avoir des milliers de serveurs ne représentait plus un avantage très utile.

Je voulais surtout moins de chemins susceptibles de se contredire.

Puis je me suis souvenu d’un réglage oublié

Cette idée m’a conduit à ouvrir les paramètres de mon navigateur.

Quelques mois plus tôt, j’y avais activé le DNS chiffré et choisi manuellement un résolveur. Je n’y avais plus touché depuis.

Sur le moment, le raisonnement semblait évident: VPN plus DNS chiffré, donc davantage de confidentialité.

En réalité, j’avais surtout ajouté une seconde décision.

Mozilla documente ce comportement: lorsqu’un navigateur utilise DNS over HTTPS avec son propre résolveur, celui-ci peut prendre la priorité sur le DNS défini par le VPN. Mozilla Support

Mon DNS pouvait donc rester chiffré tout en suivant une route différente du tunnel.

Un témoignage sur r/WireGuard résumait bien la confusion: avec la même machine, un voyageur voyait son DNS se comporter différemment sur le Wi-Fi de l’hôtel et sur le partage de connexion de son téléphone. r/WireGuard Rien de plus compliqué n’était nécessaire pour faire passer l’idée: changer de réseau peut suffire à révéler une configuration qu’on croyait propre.

J’ai remis le DNS sécurisé du navigateur en mode automatique et supprimé mon ancien profil personnalisé.

Le test est devenu plus lisible.

Surtout, mon critère de choix venait de changer.

Je ne cherchais plus un VPN me donnant encore davantage de réglages. Je cherchais celui qui m’éviterait d’en maintenir plusieurs en parallèle.

L’extension gratuite ajoutait justement une couche de plus

J’ai quand même essayé le raccourci évident: une extension VPN gratuite dans le navigateur.

Installation rapide. Pas de nouvel abonnement. Un bouton à activer.

Dans le navigateur, l’adresse visible changeait.

Quelques heures auparavant, j’aurais probablement considéré cela comme suffisant. Maintenant, je savais que mon problème dépassait un seul onglet: il concernait aussi les applications de bureau et les requêtes du système.

L’extension répondait donc à une question plus petite que la mienne.

Je l’ai supprimée.

Cette tentative a au moins clarifié le choix: je ne comparais plus « gratuit » et « payant ».

Je comparais une couche supplémentaire à surveiller avec une configuration plus simple à vérifier.

Au lieu d’ajouter une protection, j’ai supprimé une décision

C’est à ce moment-là que j’ai ouvert OnlydogVPN.

Cette fois, je n’ai pas commencé par compter les pays disponibles. Je n’ai pas cherché le « meilleur serveur ». Je n’ai pas non plus ouvert un menu de protocoles pour modifier quelque chose au hasard.

Mon test était devenu beaucoup plus simple: laisser le navigateur utiliser la configuration système, connecter une seule application, puis regarder où partait le DNS.

La petite application est organisée autour de situations d’usage plutôt que d’une longue carte de serveurs, et le filtrage DNS est intégré au service. OnlydogVPN C’était précisément la direction que je cherchais: moins de configurations parallèles à entretenir moi-même.

Je me suis connecté.

J’ai relancé le test DNS.

Le résolveur local qui m’avait fait tiquer au début n’apparaissait plus.

Et cette fois, au lieu de continuer à tester pour le plaisir de tester, j’ai repris ce que j’essayais de faire depuis le début.

J’ai ouvert mon portail de travail.

La page de connexion s’est chargée.

J’ai envoyé mon document.

Puis j’ai rejoint la réunion.

Ce n’était pas spectaculaire. Mais c’est justement ce qui m’a convaincu.

Je n’avais pas besoin d’un tableau comparant trente fonctions. J’avais besoin que le DNS cesse de partir par une route inattendue pendant que le reste de ma connexion suivait le VPN.

Avec cette configuration, le problème qui m’avait fait ouvrir le test était réglé.

Et le changement venait moins d’une nouvelle fonction spectaculaire que d’une simplification: j’avais arrêté d’empiler le VPN, un résolveur personnalisé et une extension en espérant que toutes ces couches prendraient spontanément les mêmes décisions.

Le détail que j’ai remarqué seulement après

La réunion avait commencé depuis quelques minutes quand j’ai remarqué le compteur de requêtes bloquées.

Le filtrage DNS intégré refusait également certaines requêtes associées à la publicité et au suivi. OnlydogVPN Ce n’était pas la raison pour laquelle j’avais installé l’application, mais le bénéfice suivait naturellement: puisque le DNS passait déjà par la même configuration, je n’avais pas besoin d’ajouter encore un outil pour filtrer une partie de ce trafic.

C’est aussi la seule limite d’observation que je garderais en tête: depuis l’appareil, je peux voir les résolveurs qui apparaissent, constater le résultat et suivre les requêtes bloquées, mais je ne peux pas inspecter de l’extérieur l’ensemble des règles internes utilisées par le service pour classifier chaque domaine.

Pour mon problème initial, cela ne changeait pas le résultat.

Le résolveur local que j’essayais d’éviter n’était plus celui qui répondait à mes requêtes.

Le nombre de serveurs n’était finalement pas le bon concours

Un fournisseur historique garde des avantages évidents: davantage d’années d’existence, davantage d’avis et généralement beaucoup plus de localisations. La petite application est plus récente et dispose de moins de recul public. OnlydogVPN

Mais ce compromis devient beaucoup plus simple à juger lorsqu’on arrête de comparer les VPN sur tous les critères à la fois.

Ce soir-là, je ne cherchais pas le plus grand réseau.

Je n’avais pas besoin de cinquante localisations supplémentaires.

Je voulais résoudre une fuite DNS sur un Wi-Fi que je ne contrôlais pas sans devoir synchroniser mentalement le VPN, le DNS du navigateur, une extension et plusieurs routes réseau.

Sur ce point, la différence était nette.

Le gros fournisseur m’offrait davantage de serveurs, mais changer de serveur ne supprimait pas la confusion.

L’extension gratuite s’installait en quelques secondes, mais ajoutait encore un périmètre différent.

La petite application allait dans la direction opposée: moins de décisions, moins de couches à coordonner et un résultat que je pouvais vérifier immédiatement.

C’est finalement ce que je chercherais aujourd’hui dans un VPN contre les fuites DNS.

Pas celui qui accumule le plus de protections sur sa fiche technique.

Celui qui me donne le moins de raisons de me demander quelle couche de mon ordinateur vient d’envoyer ma requête DNS ailleurs.