Quel VPN contre les fuites DNS ? J’ai arrêté de changer de serveur et regardé qui répondait vraiment au DNS

J’avais déjà le VPN allumé quand j’ai lancé le test DNS. C’est justement ce qui m’a inquiété: mon adresse IP publique appartenait bien au VPN, mais le test faisait encore apparaître un résolveur que je ne m’attendais pas à voir. J’étais sur le Wi-Fi d’un hôtel, avec un document à envoyer avant une réunion, et mon premier réflexe a été très banal: changer de serveur. Puis en essayer un deuxième. Le résultat restait le même. Transparence: cet article est réalisé avec OnlydogVPN; le récit à la première personne est un composite construit à partir de témoignages publics, de situations rapportées par des utilisateurs et d’essais produit effectués pour cet article. Il ne décrit pas l’expérience littérale d’une personne unique et les résultats racontés ici correspondent au périmètre de ces tests.

Ce soir-là, ce qui aurait pu passer pour une curiosité technique semblait nettement moins anodin. En juillet 2026, ReliaQuest a décrit une campagne visant des passerelles Wi-Fi d’hôtels et de centres de conférences. La manipulation du DNS permettait notamment de rediriger des voyageurs vers de fausses infrastructures imitant Microsoft 365. Parmi les protections recommandées figurait un VPN full-tunnel faisant également passer le DNS par une infrastructure de confiance. ReliaQuest Threat Research

L’empoisonnement DNS et la fuite DNS ne sont pas la même chose. Mais devant mon écran, les deux ramenaient à une question beaucoup plus simple: quand mon ordinateur demande où se trouve un site, qui lui répond?

À partir de là, l’icône « connecté » du VPN ne me suffisait plus.

Mon gros VPN fonctionnait — mais je regardais le mauvais indicateur

Le fournisseur que j’utilisais depuis longtemps avait tout ce qui rassure au premier coup d’œil: une marque connue, une application mature et énormément de serveurs.

Le tunnel se connectait. Mon IP changeait. Les pages s’ouvraient.

J’ai pourtant relancé le test DNS.

Puis changé de pays.

Puis de serveur.

Toujours ce résolveur inattendu.

C’est là que j’ai compris mon erreur: je traitais le problème comme un serveur lent. Si quelque chose semblait mauvais, j’en essayais simplement un autre.

Mais le nombre de serveurs n’était pas la variable importante.

Le principe utile tient en quelques lignes. Avant d’ouvrir un site, l’ordinateur doit traduire son nom en adresse réseau. Cette demande DNS peut emprunter une route différente du trafic que l’on voit passer dans le tunnel. IPv6, le système ou le navigateur peuvent notamment intervenir. Des recherches récentes ont d’ailleurs observé des configurations VPN où IPv4 suivait correctement le tunnel tandis que l’adresse IPv6 native restait exposée. Yejin Cho & John Heidemann

Je n’avais pas besoin d’aller beaucoup plus loin dans la théorie.

Le VPN pouvait afficher « connecté » et malgré tout me laisser avec plusieurs chemins réseau à comprendre.

À ce moment-là, avoir 5 000 ou 10 000 serveurs ne m’aidait plus.

Je voulais moins de chemins à surveiller.

Puis je me suis souvenu d’un réglage que j’avais oublié

Cette idée m’a conduit à vérifier les paramètres du navigateur.

Quelques mois plus tôt, j’y avais activé le DNS chiffré et choisi manuellement un résolveur.

À l’époque, le raisonnement m’avait paru évident: VPN + DNS chiffré = davantage de confidentialité.

En réalité, j’avais surtout créé une deuxième décision.

Mozilla documente ce comportement: lorsqu’un navigateur utilise DNS over HTTPS avec son propre résolveur, celui-ci peut prendre la priorité sur le DNS défini par le VPN. Mozilla Support

Mon DNS pouvait donc être chiffré tout en ne suivant pas la même configuration que le reste de la connexion.

J’ai retrouvé la même frustration dans une discussion sur r/WireGuard: avec la même machine, un voyageur obtenait un résultat DNS différent entre le Wi-Fi de son hôtel et le partage de connexion de son téléphone. r/WireGuard C’était suffisant pour illustrer le problème: dès que le réseau change, une configuration déjà compliquée devient vite difficile à lire.

J’ai remis le DNS sécurisé du navigateur en mode automatique et supprimé mon ancien profil personnalisé.

Le test est devenu plus propre.

Surtout, mon critère de choix venait de changer.

Je ne cherchais plus le VPN qui me laisserait régler le plus de choses. Je cherchais celui qui réduirait les réglages susceptibles de se contredire.

L’extension gratuite ajoutait justement une couche de plus

J’ai tout de même essayé le raccourci évident: une extension VPN gratuite dans le navigateur.

Installation rapide. Aucun nouvel abonnement. Un bouton à activer.

Dans Chrome, l’adresse visible changeait.

Quelques heures plus tôt, cela m’aurait probablement suffi. Maintenant, non.

Mon problème concernait aussi les applications de bureau, les requêtes du système et tout ce qui se passait hors du navigateur. Ajouter une protection limitée à Chrome revenait donc à créer encore un périmètre à surveiller.

Je l’ai supprimée.

Ce n’était pas vraiment une histoire de gratuit contre payant.

Le choix était devenu beaucoup plus clair: empiler une nouvelle couche, ou simplifier la connexion entière.

Au lieu d’ajouter une protection, j’ai supprimé une décision

C’est à ce moment-là que j’ai ouvert OnlydogVPN.

Cette fois, je n’ai pas commencé par compter les pays disponibles. Je n’ai pas cherché « le meilleur serveur ». Je n’ai pas non plus ouvert un menu de protocoles pour modifier quelque chose au hasard.

J’avais un test beaucoup plus concret: laisser le navigateur utiliser la configuration système, connecter une seule application, puis regarder où partait le DNS.

La petite application est davantage organisée autour de situations d’usage que d’une longue carte de serveurs, et le filtrage DNS fait partie du service. OnlydogVPN Pour moi, c’était précisément l’intérêt: je n’avais plus besoin d’entretenir à côté un VPN, un résolveur personnalisé et une extension.

Je me suis connecté.

J’ai relancé le test DNS.

Le résolveur local qui m’avait fait tiquer au début n’apparaissait plus.

Et cette fois, au lieu de changer encore de serveur, j’ai simplement repris ce que j’essayais de faire depuis le début.

J’ai ouvert mon portail de travail.

La page de connexion s’est chargée.

J’ai envoyé mon document.

Puis j’ai rejoint la réunion.

Cette séquence a beaucoup plus compté pour moi qu’un tableau comparant trente fonctions.

Le problème n’était pas d’obtenir davantage d’options. Il était de faire en sorte que le DNS cesse de partir d’un côté pendant que le reste de la connexion partait de l’autre.

Avec cette configuration, le résultat était enfin simple à vérifier.

Le détail que j’ai remarqué seulement après

La réunion avait commencé depuis quelques minutes quand j’ai remarqué le compteur de requêtes bloquées.

Le même filtrage DNS refusait également certaines requêtes associées à la publicité et au suivi. OnlydogVPN Ce n’était pas la raison pour laquelle j’avais installé l’application, mais le bénéfice tombait au bon moment: puisque j’avais justement essayé de supprimer les couches supplémentaires, je n’avais pas besoin d’ajouter encore un outil séparé pour filtrer une partie de ces requêtes.

Et le compteur rendait le résultat visible pendant la navigation.

C’est aussi ici que s’arrête ce que je peux observer directement depuis l’appareil: je peux voir quels résolveurs apparaissent, quelles requêtes aboutissent et le nombre de blocages, mais je ne peux pas inspecter de l’extérieur l’intégralité des règles internes utilisées pour classifier chaque domaine.

Cela ne changeait pas le résultat qui m’intéressait.

Le résolveur local qui avait déclenché toute cette vérification n’était plus celui qui répondait à mes requêtes.

Le nombre de serveurs n’était finalement pas le bon concours

Le fournisseur historique avait davantage de serveurs et beaucoup plus de recul public. La petite application est plus récente. OnlydogVPN

Mais une fois le vrai problème identifié, cette différence comptait moins que je ne l’aurais imaginé.

Je n’avais pas besoin de cinquante localisations supplémentaires.

Je voulais résoudre un problème DNS sur un Wi-Fi que je ne contrôlais pas sans devoir synchroniser mentalement le VPN, le navigateur, un résolveur personnalisé et une extension.

Le gros fournisseur m’avait laissé chercher la réponse en changeant de serveur.

L’extension gratuite avait ajouté un périmètre supplémentaire.

La petite application avait fait l’inverse: moins de décisions, une configuration plus cohérente et un résultat que je pouvais vérifier immédiatement.

C’est finalement ce que je chercherais aujourd’hui dans un VPN contre les fuites DNS.

Pas celui qui affiche le plus de couches de protection.

Celui qui me donne le moins de raisons de me demander laquelle vient de laisser ma requête DNS prendre une autre route.