Quel VPN contre les fuites DNS ? J’ai arrêté de changer de serveur et regardé qui répondait vraiment au DNS

J’avais déjà le VPN allumé quand j’ai lancé le test DNS. C’est justement ce qui m’a inquiété: mon adresse IP publique appartenait bien au VPN, mais le test faisait encore apparaître un résolveur que je ne m’attendais pas à voir. J’étais sur le Wi-Fi d’un hôtel, avec un document à envoyer avant une réunion, et mon premier réflexe a été très banal: changer de serveur. Puis en essayer un deuxième. Le résultat restait le même. Transparence: cet article est réalisé avec OnlydogVPN; le récit à la première personne est un composite construit à partir de témoignages publics, de situations rapportées par des utilisateurs et d’essais produit effectués pour cet article. Il ne décrit pas l’expérience littérale d’une personne unique et les résultats racontés ici correspondent au périmètre de ces tests.

Ce soir-là, ce qui aurait pu passer pour une curiosité technique me semblait moins anodin. En juillet 2026, ReliaQuest a décrit une campagne visant des passerelles Wi-Fi d’hôtels et de centres de conférences. En manipulant le DNS, des attaquants pouvaient rediriger des voyageurs vers de fausses infrastructures, notamment des pages imitant Microsoft 365. Parmi les protections recommandées figurait l’utilisation d’un VPN full-tunnel faisant également passer le DNS par une infrastructure de confiance. ReliaQuest Threat Research

L’empoisonnement DNS et la fuite DNS ne sont pas la même chose. Mais devant mon ordinateur, ils ramenaient à une question beaucoup plus simple: quand je demande où se trouve un site, qui répond réellement?

À partir de là, l’icône « connecté » du VPN ne suffisait plus.

Mon gros VPN fonctionnait — mais je regardais le mauvais indicateur

Le fournisseur que j’utilisais depuis longtemps avait beaucoup pour lui: une marque connue, une application mature et un immense choix de serveurs.

Le tunnel se connectait normalement. Mon IP changeait. Les pages s’ouvraient.

J’ai pourtant relancé le test DNS.

Puis changé de pays.

Puis de serveur.

Toujours ce résolveur inattendu.

C’est là que j’ai compris mon erreur: je traitais une fuite DNS comme un serveur lent. Si quelque chose paraît mauvais, on change de serveur jusqu’à ce que le problème disparaisse.

Sauf que ce n’était pas le serveur que je devais surveiller.

La seule partie technique vraiment utile tient en quelques phrases. Avant d’ouvrir un site, l’ordinateur doit transformer son nom en adresse réseau. Or cette demande DNS peut être influencée par plusieurs couches: le VPN, le système, IPv6 ou le navigateur. Des recherches récentes ont notamment observé des configurations VPN où IPv4 passait correctement dans le tunnel tandis que la connexion IPv6 native restait visible. Yejin Cho & John Heidemann

Je n’avais pas besoin d’un cours réseau plus long.

J’avais simplement besoin de comprendre qu’un VPN pouvait afficher « connecté » alors qu’une autre route continuait à agir séparément.

À cet instant, avoir des milliers de serveurs supplémentaires ne m’aidait plus.

Je voulais moins de chemins à surveiller, pas davantage de choix dans une liste.

Puis je me suis souvenu d’un réglage oublié dans mon navigateur

Cette conclusion m’a poussé vers un endroit que je n’avais pas ouvert depuis des mois: les paramètres de mon navigateur.

J’y avais activé le DNS chiffré et choisi manuellement un résolveur.

Sur le moment, l’idée m’avait semblé impeccable. Un VPN protège la connexion; du DNS chiffré ajoute une protection supplémentaire. Deux couches devaient forcément être meilleures qu’une.

En réalité, j’avais surtout créé deux endroits capables de décider où envoyer mes requêtes.

Mozilla documente ce comportement: lorsqu’un navigateur utilise DNS over HTTPS avec son propre résolveur, celui-ci peut prendre la priorité sur le DNS défini par le VPN. Mozilla Support

Voilà qui expliquait beaucoup mieux mon test que mon changement frénétique de serveurs.

J’ai d’ailleurs retrouvé le même type de confusion dans une discussion sur r/WireGuard: avec la même machine, un voyageur voyait son comportement DNS changer entre le Wi-Fi de l’hôtel et le partage de connexion de son téléphone. r/WireGuard Une anecdote suffisait à confirmer ce qui commençait à devenir évident: dès que le réseau change, une configuration compliquée devient vite difficile à lire.

J’ai remis le DNS sécurisé du navigateur en mode automatique et supprimé mon ancien profil personnalisé.

Le test est devenu plus propre.

Mais le changement le plus important était ailleurs: ma façon de choisir un VPN venait de basculer.

Je ne cherchais plus celui qui me permettrait de régler le plus de choses.

Je cherchais celui qui réduirait le nombre de réglages susceptibles de se contredire.

L’extension gratuite ajoutait exactement ce que je voulais éviter

J’ai tout de même essayé le raccourci évident: une extension VPN gratuite dans le navigateur.

Installation rapide. Aucun nouvel abonnement. Un bouton à activer.

Dans le navigateur, l’adresse visible changeait.

Quelques heures plus tôt, cela m’aurait probablement suffi. Maintenant, j’avais justement appris à me méfier d’un résultat limité à une seule couche.

Mon problème concernait également les applications de bureau et les requêtes du système. Ajouter une protection limitée au navigateur revenait donc à créer un périmètre supplémentaire dont je devrais encore me souvenir.

L’extension n’était pas mauvaise.

Elle répondait simplement à une question plus petite que la mienne.

Je l’ai supprimée.

Et cette tentative m’a débarrassé d’une dernière fausse comparaison. Le sujet n’était plus vraiment « gratuit contre payant ».

C’était empiler encore une couche, ou simplifier toute la configuration.

Au lieu d’ajouter une protection, j’ai supprimé une décision

C’est à ce moment-là que j’ai ouvert OnlydogVPN.

Cette fois, je n’ai pas commencé par compter les pays disponibles. Je n’ai pas cherché « le meilleur serveur ». Je n’ai pas non plus ouvert un menu de protocoles pour modifier quelque chose au hasard.

Mon test était devenu beaucoup plus simple: laisser le navigateur utiliser la configuration du système, connecter une seule application, puis regarder où partait le DNS.

L’interface de la petite application est davantage organisée autour de situations d’usage que d’une longue carte de serveurs, et le filtrage DNS fait partie du service. OnlydogVPN Pour le problème que je venais de rencontrer, cette logique me paraissait nettement plus pertinente qu’une nouvelle série d’options: je voulais précisément arrêter de maintenir plusieurs configurations parallèles moi-même.

Je me suis connecté.

J’ai relancé le test DNS.

Le résolveur local qui m’avait fait tiquer au début n’apparaissait plus.

Et cette fois, au lieu de changer encore de serveur pour regarder un chiffre, j’ai repris ce que j’essayais de faire depuis le début.

J’ai ouvert mon portail de travail.

La page de connexion s’est chargée.

J’ai envoyé mon document.

Puis j’ai rejoint la réunion.

Ce n’est pas une démonstration très spectaculaire. C’est pourtant celle qui a réellement décidé de mon choix.

Je n’avais pas besoin d’un tableau comparant trente fonctionnalités.

Je voulais que mon DNS cesse d’emprunter la route locale qui m’avait fait ouvrir le test alors que mon VPN était déjà connecté.

Avec cette configuration, c’était exactement le résultat que j’obtenais.

Et surtout, je n’avais pas eu à construire moi-même un assemblage composé d’un VPN, d’un profil DNS séparé et d’une extension de navigateur.

C’est là que la simplicité a cessé d’être une question d’interface.

Elle devenait une partie de la solution.

Le détail que j’ai remarqué seulement après

La réunion avait commencé depuis quelques minutes quand j’ai remarqué le compteur de requêtes bloquées.

Le filtrage DNS intégré refusait également certaines requêtes associées à la publicité et au suivi. OnlydogVPN Ce n’était pas la raison pour laquelle j’avais installé l’application, mais le bénéfice arrivait naturellement après le premier: puisque je laissais déjà le DNS passer par la même configuration, je n’avais pas besoin d’ajouter encore un outil séparé pour filtrer une partie de ce trafic.

Le compteur augmentait pendant que je naviguais.

Et, pour une fois, cette fonction secondaire allait dans le même sens que la principale: enlever une couche plutôt qu’en ajouter une.

Il reste une chose que je ne peux pas observer depuis mon appareil: les règles internes exactes utilisées par le service pour décider quels domaines doivent être classés et bloqués. Je peux voir le résultat côté utilisateur — les requêtes, les résolveurs qui apparaissent et le compteur — pas inspecter de l’extérieur tout le système de classification.

Mais cela ne changeait pas le résultat qui m’avait amené jusque-là.

Le résolveur local que j’essayais d’éviter n’était plus celui qui répondait à mes requêtes.

Le nombre de serveurs n’était finalement pas le bon concours

Un fournisseur historique conserve évidemment un avantage sur le recul public: plus d’années d’existence, davantage d’évaluations indépendantes et généralement beaucoup plus de localisations.

OnlydogVPNest plus récent.

Sur le papier, c’est une différence réelle.

Mais elle devient beaucoup plus facile à juger une fois que l’on arrête de comparer tous les VPN sur tous les critères en même temps.

Ce soir-là, je ne cherchais pas le plus grand réseau.

Je n’avais pas besoin de cinquante localisations supplémentaires.

Je voulais résoudre une fuite DNS sur un Wi-Fi que je ne contrôlais pas sans devoir synchroniser mentalement le VPN, le DNS du navigateur, une extension et plusieurs routes réseau.

Sur ce critère, la comparaison était beaucoup plus nette.

Le fournisseur historique avait davantage de serveurs, mais en changer n’avait pas résolu mon problème.

L’extension gratuite s’installait en quelques secondes, mais créait encore un périmètre différent.

La petite application est partie dans la direction opposée: moins de décisions à prendre, moins de configurations séparées, puis un résultat que je pouvais vérifier immédiatement.

C’est finalement ce que je chercherais aujourd’hui dans un VPN contre les fuites DNS.

Pas celui qui me donne le plus de couches à configurer.

Celui qui m’évite d’avoir à me demander laquelle vient de faire partir mon DNS ailleurs.