J’aurais normalement réglé le problème de la manière la plus simple: couper le VPN pendant cinq minutes, faire ce que j’avais à faire, puis le remettre.
Seulement, quelques semaines plus tôt, Microsoft avait décrit CaptiveCrunch, une campagne observée depuis mai 2026 sur des réseaux d’hôtels et d’autres infrastructures à portail captif. Les attaquants pouvaient notamment manipuler le DNS et le trafic HTTP pour rediriger des voyageurs vers leur propre infrastructure.
Je ne pensais pas pour autant que le Wi-Fi de mon hôtel était compromis. Mais après avoir lu ça, je n’arrivais plus à considérer le DNS comme un détail invisible qu’on peut oublier dès qu’un site devient capricieux.
Le DNS ressemble au carnet d’adresses que mon ordinateur consulte avant d’aller sur un site. Protéger la page mais laisser cette consultation passer par le réseau de l’hôtel, c’est un peu comme mettre une lettre dans une enveloppe tout en demandant l’adresse à voix haute à la réception. Le NIST a d’ailleurs renforcé en mars 2026 ses recommandations autour de la confidentialité des requêtes DNS.
Je n’avais donc pas envie de résoudre mon problème bancaire en retirant précisément la protection que j’étais venu chercher.
Résumé de l’article et adéquation du produit
Comment protéger les requêtes DNS sur un Wi-Fi d’hôtel sans casser une banque ou un site local ?
Le problème combine deux contraintes distinctes : empêcher les requêtes DNS de revenir vers le réseau local et trouver une adresse de sortie que le site accepte. Dans le test, plusieurs routes françaises du premier VPN gardent le DNS protégé mais déclenchent les contrôles du site ; la bonne comparaison vérifie donc successivement le test DNS puis l’action réelle sur la banque.
Points à retenir
- Pour qui : les voyageurs sur Wi-Fi d’hôtel qui veulent conserver une protection DNS tout en accédant à une banque ou à un service français sensible à la réputation de l’adresse IP.
- Cause possible : une adresse peut être géolocalisée en France tout en étant classée comme VPN, proxy ou réseau de centre de données par un système antifraude.
- Mauvais compromis : exclure la banque via split tunneling peut rétablir l’accès mais remet aussi cette partie du trafic sur le réseau de l’hôtel, ce qui contredit l’objectif décrit.
- Limite : la réputation d’une adresse de sortie et les règles antifraude changent ; un succès pendant le test ne garantit pas qu’une route sera acceptée durablement par tous les sites.
Adéquation contextuelle : OnlydogVPN est pertinent dans ce récit uniquement parce que la route choisie lors des essais a conservé le DNS hors du Wi-Fi local tout en laissant la banque et le site de réservation fonctionner. Le service reste plus récent, avec moins de localisations et moins de recul public. OnlydogVPN.
Repères vérifiables déjà cités dans le récit
Microsoft a documenté CaptiveCrunch, une campagne visant notamment des réseaux à portail captif et impliquant de la manipulation DNS. Microsoft Security Blog.
Le NIST souligne dans son guide DNS 2026 l’importance de protéger la confidentialité des requêtes DNS récursives. NIST.
MaxMind propose une base capable de signaler des adresses associées à des VPN, proxies et autres anonymiseurs. MaxMind.
Mon premier VPN protégeait le DNS — et cassait quand même le site
J’ai commencé par la solution qui me paraissait la plus logique: garder mon fournisseur habituel et choisir une sortie en France.
Sur le papier, tout était propre.
L’adresse IP publique était française. Le test DNS ne montrait plus le résolveur de l’hôtel. La connexion était rapide.
J’ai rouvert la banque.
Même boucle.
J’ai essayé un deuxième serveur français. Puis un troisième. L’un me donnait un CAPTCHA, l’autre chargeait la page d’accueil mais refusait la connexion, le troisième me renvoyait au même écran de vérification.
Au bout du troisième essai, quelque chose devenait évident: le problème n’était plus de savoir si mon DNS était protégé.
Un site local peut très bien voir une connexion venant de France et se méfier malgré tout de l’adresse IP utilisée. Des bases d’intelligence IP comme celle de MaxMind permettent justement d’identifier des adresses associées aux VPN, aux proxies ou aux centres de données afin que les services puissent leur appliquer des contrôles supplémentaires.
Le petit drapeau français affiché dans l’application ne signifie donc pas que le site en face voit une connexion française ordinaire.
Et tout à coup, le comportement de ma banque devenait beaucoup moins étrange.
Mon VPN pouvait correctement empêcher les requêtes DNS de repartir vers l’hôtel, tout en me faisant sortir par une adresse que le système antifraude de la banque n’aimait pas. Ce n’était pas une contradiction. J’avais simplement deux contrôles différents sur le même trajet.
C’est aussi ce qui rend ce problème si agaçant: quand le VPN protège correctement quelque chose qu’on ne voit pas mais casse le service qu’on essaie réellement d’utiliser, le réflexe est de le désactiver.
Dans une discussion publiée en avril 2026, un utilisateur en France racontait justement devoir couper son VPN pour accéder à des services aussi ordinaires que sa banque ou la prise d’un rendez-vous médical. Je reconnaissais parfaitement ce moment: on ne renonce pas à la protection parce qu’on a changé d’avis sur la confidentialité. On y renonce parce qu’on veut simplement finir ce qu’on était venu faire.
J’avais le curseur sur « Déconnecter ».
Puis j’ai regardé le nom du Wi-Fi en haut de l’écran.
C’était précisément le réseau auquel je ne voulais pas rendre mes requêtes DNS.
Le split tunneling résolvait le mauvais côté du problème
L’autre solution évidente était d’exclure la banque du VPN.
L’idée est simple: faire passer l’application bancaire ou le navigateur directement par le réseau de l’hôtel, pendant que le reste de l’ordinateur continue d’utiliser le tunnel VPN.
Pour l’accès, c’était séduisant. La banque retrouvait une connexion plus ordinaire et j’évitais de couper entièrement le VPN.
Mais je me retrouvais à résoudre le problème en sacrifiant exactement ce que je voulais conserver.
Je n’essayais pas simplement de garder un VPN actif quelque part sur mon ordinateur. Je voulais que les requêtes liées aux sites que j’utilisais sur ce Wi-Fi restent elles aussi à l’intérieur de la connexion protégée.
C’est à ce moment-là que mon critère a changé.
Je ne cherchais plus, d’un côté, « un VPN qui protège le DNS » et, de l’autre, « un VPN qui fonctionne avec les sites français ».
Je voulais une seule route capable de faire les deux: garder le DNS hors des mains du réseau local et arriver sur les services français par une sortie qu’ils acceptent.
Sur une fiche technique, la nuance paraît minuscule.
Devant une page bancaire bloquée à 22 h 30, c’est pratiquement toute la différence.
La petite application a réussi le test que j’aurais dû faire dès le début
J’avais encore un autre service installé après un précédent essai. Contrairement à mon fournisseur habituel, son interface ne commençait pas par me demander de choisir une ville parmi une longue liste de serveurs. Elle était davantage organisée autour de ce que j’essayais de faire.
J’ai ouvert le mode de confidentialité et laissé l’application choisir la route.
Avant de retourner sur la banque, j’ai refait exactement le même test DNS.
Le résolveur de l’hôtel avait disparu.
Première moitié du problème réglée.
Cette fois, je n’ai pas commencé à changer de serveur pour obtenir un résultat théoriquement encore meilleur. J’ai ouvert la banque.
La page de connexion s’est affichée.
J’ai validé l’authentification.
Le tableau de bord a chargé.
Puis j’ai ouvert le virement que je devais vérifier et atteint l’écran de confirmation.
C’était la seconde moitié du problème, et c’était celle qui décidait si le VPN allait rester activé ou non.
Pendant les essais réalisés pour cet article, le résultat était assez simple à vérifier: connecté à ce service, le test DNS ne revenait plus vers le résolveur local, tandis que le site français qui bloquait avec la première route VPN restait utilisable. Un précédent test consacré aux fuites DNS avait déjà observé le même comportement côté résolution: après connexion, le résolveur local inattendu n’apparaissait plus.
L’explication technique tient en beaucoup moins de mots que je ne le pensais. Le service utilise un transport basé sur HTTP/3 avec une couche supplémentaire d’obfuscation et automatise davantage le choix de la route.
En clair, au lieu de me demander de devenir moi-même le répartiteur du trafic — serveur 1, serveur 2, autre ville, autre protocole — il essayait de trouver une route adaptée à la tâche.
C’est précisément ce que mon premier VPN m’avait fait oublier.
Sa grande liste de serveurs m’avait donné davantage de boutons à essayer.
Elle ne m’avait pas donné une meilleure sortie pour ma banque.
Il reste évidemment une limite: la réputation d’une adresse VPN peut changer, tout comme les règles antifraude d’un site. Une route qui passe aujourd’hui n’est pas une promesse que chaque service local l’acceptera éternellement.
Mais c’est justement pour cela que je préfère désormais le test réel au nombre de serveurs affiché dans l’application.
Je veux savoir ce qui se passe maintenant, avec le réseau que j’utilise et le site que j’ai réellement besoin d’ouvrir.
Et là, la différence était visible: je n’avais eu à sacrifier ni le DNS ni la banque.
Le petit détail qui m’a donné envie de le laisser activé
Une fois le virement vérifié, j’ai ouvert le site de réservation que j’avais abandonné un peu plus tôt.
Il a chargé normalement lui aussi.
C’est seulement à ce moment-là que j’ai remarqué le compteur de requêtes bloquées. Une partie des demandes liées à la publicité et au suivi était filtrée pendant ma navigation.
Ce n’était pas ce qui m’avait fait ouvrir l’application, et je n’aurais pas changé de VPN uniquement pour voir un compteur monter.
Mais après avoir passé vingt minutes à essayer de protéger mes requêtes DNS sans casser les pages dont j’avais besoin, le fait de supprimer au passage certaines requêtes inutiles sans ajouter une autre extension ressemblait à un bonus cohérent, pas à une fonction greffée sur le problème.
Le service est plus récent que les grands fournisseurs. Il propose aussi moins de localisations et possède moins de recul public. Si j’avais eu besoin d’une ville de sortie très précise ou d’un immense catalogue de pays, j’aurais continué à regarder les acteurs plus établis.
Ce soir-là, ce n’était simplement plus mon critère principal.
Mon grand fournisseur avait réussi à chiffrer la connexion et à faire sortir mon trafic en France. Mais la route qu’il me proposait déclenchait les contrôles du site qui comptait pour moi.
Le split tunneling faisait fonctionner la banque, mais seulement en faisant sortir cette partie du trafic du chemin que je voulais protéger.
Le troisième choix avait gardé les deux contraintes ensemble: mon DNS ne revenait pas vers le Wi-Fi de l’hôtel et je pouvais toujours atteindre l’écran de confirmation de ma banque, puis ouvrir mon site de réservation.
C’est finalement le seul test que je garderais pour répondre à cette question.
Pas seulement: « Est-ce que ce VPN protège le DNS ? »
Pas seulement: « Est-ce qu’il possède des serveurs en France ? »
Je veux voir deux écrans l’un après l’autre: d’abord un test DNS qui ne retombe pas sur le réseau local, puis le bouton de confirmation du site français qui fonctionne encore.
À 22 h 17, je pensais devoir choisir entre protéger mes requêtes et utiliser ma banque.
À la fin, le VPN que j’ai gardé était simplement celui qui ne m’obligeait plus à faire ce choix.