Quel VPN protège vraiment les requêtes DNS sans casser les sites locaux ? J’ai arrêté de choisir entre les deux

À 22 h 17, le site de ma banque refusait de me laisser passer alors que j’étais assis dans un hôtel à Lyon. Le VPN était activé précisément parce que je ne voulais pas confier mes requêtes DNS au Wi-Fi de l’hôtel; pourtant, dès que je le coupais, la banque s’ouvrait, et dès que je le rallumais, je retombais sur une vérification qui tournait en boucle.

Le détail qui m’a empêché de simplement couper le VPN, c’est ce qui s’était passé quelques semaines plus tôt. Fin juillet 2026, Microsoft a décrit CaptiveCrunch, une campagne observée depuis mai sur des réseaux d’hôtels et d’autres infrastructures à portail captif: des attaquants manipulaient notamment le DNS et le trafic HTTP afin de rediriger des voyageurs vers leur propre infrastructure. Ce n’était pas une raison de considérer chaque Wi-Fi d’hôtel comme compromis.

C’était une raison beaucoup plus concrète de ne plus traiter le DNS comme un détail invisible. Le DNS, dans cette histoire, ressemble surtout au carnet d’adresses que mon ordinateur consulte avant d’aller sur un site. Chiffrer la page sans protéger cette consultation revient un peu à mettre la lettre dans une enveloppe tout en demandant l’adresse à voix haute dans le hall.

Le NIST a justement renforcé en mars 2026 ses recommandations sur la confidentialité des requêtes DNS. Je n’avais donc pas envie de résoudre mon problème bancaire en retirant la protection au moment précis où j’utilisais un réseau que je ne contrôlais pas. ## Mon premier VPN protégeait le DNS — et cassait quand même le site

J’ai d’abord fait ce qui me semblait le plus logique: garder mon fournisseur habituel et choisir une sortie en France.

Sur le papier, tout était propre. L’adresse IP publique était française. Le test DNS ne montrait plus le résolveur de l’hôtel. La connexion était rapide.

J’ai rouvert la banque.

Même boucle.

J’ai essayé un deuxième serveur français. Puis un troisième. L’un me donnait un CAPTCHA, l’autre chargeait la page d’accueil mais refusait la connexion, le troisième revenait au même écran de vérification.

C’est là que j’ai cessé de soupçonner le DNS.

Un site local peut parfaitement accepter que je sois « en France » tout en refusant l’adresse IP précise par laquelle j’arrive. Des bases d’intelligence IP comme celle de MaxMind sont justement conçues pour identifier les adresses associées aux VPN, proxies et centres de données afin que les sites puissent les bloquer ou leur appliquer des contrôles supplémentaires. Autrement dit, le drapeau français dans l’application ne transforme pas une sortie VPN en connexion résidentielle ordinaire.

Cette distinction expliquait enfin le comportement bizarre que j’avais sous les yeux: mon DNS pouvait être correctement protégé et mon site local pouvait quand même me fermer la porte. Les deux problèmes n’étaient pas contradictoires. Ils se produisaient simplement à deux endroits différents.

Et je n’étais manifestement pas le seul à finir par couper son VPN pour ce genre de tâche. Dans une discussion publiée en avril 2026, un utilisateur en France racontait devoir le désactiver pour des services aussi banals que sa banque ou la prise d’un rendez-vous médical. Ce témoignage ne dit pas que tous les sites français se comportent ainsi; il montre quelque chose de plus utile ici: quand le VPN devient pénible, le réflexe le plus naturel consiste précisément à retirer la protection. J’ai failli faire pareil.

Puis j’ai regardé le nom du Wi-Fi en haut de l’écran et je me suis rappelé pourquoi j’avais activé le tunnel.

Le split tunneling réglait le site en sacrifiant exactement ce que je voulais garder

L’autre solution évidente était d’exclure la banque du VPN.

Techniquement, c’était séduisant. Le navigateur ou l’application locale reprendrait la route normale de l’hôtel; le reste de mon trafic resterait dans le tunnel. Je pouvais retrouver l’accès sans tout couper.

Mais ce compromis répondait mal à ma question. Je ne cherchais pas seulement à garder un cadenas vert pour le reste de l’ordinateur. Je voulais que les requêtes liées aux sites que j’utilisais sur ce Wi-Fi ne repartent pas tranquillement vers l’infrastructure locale.

À ce moment-là, mon critère a changé.

Je ne cherchais plus « un VPN avec protection DNS » d’un côté et « un VPN compatible avec les sites français » de l’autre. Je cherchais une seule route qui fasse les deux: garder le DNS dans la connexion protégée, tout en arrivant sur les services locaux par une sortie qu’ils acceptent.

C’est une différence assez petite sur une fiche technique.

Devant une page de banque bloquée, elle devient toute la différence.

La petite application a réussi le test que j’aurais dû faire dès le début

J’avais encore un autre service installé après un précédent essai. Son interface ne me demandait pas de commencer par choisir une ville parmi une longue liste; elle était organisée autour de ce que j’essayais de faire. J’ai choisi le mode de confidentialité et laissé l’application sélectionner sa route.

Avant d’ouvrir la banque, j’ai refait le test DNS.

Le résolveur de l’hôtel n’apparaissait plus.

C’était la première moitié du problème. Je n’ai pas continué à changer de réglages pour obtenir un résultat « encore plus propre ». J’ai ouvert la banque.

La page de connexion s’est affichée.

J’ai validé l’authentification.

Le tableau de bord a chargé.

Puis j’ai ouvert le virement que je devais vérifier et atteint l’écran de confirmation.

C’était la deuxième moitié du problème — et celle qui comptait réellement.

Dans les essais menés pour cet article, la combinaison était directement observable: les requêtes DNS ne repartaient plus vers le résolveur local qui avait déclenché ma vérification, et le site français que la première route VPN faisait échouer restait utilisable. Un test précédent du service avait déjà montré le même type de résultat côté DNS: une fois connecté, le résolveur local inattendu disparaissait du test. Après coup, l’explication technique était moins mystérieuse que le résultat.

Le service utilise un transport basé sur HTTP/3 avec une couche d’obfuscation supplémentaire et automatise davantage le choix de route. En pratique, je n’avais pas besoin de décider si le problème venait du protocole, de la ville ou du serveur: je choisissais la situation, puis je vérifiais si la tâche aboutissait.

C’est précisément ce que mon premier VPN m’avait fait oublier.

Plus de serveurs m’avaient donné plus d’essais.

Ils ne m’avaient pas donné une meilleure sortie pour ce site.

Et c’est ici qu’une limite rend paradoxalement le choix plus facile à comprendre: aucune adresse VPN ne peut être considérée comme éternellement acceptée par tous les services locaux. Les listes de réputation changent, tout comme les règles antifraude. Je ne veux donc plus savoir combien de sorties françaises existent en théorie. Je veux savoir si la route proposée aujourd’hui protège mon DNS et me laisse terminer l’action locale que j’ai devant moi.

Le petit détail qui m’a donné envie de le laisser activé

Une fois le virement vérifié, j’ai ouvert le site de réservation que j’avais abandonné plus tôt.

Il a chargé normalement lui aussi.

C’est seulement là que j’ai remarqué le compteur de requêtes bloquées. Certaines demandes liées à la publicité et au suivi étaient filtrées pendant la navigation.

Ce n’était pas la raison pour laquelle j’avais ouvert l’application, et je n’aurais pas changé de VPN pour ce compteur seul. Mais après avoir passé vingt minutes à essayer de protéger le DNS sans casser mes pages locales, voir une partie de ces requêtes inutiles disparaître sans ajouter une extension supplémentaire avait du sens.

Le service reste plus récent, avec moins de localisations et moins de recul public que les grands fournisseurs. Pour quelqu’un qui a besoin d’une ville de sortie très précise ou d’un vaste catalogue de pays, cette différence compte.

Ce soir-là, elle ne comptait pas autant que je l’aurais cru.

Mon grand fournisseur avait réussi la partie facile: chiffrer la connexion et faire sortir mon trafic en France. Il avait échoué sur la partie qui m’obligeait à couper le VPN: faire accepter cette route par le site local.

Le split tunneling avait réussi l’accès en retirant volontairement la banque du chemin que je voulais protéger.

La petite application avait gardé les deux contraintes ensemble. Le DNS ne revenait pas vers le Wi-Fi de l’hôtel, et je pouvais quand même atteindre l’écran de confirmation de ma banque puis la page de réservation.

C’est finalement le test que je garderais pour cette question.

Pas « est-ce que le VPN protège le DNS ? » tout seul.

Pas « est-ce qu’il a des serveurs en France ? » tout seul.

Je veux voir les deux écrans l’un après l’autre: d’abord un test DNS qui ne retombe pas sur le réseau local, puis le bouton de confirmation du site français qui fonctionne encore.

Ce soir-là, le meilleur VPN n’était pas celui qui me cachait le mieux le DNS au prix de casser le reste. C’était celui qui m’a permis de garder le tunnel ouvert jusqu’au moment où ma banque a affiché « confirmé ».