DNS du VPN, DoH du navigateur ou NextDNS : lequel est réellement utilisé ? J’ai découvert que la réponse changeait selon l’application

J’avais posé la mauvaise question: « quel est mon DNS ? »

Je voulais simplement vérifier ma configuration.

NextDNS était installé depuis un moment pour le filtrage.

Mon navigateur utilisait aussi DNS-over-HTTPS.

Puis j’avais ajouté un VPN.

Je pensais pouvoir ouvrir une page de test, lire le nom du résolveur et obtenir une réponse définitive:

voilà le DNS de mon ordinateur.

C’est précisément là que je me trompais.

En 2026, un navigateur moderne n’est plus nécessairement un simple passager du DNS configuré par le système. Firefox possède plusieurs niveaux de protection DoH. Dans son mode par défaut, il peut désactiver DoH lorsqu’un VPN ou une politique d’entreprise est détecté. Dans des modes plus stricts ou personnalisés, il peut au contraire continuer à utiliser le fournisseur DoH choisi.

Cela signifie qu’une seule machine peut parfaitement avoir:

Firefox → un résolveur DoH,

une application de messagerie → le DNS fourni par le VPN,

un outil en ligne de commande → le résolveur du système.

À partir de là, demander « quel DNS est utilisé ? » sans préciser par quelle application revient un peu à demander quelle route mène à Paris sans dire d’où l’on part.

Et cette différence devenait encore plus nette dès que je regardais le comportement du navigateur.

Firefox m’a donné la première preuve que le navigateur pouvait passer devant le VPN

Le cas le plus clair se trouve presque noir sur blanc dans la documentation de Mozilla VPN.

Lorsque Firefox utilise l’extension VPN de Mozilla, les requêtes DNS du navigateur suivent normalement la connexion VPN. Mais Mozilla précise aussi que si Firefox est configuré pour utiliser DoH, le résolveur choisi dans Firefox prend la priorité sur celui configuré dans l’application VPN.

Cette phrase a changé ma manière de regarder toute la pile.

Je n’avais plus simplement:

ordinateur → VPN → DNS.

J’avais potentiellement:

Firefox → NextDNS en DoH,

et à côté:

autres applications → VPN → DNS du VPN.

Les deux chemins pouvaient exister en même temps.

Et surtout, une page de test ouverte dans Firefox ne me disait plus forcément ce que faisaient les autres applications.

C’est là que mes trois voyants « tout va bien » ont commencé à devenir beaucoup moins rassurants.

Chrome peut lui aussi prendre sa propre décision

Chrome ajoute une autre variante.

Google propose Secure DNS en mode automatique et permet également de choisir un fournisseur personnalisé. Dans ce dernier cas, le navigateur peut envoyer ses requêtes DNS au service choisi au lieu de simplement suivre la résolution classique du système.

Autrement dit, régler NextDNS dans Chrome ou Firefox n’est pas la même chose que régler NextDNS pour tout l’ordinateur.

C’est évident une fois qu’on le formule ainsi.

Ça l’était beaucoup moins lorsque je regardais trois écrans affichant tous « protégé ».

Je croyais avoir empilé trois couches de confidentialité.

J’avais surtout créé trois endroits capables de décider comment un nom de domaine devait être résolu.

Et c’est précisément à ce moment-là qu’une page de diagnostic peut donner une réponse vraie tout en vous laissant tirer une conclusion fausse.

test.nextdns.io répond à une question plus petite que celle que je lui posais

NextDNS fournit un outil très pratique: test.nextdns.io.

Lorsqu’il indique status: ok, il permet notamment de vérifier que la requête utilisée pour ce test passe bien par NextDNS et d’observer le protocole employé.

J’avais toujours interprété le résultat comme:

« cet ordinateur utilise NextDNS ».

La bonne lecture était plutôt:

« cette requête, lancée depuis ce contexte, utilise NextDNS ».

La nuance paraît minuscule.

Elle change tout.

J’ai ouvert le test dans Firefox.

NextDNS.

Puis j’ai regardé ce qui se passait hors du navigateur.

Le résultat n’était plus le même.

Firefox utilisait son DoH personnalisé.

Les autres applications continuaient à suivre le chemin DNS choisi par le VPN ou le système.

J’avais enfin reproduit mon paradoxe sans qu’aucun logiciel soit réellement en panne.

Et une discussion récente montrait que je n’étais clairement pas le seul à tomber dans ce piège.

Une discussion Reddit ressemblait presque exactement à mon écran

Le 15 août 2026, un utilisateur de r/ProtonVPN décrivait un problème très proche.

NextDNS fonctionnait via le DoH intégré à Firefox et Chromium. Puis, après activation d’une extension VPN, le diagnostic NextDNS faisait apparaître un autre résolveur alors que les réglages DoH du navigateur étaient toujours présents.

La question était finalement la même que la mienne:

qui contrôle réellement le DNS quand le navigateur et le VPN ont chacun leur propre mécanisme ?

Ce témoignage n’avait pas besoin de prouver une règle valable pour tous les VPN.

Il montrait quelque chose de plus utile: même lorsqu’on sait ce qu’est DoH, on peut construire une configuration où l’interface raconte moins de choses que le trafic réel.

Et c’est exactement ce que j’étais en train de faire.

J’ai essayé de faire en sorte que les trois tests affichent NextDNS

C’était mon réflexe suivant.

Si NextDNS me convenait, pourquoi ne pas le faire gagner partout ?

NextDNS dans Firefox.

NextDNS dans le système.

NextDNS comme DNS personnalisé lorsque le VPN le permet.

Sur le papier, c’était propre.

Dans la pratique, chaque succès créait une nouvelle vérification.

Firefox utilise-t-il encore son DoH ?

Le VPN laisse-t-il passer ce DNS personnalisé ?

Les autres applications suivent-elles le système ou possèdent-elles leur propre mécanisme ?

Le comportement reste-t-il le même après un changement de réseau ?

À un moment, j’ai réalisé que je ne testais plus ma confidentialité.

Je testais ma capacité à maintenir une petite infrastructure DNS personnelle.

Ce n’était pas du tout ce que j’avais voulu faire.

Et c’est là que la question a commencé à changer.

Le critère qui comptait vraiment était devenu la prévisibilité

Je n’avais rien contre NextDNS.

Ses profils, ses règles et ses journaux restent très utiles lorsqu’on veut réellement contrôler la résolution DNS en détail.

Mais mon usage était beaucoup plus simple.

Je voulais un VPN.

Je voulais réduire les requêtes publicitaires et de suivi.

Et je voulais comprendre, sans ouvrir trois diagnostics différents, qui faisait quoi.

C’est là que ma comparaison a basculé.

Dans mon cas, une seule politique de confidentialité prévisible valait davantage que trois couches dont je devais constamment vérifier la priorité.

Je n’avais plus besoin que le logo NextDNS apparaisse absolument dans Firefox.

J’avais besoin que ma navigation et mes applications passent par une configuration que je puisse expliquer en une phrase.

À partir de là, ajouter encore un réglage devenait exactement l’inverse de ce que je cherchais.

J’ai supprimé les exceptions avant d’ajouter quoi que ce soit

C’est à ce moment-là que OnlydogVPN^↗ est entré dans le test.

J’ai commencé par revenir à quelque chose de simple.

Plus de fournisseur DoH personnalisé dans le navigateur.

Plus de NextDNS ajouté parallèlement pour essayer de reprendre la résolution.

J’ai laissé le navigateur fonctionner normalement avec le VPN, puis j’ai activé le mode confidentialité.

Je suis retourné sur mes sites habituels.

Ils se sont ouverts.

J’ai lancé une application qui synchronisait du contenu en arrière-plan.

Elle a continué à fonctionner.

Puis j’ai regardé le compteur de requêtes bloquées.

Il montait.

Cette fois, je n’avais plus besoin de déterminer si le blocage venait du DoH de Firefox, du profil NextDNS ou d’une troisième couche.

Le VPN et le filtrage appartenaient à la même configuration.

C’était exactement l’inverse de ce que j’avais fait au début: au lieu d’ajouter une couche pour obtenir davantage de contrôle, j’en avais retiré deux pour enfin comprendre immédiatement ce qui se passait.

Le résultat le plus rassurant était que NextDNS avait justement disparu du test

J’ai rouvert test.nextdns.io.

Cette fois, il ne me disait plus que mon profil NextDNS était utilisé.

Et, pour la première fois de la soirée, ce résultat ne m’a pas inquiété.

C’était ce que j’attendais.

Je n’avais plus configuré NextDNS.

Le VPN utilisait son propre chemin.

Le filtrage intégré continuait à arrêter certaines requêtes indésirables et son compteur me permettait de le constater.

La configuration et le résultat racontaient enfin la même histoire.

C’est un détail auquel je n’aurais accordé aucune importance quelques heures plus tôt.

Je cherchais jusque-là le plus grand nombre de protections activées.

Je préférais maintenant une protection suffisamment claire pour que je remarque tout de suite lorsque son comportement change.

Et surtout, je pouvais revenir à ma navigation au lieu de revenir au diagnostic.

Le petit service ne remplace pas NextDNS si l’on a réellement besoin de NextDNS

C’est sa limite dans ce scénario.

Si j’avais plusieurs profils familiaux, des listes extrêmement précises, des journaux DNS que je consulte régulièrement ou des règles différentes selon les appareils, je garderais un service spécialisé.

NextDNS offre une profondeur de contrôle que le filtrage intégré d’un VPN n’a pas vocation à reproduire.

Le petit service possède également moins de régions et moins d’historique public qu’un grand fournisseur établi.

Mais ce n’était pas le problème que j’essayais de résoudre.

Mon problème était d’avoir Firefox, NextDNS et le VPN capables de me donner trois réponses différentes à une question que je croyais unique.

Pour cet usage-là, moins de couches devenait un avantage très concret.

Ce que j’ai fini par comprendre de ces trois DNS

La réponse est: cela peut dépendre de l’application qui pose la question.

Dans Firefox, un DoH personnalisé peut prendre la priorité selon le mode choisi. En mode par défaut, Firefox sait au contraire laisser davantage la main au contexte réseau, notamment lorsqu’un VPN est détecté.

Chrome possède lui aussi Secure DNS et peut utiliser un fournisseur personnalisé.

Si NextDNS n’est configuré que dans le navigateur, un test lancé depuis ce navigateur peut donc montrer NextDNS tandis qu’une autre application utilise le DNS du VPN.

Je ne chercherais donc plus un « gagnant » global.

Je déciderais d’abord qui doit être responsable.

Si j’ai réellement besoin des fonctions avancées de NextDNS, je construis volontairement la configuration autour de lui et je teste séparément le navigateur et le reste du système.

Si mon besoin est simplement VPN, confidentialité et filtrage des requêtes indésirables, je préfère désormais laisser une seule application prendre cette responsabilité.

Je croyais qu’une configuration réussie était celle où tous mes tests affichaient le même nom de DNS.

J’ai fini par préférer celle où je n’avais plus besoin d’ouvrir trois pages de diagnostic pour savoir qui répondait avant même que le premier site se charge.