Quel VPN fonctionne correctement sur une connexion IPv6 française ? Celui qui ne protège pas seulement la moitié du chemin

Rien n’était en panne.

C’est justement ce qui m’a inquiété.

Mon VPN était connecté sur mon PC Windows. Le navigateur fonctionnait, ma visioconférence venait de se terminer sans coupure et un vérificateur d’adresse IP confirmait que mon IPv4 n’était plus celle de mon fournisseur d’accès.

J’aurais normalement fermé l’onglet à ce moment-là.

Mais je venais de lire que la France était devenue l’un des pays les plus avancés dans le déploiement d’IPv6. Par curiosité, j’ai lancé un deuxième test, cette fois en séparant IPv4 et IPv6.

IPv4 : le VPN.
IPv6 : mon opérateur français.
J’ai recommencé.
Même résultat.

Le VPN n’avait pas cessé de fonctionner. Il avait simplement construit un tunnel sur l’une des deux routes disponibles et laissé l’autre à côté.

Pour la première fois, le bouton « Connecté » m’a semblé beaucoup moins rassurant.

En France, IPv6 n’est plus un cas particulier de technicien réseau

J’aurais probablement ignoré ce détail il y a quelques années.

En 2026, c’est beaucoup plus difficile.

Le baromètre publié par l’Arcep le 16 juillet indique que, fin 2025, 94 % des clients fixes grand public et 83 % des clients mobiles avaient IPv6 activé. Sur le fixe, Free atteignait 99 %, Orange 97 % et Bouygues Telecom 96 %. La France se trouvait même en première position parmi les 100 pays comptant le plus d’internautes pour l’utilisation d’IPv6.

Autrement dit, ma fibre « IPv6 » n’avait rien d’exotique.

Elle ressemblait de plus en plus à une connexion française normale.

Le détail important est que nous sommes encore dans une période de cohabitation. L’Arcep décrit notamment le dual stack : l’appareil dispose à la fois d’IPv4 et d’IPv6 et utilise l’un ou l’autre selon la destination.

J’ai fini par me représenter ça comme une maison avec deux portes.

Mon VPN avait placé un gardien devant la porte IPv4.

Je regardais ce gardien, je voyais qu’il était bien en place et j’en concluais que la maison était protégée.

Pendant ce temps, la porte IPv6 était toujours ouverte.

Cette image expliquait beaucoup mieux mon test que le simple mot « fuite ».

Le tunnel pouvait fonctionner tout en laissant passer autre chose à côté

Le problème est connu depuis longtemps.

L’IETF expliquait déjà dans le RFC 7359 qu’un VPN utilisé sur un appareil dual-stack peut envoyer correctement IPv4 dans le tunnel tout en laissant IPv6 emprunter directement le réseau local si cette seconde route n’est pas prise en charge.

Et ce n’est pas seulement un vieux scénario théorique.

Des travaux publiés en 2025 par Yejin Cho et John Heidemann, de l’USC/Information Sciences Institute, ont étudié 129 000 visites quotidiennes d’utilisateurs de VPN. Les chercheurs ont constaté que certains VPN limités à IPv4 pouvaient encore laisser apparaître l’adresse IPv6 native ; selon les services étudiés, cette exposition concernait entre 5 % et 57 % des visiteurs pour certains VPN IPv4-only.

Je n’avais pas besoin d’aller beaucoup plus loin dans la mécanique.
Mon problème tenait sur deux lignes :
le site IPv4 voyait le VPN ;
le test IPv6 voyait encore ma connexion française.

À partir de là, changer dix fois de serveur VPN n’avait plus beaucoup de sens. Le problème n’était pas la destination du tunnel. C’était la route qui restait à l’extérieur.

Mon grand VPN n’était pas vraiment le problème — ma configuration l’était davantage

J’utilisais un fournisseur établi, avec beaucoup de serveurs, une application mature et une documentation assez complète.

Mais sur ce PC, j’avais voulu faire quelque chose de plus « propre ».

J’avais importé moi-même un profil WireGuard.

À l’époque, cela m’avait semblé préférable : moins d’application, moins d’interface, davantage de contrôle.

Puis j’ai rouvert le fichier.
La ligne de routage couvrait IPv4.
Pas IPv6.

La même confusion apparaît encore dans des discussions publiques récentes. En mai 2026, un utilisateur de r/WireGuard demandait précisément si AllowedIPs = 0.0.0.0/0 suffisait pour éviter une fuite IPv6 ou s’il fallait également inclure ::/0.

La réponse technique tient presque dans la question : la première route couvre IPv4 ; la seconde couvre IPv6.

J’ai donc ajouté la route IPv6.
Et Internet s’est mis à mal fonctionner.
Certaines pages s’ouvraient.
D’autres attendaient.
Le tunnel, lui, restait fièrement affiché comme actif.
J’avais fermé la deuxième porte, mais je n’avais pas construit de couloir derrière.
C’est à ce moment-là que j’ai arrêté d’éditer le fichier.

« Compatible IPv6 » ne veut pas forcément dire « IPv6 natif »

Cette distinction m’aurait évité pas mal de manipulations.

Pour éviter que mon adresse IPv6 réelle contourne le tunnel, un VPN peut faire deux choses cohérentes : transporter IPv4 et IPv6 dans le tunnel, ou empêcher IPv6 de sortir directement lorsqu’il ne le prend pas encore en charge.

Ce que je ne voulais plus, c’était une troisième situation : IPv4 protégé d’un côté, IPv6 libre de continuer silencieusement de l’autre.

Même les grands fournisseurs montrent que la transition n’est pas uniforme. Proton VPN documente par exemple une prise en charge différente selon les plateformes : certains clients transportent IPv6 nativement, tandis que d’autres le bloquent pour éviter que l’adresse réelle soit exposée.

Microsoft a également ajouté en juin 2026 des améliorations de Windows 11 concernant notamment les VPN IPv6 et la compatibilité avec les logiciels VPN tiers.

À ce stade, mon critère avait changé.

Je ne cherchais plus la mention « IPv6 » sur une fiche de caractéristiques.

Je voulais lancer le VPN sur une connexion française moderne et ne plus avoir à vérifier moi-même quelle moitié du réseau avait été oubliée.

J’ai laissé l’application gérer la route au lieu de continuer à la dessiner moi-même

C’est à ce moment-là que j’ai ouvert OnlydogVPN^↗.

Le service a moins de destinations que les très grands fournisseurs et une histoire publique plus courte. Si mon plaisir avait été de construire mes propres profils WireGuard et de régler chaque route à la main, j’aurais probablement continué avec un outil plus configurable.

Mais après avoir passé ma soirée entre 0.0.0.0/0, ::/0 et les propriétés réseau de Windows, je ne cherchais plus davantage de contrôle.

Je cherchais à ne plus avoir besoin de ce contrôle.
Je n’ai pas importé de fichier.
Je n’ai pas choisi une route IPv4 puis cherché quoi faire d’IPv6.
Je n’ai pas désactivé IPv6 dans Windows pour forcer mon réseau à s’adapter au VPN.
J’ai lancé la connexion depuis l’application.
Puis j’ai repris exactement les deux tests qui avaient déclenché toute cette recherche.
IPv4 d’abord.

La route avait changé.

Puis IPv6.

Dans le test utilisé pour ce récit, l’adresse IPv6 native de la connexion française n’apparaissait plus à côté du tunnel. Un précédent test public du service avait déjà montré le même type de problème : une connexion VPN paraissait active alors qu’une partie de la route d’origine restait visible, avant que la route protégée ne soit correctement rétablie.

Cette fois, je n’ai pas continué à regarder les adresses.
J’ai utilisé l’ordinateur.
Le navigateur a chargé normalement.
La messagerie a continué à synchroniser.
J’ai envoyé un fichier, puis lancé un appel.
Tout fonctionnait.

C’était beaucoup plus convaincant pour moi qu’une ligne « IPv6 compatible » dans une liste de fonctionnalités : je pouvais garder la connexion IPv6 de mon opérateur activée sans voir mon adresse native ressortir à côté du VPN.

Et surtout, je n’avais rien eu à réparer à la main.

Désactiver IPv6 aurait réglé le symptôme, mais dans le mauvais sens

J’avais évidemment une solution plus brutale.

Windows permet de désactiver IPv6.

Certains fournisseurs documentent encore cette méthode lorsqu’une configuration VPN manuelle ne protège pas correctement ce protocole. Proton la propose notamment comme solution pour certains usages avec des clients tiers.

J’ai failli le faire.
Puis j’ai regardé à nouveau les chiffres français.
94 % des accès fixes grand public ont déjà IPv6 activé.
Microsoft améliore désormais explicitement la prise en charge des VPN IPv6 dans Windows.
Les opérateurs poursuivent leur transition.

Désactiver IPv6 aurait supprimé ma fuite, mais cela revenait à faire reculer ma connexion pour compenser les limites de mon profil VPN.

Je préférais exactement l’inverse :
le réseau reste tel qu’il est ;
le VPN s’adapte autour.

Et c’est finalement ce qui m’a fait conserver le petit service. Non pas parce qu’il me donnait davantage de réglages, mais parce qu’il m’en retirait précisément là où mes réglages manuels avaient créé le problème.

Maintenant, je vérifie les deux portes

Avant cette histoire, mon contrôle prenait cinq secondes.
VPN activé.
Recherche « mon IP ».
Adresse différente.
Terminé.
Je ne ferais plus ça sur une connexion française actuelle.
Je vérifierais IPv4 et IPv6 séparément.

Si IPv4 affiche la sortie du VPN mais qu’IPv6 montre encore Orange, Free, Bouygues Telecom, SFR ou l’adresse native de ma connexion, le bouton vert ne suffit pas.

Une application officielle bien conçue peut éviter ce problème alors qu’un profil manuel incomplet le provoque. Certains VPN transportent IPv6 ; d’autres préfèrent le bloquer proprement lorsqu’il n’est pas pris en charge. Pour moi, cette différence technique est devenue secondaire.

Ce qui compte, c’est ce que je vois après avoir appuyé sur « connecter ».

C’est là que ce service plus petit a trouvé sa place sur mon PC.

Il ne m’a pas convaincu avec davantage de serveurs ni avec une promesse abstraite autour d’IPv6. Il m’a convaincu quand j’ai répété le test qui avait fait échouer ma configuration précédente, puis que j’ai pu fermer la page de test et retourner travailler sans ouvrir une seule fois les paramètres réseau.

Sur une connexion française en 2026, je ne demande donc plus si un VPN « fonctionne avec IPv6 » parce que son tunnel devient vert.

Je vérifie simplement qu’après avoir fermé la porte IPv4, il n’a pas laissé la porte IPv6 ouverte derrière moi.