Le tunnel est chiffré, mais l'annuaire parle encore : la fuite DNS
Ou : chiffrer la lettre ne sert à rien si l’on demande l’adresse à voix haute.
La réponse courte : il y a fuite DNS quand, VPN connecté, votre appareil continue d’envoyer ses requêtes de noms de domaine au résolveur habituel, souvent celui du fournisseur d’accès, au lieu de celui du VPN. Le contenu de vos échanges reste chiffré, mais la liste des sites que vous consultez part en dehors du tunnel. Le site dnsleaktest.com, édité par le fournisseur IVPN, résume le phénomène : dans certaines conditions, le système d’exploitation continue d’utiliser ses serveurs DNS par défaut plutôt que ceux attribués par le VPN. Le test prend une minute et se refait après chaque changement de configuration. C’est l’un des contrôles de base de la partie technique d’un VPN.
Les fournisseurs sérieux traitent le problème à la source. Proton explique dans sa documentation sur les fuites DNS qu’il exploite ses propres serveurs DNS, que les requêtes passent par le tunnel comme le reste du trafic, et que ses applications posent des règles de pare-feu pour qu’aucune requête ne sorte ailleurs. Mullvad fait de même, sauf si l’utilisateur choisit un serveur DNS personnalisé ; NordVPN oriente automatiquement ses applications vers ses propres serveurs.
Test de fuite DNS : les outils, et comment corriger
| Outil | Édité par | Ce qu’il vérifie |
|---|---|---|
| dnsleaktest.com | IVPN | Serveurs DNS réellement utilisés, test standard ou étendu |
| ipleak.net | AirVPN | Adresse IP, serveurs DNS, WebRTC, trafic torrent |
| browserleaks.com | Non affiché | Résolution de 50 domaines, dont la moitié en IPv6 seulement |
| mullvad.net/check | Mullvad | Utilisation du VPN, fuites DNS et WebRTC |
Le principe est le même partout : le site fait résoudre des noms de domaine générés au hasard et affiche les serveurs qui l’ont fait. Si l’un d’eux appartient à votre fournisseur d’accès, la fuite est avérée. Trois des quatre outils sont édités par des fournisseurs de VPN, ce qui ne fausse pas le résultat : ils montrent des adresses de serveurs, que chacun peut vérifier.
Trois causes reviennent. La première est propre à Windows : depuis Windows 8, selon Mullvad, le système peut interroger en parallèle les serveurs DNS de toutes les interfaces réseau, tunnel compris. La stratégie Microsoft qui désactive cette optimisation ne suffit pas, puisque le système interroge alors d’abord toutes les interfaces ; la vraie parade est le filtrage par le pare-feu, que les applications des fournisseurs posent elles-mêmes et qu’OpenVPN propose avec son option de blocage des DNS extérieurs.
La deuxième tient au navigateur. Un navigateur réglé sur un service de DNS chiffré choisi par l’utilisateur interroge ce service directement, sans passer par le résolveur du VPN ; Proton note que le chiffrement l’empêche alors de voir ou de rediriger ces requêtes. Firefox n’active pas ce mode par défaut en Belgique, en France ni en Suisse, et le mode automatique de Chrome se contente de chiffrer vers le fournisseur DNS déjà utilisé : le cas se présente surtout après un réglage manuel.
La troisième concerne Android. Mullvad a documenté en 2024 des requêtes DNS qui sortent hors du tunnel pendant qu’une application reconfigure la connexion ou s’arrête brutalement, même avec le blocage des connexions sans VPN activé, et recommande de désactiver le « DNS privé » du système quand un VPN est utilisé.
La correction suit l’ordre des causes : utiliser l’application officielle du fournisseur plutôt qu’une configuration manuelle, laisser son DNS par défaut, retirer tout DNS personnalisé du navigateur et du système, puis refaire le test.
Quand le VPN se coupe
Une fuite DNS peut aussi survenir pendant une coupure du tunnel, si rien ne bloque le trafic. C’est le rôle du coupe-circuit, décrit dans le kill switch et comment le vérifier.
Les adresses qui passent par ailleurs
Un test DNS propre ne garantit pas l’absence de fuite IPv6 ou WebRTC, qui révèlent directement une adresse. Les deux sont expliquées dans les fuites IPv6 et WebRTC.
Les applications sorties du tunnel
Exclure une application du VPN change aussi le chemin de ses requêtes, selon le fournisseur. Les règles sont détaillées dans le split tunneling et ses usages.