# Le coupe-circuit du VPN : ce qu'il bloque, et ce qui passe quand même

> Un kill switch bloque le trafic quand le VPN tombe. Réactif ou système, permanent ou non : ce que font Proton, Mullvad et NordVPN, les fuites qu'Android et iOS laissent passer malgré lui, et comment le vérifier.


*Ou : la sécurité d'un tunnel se juge au moment où il s'effondre.*

La réponse courte : un kill switch, ou coupe-circuit, bloque tout le trafic Internet de l'appareil quand la connexion VPN tombe, pour que rien ne parte en clair avec votre adresse réelle pendant la reconnexion. Il en existe deux familles, que Proton distingue dans [son explication du kill switch](https://protonvpn.com/blog/vpn-kill-switch) : le kill switch réactif surveille la connexion et coupe Internet quand elle tombe, avec un délai inévitable entre la chute et la coupure ; le kill switch système pose des règles de pare-feu qui interdisent en permanence tout trafic hors de l'interface du VPN, sans délai. Sous Windows, la plupart s'appuient sur la plateforme de filtrage du système. C'est le second modèle qu'il faut rechercher, et c'est la première protection à vérifier dans [le fonctionnement du tunnel](/guides/vpn-professionnel/protocoles-vpn-technique/).

Les fournisseurs ne l'activent pas tous de la même façon. Mullvad a fait le choix d'un blocage toujours actif, impossible à désactiver, et propose en plus un mode qui bloque Internet même après une déconnexion volontaire. Proton offre un kill switch standard, déclenché seulement par une coupure accidentelle, et un kill switch avancé, sous Windows et Linux, qui reste actif même après une déconnexion manuelle ; sous Windows, ses filtres restent en place même pendant le démarrage et l'arrêt de l'ordinateur. NordVPN ajoute une variante par application, désactivée par défaut, qui ferme les logiciels choisis si la connexion tombe.

## Kill switch VPN : ce qu'il bloque, plateforme par plateforme

Le kill switch dépend de ce que le système d'exploitation autorise. Sur ordinateur, l'application du VPN contrôle le pare-feu ; sur téléphone, c'est le système qui décide, et il se garde quelques exceptions.

| Plateforme | Mécanisme | Ce qui peut encore passer |
|---|---|---|
| Windows | Filtres du pare-feu système, persistants chez Proton (mode avancé) et Mullvad | Les applications exclues par le split tunneling |
| macOS | Pare-feu du système | Le trafic émis au démarrage avant l'application ; certaines requêtes des services Apple |
| Android | « VPN permanent » et « Bloquer les connexions sans VPN » | Les vérifications de connectivité du système, l'heure réseau |
| iOS | Option du système qui force le trafic dans le tunnel, depuis iOS 14 | Services Apple, notifications, connexions déjà ouvertes, DHCP et portails captifs |

Sur Android, le blocage se règle dans le système : le VPN permanent existe depuis Android 7.0 et l'option de blocage est proposée aux utilisateurs depuis Android 8.0. Mullvad a pourtant montré en octobre 2022 qu'Android envoie ses [vérifications de connectivité hors du tunnel](https://mullvad.net/en/blog/android-leaks-connectivity-check-traffic) à chaque connexion à un réseau Wi-Fi, même avec le blocage activé, et a documenté en 2024 des fuites DNS pendant les reconfigurations du tunnel. Sur iOS, la [documentation d'Apple](https://developer.apple.com/documentation/networkextension/nevpnprotocol/includeallnetworks) le reconnaît : même l'option qui fait passer tout le trafic dans le tunnel laisse de côté certains services du système, et les notifications restent exclues par défaut. Mullvad liste encore cinq cas de fuite sur iPhone en 2026, dont le trafic vers iCloud, Plans et Siri.

![Illustration : quelques lucioles qui passent par l'interstice d'une grille](/images/kill-switch-vpn-fonctionnement-grille.original.webp "Même avec le blocage activé, Android et iOS laissent passer quelques exceptions du système.")

Tester un kill switch ne demande pas d'outil spécialisé, mais aucun des trois fournisseurs cités ne publie, à notre connaissance, de procédure dédiée. La méthode la plus simple consiste à vérifier l'adresse IP affichée par un site de contrôle, puis à couper le Wi-Fi ou à forcer l'arrêt de l'application : l'accès à Internet doit disparaître tant que le tunnel n'est pas rétabli. Pour aller plus loin, Proton explique comment [capturer les paquets](https://protonvpn.com/support/packet-capture) avec Wireshark ou tcpdump sur l'interface physique ; appliquée pendant une coupure, cette capture ne doit montrer aucun trafic en dehors de celui du tunnel.

Le kill switch sert aussi contre des attaques plus récentes. La faille TunnelVision, publiée en mai 2024, permet à un réseau malveillant d'installer des routes qui détournent le trafic hors du tunnel ; Proton indique que ses applications macOS et iOS n'en sont protégées que kill switch activé.

### Les exceptions qu'on choisit

Le split tunneling fait volontairement passer certaines applications hors du tunnel, et le kill switch ne les bloque pas toujours. Les usages légitimes et les risques sont décrits dans [le split tunneling et ses usages](/guides/vpn-professionnel/protocoles-vpn-technique/split-tunneling-quand-utiliser/).

### Les requêtes qui passent à côté

Le kill switch agit quand le tunnel tombe ; tunnel actif, un réglage DNS maladroit peut encore envoyer vos requêtes ailleurs qu'au résolveur du VPN. Le test et la correction sont expliqués dans [la fuite DNS](/guides/vpn-professionnel/protocoles-vpn-technique/fuite-dns-detecter-corriger/).

### Les routes piégées

TunnelVision et TunnelCrack exploitent la table de routage plutôt qu'une coupure du tunnel. Ces attaques, et les fuites IPv6 et WebRTC, sont détaillées dans [les trous que le VPN ne bouche pas](/guides/vpn-professionnel/protocoles-vpn-technique/fuites-ipv6-webrtc-vpn/).


---

Cette page contient des liens d'affiliation. Si tu souscris via ces liens, je peux toucher une commission sans coût supplémentaire pour toi. Mon avis reste indépendant et s'appuie sur les audits publiés, la documentation officielle des fournisseurs et les tarifs vérifiés à la date de rédaction.