La confidentialité en ligne repose sur un équilibre fragile. Vous utilisez un VPN pour masquer votre activité, mais une faille invisible peut tout compromettre : le dns leakage, ou fuite DNS. Ce phénomène survient lorsque vos requêtes DNS contournent le tunnel chiffré de votre VPN et transitent directement par le serveur DNS de votre fournisseur d'accès Internet. Résultat : votre FAI, et potentiellement d'autres tiers, peuvent voir chaque site que vous visitez, même si votre adresse IP est masquée. Ce problème est plus répandu qu'on ne le croit, et il touche aussi bien les configurations Windows que macOS ou Linux. Comprendre ses mécanismes, identifier les risques et appliquer les bonnes configurations permet de reprendre le contrôle de sa vie privée numérique.
Ce que révèle vraiment une fuite DNS
Le système DNS (Domain Name System) agit comme un annuaire téléphonique d'Internet : il traduit les noms de domaine lisibles par l'humain (comme "monsite.com") en adresses IP compréhensibles par les machines. Chaque fois que vous tapez une URL dans votre navigateur, une requête DNS est envoyée avant même que la connexion s'établisse. C'est à ce stade précis que la fuite peut se produire.
Un VPN est censé chiffrer l'intégralité de votre trafic, y compris ces requêtes DNS. Mais certaines configurations défaillantes laissent le système d'exploitation envoyer ces requêtes via les serveurs DNS par défaut — ceux de votre FAI — plutôt que via le tunnel sécurisé. Votre adresse IP réelle reste masquée, mais votre historique de navigation, lui, est exposé.
Sous Windows, cette vulnérabilité est particulièrement fréquente. Microsoft a introduit avec Windows 8 une fonctionnalité appelée "Smart Multi-Homed Name Resolution" qui envoie les requêtes DNS à tous les serveurs disponibles simultanément pour accélérer la résolution. Pratique pour les performances, désastreuse pour la confidentialité. Un VPN mal configuré ne désactive pas ce comportement par défaut.
La Electronic Frontier Foundation souligne régulièrement que la protection de la vie privée dépend autant de la configuration technique que du choix de l'outil. Avoir un bon VPN ne suffit pas si les paramètres réseau sous-jacents contredisent ses objectifs.
Quand votre anonymat est en réalité une illusion
Les conséquences d'une fuite DNS vont bien au-delà de l'inconfort. Votre FAI enregistre légalement vos requêtes DNS dans de nombreux pays, et ces données peuvent être transmises aux autorités, vendues à des annonceurs ou exploitées à des fins de profilage. En Europe, le RGPD encadre ces pratiques, mais la réglementation varie fortement selon les juridictions.
Pour les journalistes, les militants ou les professionnels travaillant avec des données sensibles, une fuite DNS peut avoir des conséquences graves. Même pour un utilisateur ordinaire, l'exposition de ses habitudes de navigation représente une atteinte directe à sa vie privée. Un annonceur qui connaît vos sites visités peut construire un profil comportemental précis, indépendamment de votre adresse IP.
Les réseaux Wi-Fi publics amplifient le risque. Sur un réseau d'hôtel ou d'aéroport, un attaquant peut intercepter les requêtes DNS non chiffrées et rediriger l'utilisateur vers des sites frauduleux — une technique connue sous le nom de DNS spoofing. Si votre VPN fuit, cette protection disparaît entièrement.
Un autre angle souvent négligé : les extensions de navigateur. Certains plugins modifient les paramètres DNS du navigateur indépendamment du VPN système, créant une surface de fuite supplémentaire. WebRTC, une technologie intégrée aux navigateurs modernes, peut également divulguer votre adresse IP réelle même lorsque le VPN fonctionne correctement.
Configurer son VPN pour bloquer les fuites DNS
La configuration varie selon le client VPN utilisé, mais certaines étapes s'appliquent universellement. Voici les actions à mener pour sécuriser votre configuration :
- Activer l'option "DNS leak protection" ou "protection contre les fuites DNS" dans les paramètres de votre client VPN — cette option est disponible dans NordVPN, ExpressVPN et CyberGhost sous différentes appellations.
- Forcer le VPN à utiliser ses propres serveurs DNS plutôt que ceux du système d'exploitation — vérifiez que l'option "utiliser les DNS du VPN" est bien cochée.
- Activer le kill switch, qui coupe automatiquement votre connexion internet si le VPN se déconnecte, évitant toute exposition accidentelle.
- Désactiver la fonctionnalité Smart Multi-Homed Name Resolution sur Windows via l'éditeur de stratégie de groupe (gpedit.msc) ou le registre système.
- Désactiver WebRTC dans votre navigateur, soit via les paramètres avancés (Firefox), soit via une extension dédiée (Chrome/Edge).
Sur macOS, la configuration est généralement plus stable, mais il reste recommandé de vérifier manuellement les serveurs DNS configurés dans les préférences réseau. Assurez-vous qu'aucun serveur DNS externe (comme 8.8.8.8 de Google) n'est renseigné directement dans les interfaces réseau lorsque le VPN est actif.
Pour les utilisateurs de Linux, le fichier /etc/resolv.conf doit pointer vers le serveur DNS du VPN. Des outils comme dnscrypt-proxy permettent de chiffrer les requêtes DNS indépendamment du VPN, ajoutant une couche de protection supplémentaire.
Les protocoles VPN ont aussi leur importance. OpenVPN avec l'option block-outside-dns activée empêche Windows d'utiliser des serveurs DNS alternatifs. WireGuard, plus récent, gère nativement les DNS dans sa configuration, mais nécessite une vérification manuelle du paramètre DNS = dans le fichier de configuration.
Tester l'étanchéité de votre tunnel
La configuration seule ne suffit pas : il faut vérifier. Plusieurs outils permettent de tester concrètement si votre VPN protège bien vos requêtes DNS.
dnsleaktest.com est l'outil de référence. Il effectue une série de requêtes DNS et affiche les serveurs qui les ont traitées. Si vous voyez apparaître les serveurs de votre FAI alors que votre VPN est actif, la fuite est confirmée. Le test étendu ("extended test") envoie davantage de requêtes et détecte les fuites intermittentes, plus difficiles à identifier.
ipleak.net va plus loin en testant simultanément les fuites d'adresse IP, les fuites DNS et les fuites WebRTC. C'est un tableau de bord complet pour évaluer l'état de votre anonymat en un seul coup d'œil. browserleaks.com propose des tests similaires avec une interface détaillée par type de fuite.
La méthode de test doit être rigoureuse. Effectuez le test immédiatement après avoir activé votre VPN, puis à nouveau après quelques minutes d'utilisation — certaines fuites n'apparaissent qu'après une reconnexion automatique du VPN. Testez sur différents réseaux (Wi-Fi domestique, mobile, réseau public) car le comportement peut varier.
Si un test révèle une fuite malgré une configuration apparemment correcte, vérifiez si votre fournisseur VPN a publié des mises à jour récentes. NordVPN et ExpressVPN documentent les correctifs liés aux fuites DNS dans leurs journaux de modifications — une bonne habitude que de les consulter régulièrement.
Renforcer sa sécurité au-delà du VPN
Un VPN bien configuré protège contre les fuites DNS, mais la confidentialité en ligne repose sur plusieurs couches complémentaires. Adopter des serveurs DNS chiffrés comme ceux proposés par Cloudflare (1.1.1.1) ou Quad9 (9.9.9.9) ajoute une protection même lorsque le VPN n'est pas actif. Ces services supportent le protocole DNS over HTTPS (DoH) qui chiffre les requêtes DNS dans du trafic HTTPS standard, rendant leur interception bien plus difficile.
Les navigateurs axés sur la vie privée comme Firefox ou Brave intègrent nativement des protections contre les fuites WebRTC et supportent le DNS over HTTPS directement dans leurs paramètres. Passer de Chrome à l'un de ces navigateurs réduit significativement la surface d'exposition.
La mise à jour régulière de votre client VPN est une pratique souvent négligée. Les failles liées aux fuites DNS sont fréquemment corrigées dans les nouvelles versions — une version obsolète peut exposer des vulnérabilités connues et documentées. Activez les mises à jour automatiques ou vérifiez manuellement tous les mois.
Enfin, méfiez-vous des VPN gratuits. La plupart ne disposent pas de protection contre les fuites DNS, et certains enregistrent activement les données de navigation de leurs utilisateurs. Les fournisseurs reconnus comme NordVPN, ExpressVPN ou ProtonVPN publient des audits de sécurité indépendants qui attestent de l'absence de journalisation et de la robustesse de leur protection DNS. Ces audits, réalisés par des cabinets spécialisés, constituent la preuve la plus fiable de la fiabilité d'un service VPN.
La sécurité numérique n'est pas un état statique. Les menaces évoluent, les systèmes d'exploitation changent, et les configurations qui fonctionnaient hier peuvent devenir insuffisantes demain. Tester régulièrement son installation, rester informé des évolutions techniques et choisir des outils dont la transparence est vérifiable par des tiers indépendants : voilà ce que font concrètement ceux qui protègent réellement leur vie privée en ligne.
