Ton VPN cache ton IP. Pas forcément tes requêtes DNS.

Tu visites facebook.com. Ton ordinateur demande à un serveur DNS "Quelle est l'IP de facebook.com ?". Le serveur répond "157.240.241.35".

Même avec un VPN, ces requêtes DNS peuvent passer hors du tunnel VPN. Ton FAI voit tous les sites que tu visites. Pas le contenu des pages, mais les noms de domaine. Assez pour profiler ton activité.

Comment fonctionnent les requêtes DNS

DNS = Domain Name System. C'est l'annuaire d'internet. Tu tapes "google.com", le DNS traduit en "142.250.201.78".

Processus normal (sans VPN) :

1. Tu tapes youtube.com dans ton navigateur
2. Ton PC envoie une requête DNS à ton FAI (ex : "C'est quoi l'IP de youtube.com ?")
3. Le FAI répond "142.251.37.110"
4. Ton PC se connecte à cette IP

Avec un VPN (configuration correcte) :

1. Tu tapes youtube.com
2. La requête DNS passe par le tunnel VPN chiffré
3. Le serveur DNS du VPN répond
4. Ton FAI ne voit rien, juste du trafic VPN chiffré

Avec une fuite DNS :

1. Tu tapes youtube.com
2. La requête DNS sort du tunnel VPN et va directement au FAI
3. Le FAI logue "Cet utilisateur va sur youtube.com"
4. Le reste du trafic passe par le VPN (IP masquée), mais le FAI sait quels sites tu visites

Pourquoi les fuites DNS arrivent

1. Configuration système par défaut

Windows, macOS, Linux : tous utilisent les DNS du FAI par défaut. Même en installant un VPN, l'OS peut continuer à utiliser ces DNS si le VPN ne force pas le changement.

2. IPv6 non géré par le VPN

Beaucoup de VPN routent seulement l'IPv4. Si ton FAI et le site supportent IPv6, les requêtes DNS IPv6 passent hors VPN.

Solution : Désactive IPv6 ou choisis un VPN qui le gère (NordVPN, Mullvad).

3. DNS intelligent de Windows

Windows 10/11 a une fonction "Smart Multi-Homed Name Resolution". Si le DNS du VPN répond lentement, Windows envoie la requête aux DNS du FAI en parallèle. Le premier qui répond gagne.

Résultat : fuite DNS aléatoire sur Windows.

Solution : Désactive cette fonction (expliqué plus bas).

4. VPN mal configuré

Certains VPN bas de gamme ne redirigent pas les DNS. Ils masquent ton IP mais laissent fuiter les DNS. Tu es protégé à moitié.

Tester les fuites DNS en 30 secondes

Trois outils gratuits :

1. DNSLeakTest.com (le plus complet)

1. Connecte-toi à ton VPN
2. Va sur dnsleaktest.com
3. Clique sur "Standard test" ou "Extended test"
4. Attends 10 secondes

Résultat attendu : Tu dois voir les DNS du VPN. Exemple avec NordVPN : des serveurs en Allemagne, Suède, etc. avec "NordVPN" dans le nom.

Si tu vois ton FAI : Fuite DNS détectée. Les requêtes passent hors VPN.

2. IPLeak.net (combine IP + DNS + WebRTC)

Va sur ipleak.net avec le VPN connecté.

Le site affiche :

• Ton IP publique (doit être celle du VPN)
• Tes serveurs DNS (doivent être ceux du VPN)
• Ton IP WebRTC (doit être masquée ou identique à l'IP VPN)

Si une seule section affiche ton IP réelle ou ton FAI, tu as une fuite.

3. BrowserLeaks.com/dns (pour les power users)

Test plus technique. Affiche tous les serveurs DNS contactés, leur localisation, leur propriétaire (ASN).

Utile pour détecter des fuites subtiles (un DNS du VPN + un DNS du FAI qui passe en douce).

Corriger les fuites DNS : méthode par OS

Windows 10/11

Méthode 1 : Désactiver Smart Multi-Homed Name Resolution

1. Ouvre l'Éditeur de registre (Win+R, tape "regedit")
2. Va dans : HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters
3. Clique droit > Nouveau > Valeur DWORD (32 bits)
4. Nomme-la : DisableParallelAandAAAA
5. Double-clique, mets la valeur à 1
6. Redémarre ton PC

Méthode 2 : Forcer les DNS du VPN

1. Panneau de configuration > Réseau et Internet > Centre réseau
2. Clique sur ta connexion > Propriétés
3. Double-clique sur "Protocole Internet version 4 (TCP/IPv4)"
4. Coche "Utiliser l'adresse de serveur DNS suivante"
5. Primaire : 1.1.1.1 (Cloudflare) ou les DNS de ton VPN
6. Secondaire : 1.0.0.1

Fais la même chose pour IPv6 si tu ne le désactives pas.

macOS

1. Préférences Système > Réseau
2. Sélectionne ta connexion (WiFi ou Ethernet) > Avancé
3. Onglet DNS
4. Supprime tous les DNS listés (bouton -)&li>
5. Ajoute les DNS du VPN ou Cloudflare (1.1.1.1, 1.0.0.1)
6. OK > Appliquer

Vide le cache DNS : sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

Linux

Avec NetworkManager (Ubuntu, Fedora) :

1. Ouvre les paramètres réseau
2. Clique sur l'engrenage de ta connexion
3. Onglet IPv4 > DNS > Désactive "Automatique"
4. Entre les DNS : 1.1.1.1, 1.0.0.1
5. Applique, reconnecte

En ligne de commande :

Édite /etc/resolv.conf :

nameserver 1.1.1.1
nameserver 1.0.0.1
                    

Rends-le immutable pour éviter qu'il soit écrasé :

sudo chattr +i /etc/resolv.conf
                    

Android

Android 9+ supporte le "DNS privé" (DNS over TLS) :

1. Paramètres > Réseau et Internet > DNS privé
2. Sélectionne "Nom d'hôte du fournisseur de DNS privé"
3. Entre : one.one.one.one (Cloudflare) ou le DNS de ton VPN
4. Enregistre

Ça chiffre les requêtes DNS, même si elles sortent du VPN, ton FAI ne peut pas les lire.

Guide complet : Configurer un VPN sur Android.

iOS / iPhone

iOS ne permet pas de changer les DNS facilement. Deux options :

Option 1 : Profil DNS chiffré

1. Installe l'app "1.1.1.1" de Cloudflare (gratuite)
2. Active-la, elle installe un profil DNS over HTTPS
3. Toutes les requêtes DNS passent par Cloudflare en chiffré

Option 2 : Utilise un VPN avec protection DNS intégrée

NordVPN, ExpressVPN, Surfshark sur iOS redirigent automatiquement les DNS. Pas besoin de config manuelle.

Guide iOS : Configurer un VPN sur iPhone/iPad.

VPN avec protection DNS intégrée

Les VPN sérieux forcent TOUTES les requêtes DNS via leur tunnel. Pas besoin de config manuelle.

VPN	Protection DNS	Gère IPv6	Fuites détectées (nos tests)
NordVPN	✅ Automatique	✅ Oui	❌ Aucune
ExpressVPN	✅ Automatique	✅ Oui	❌ Aucune
Surfshark	✅ Automatique	⚠️ Désactive IPv6	❌ Aucune
ProtonVPN	✅ Automatique	✅ Oui	❌ Aucune
Mullvad	✅ Automatique	✅ Oui	❌ Aucune
CyberGhost	✅ Automatique	⚠️ Désactive IPv6	⚠️ Fuite IPv6 sur Linux
HideMyAss	⚠️ Partielle	❌ Non	⚠️ Fuites DNS sur Windows
VPN gratuits	❌ Non	❌ Non	❌ Fuites fréquentes

NordVPN, ExpressVPN, Surfshark, ProtonVPN : zéro fuite DNS dans nos tests. Configuration automatique, rien à toucher.

DNS over HTTPS (DoH) et DNS over TLS (DoT)

Protocoles qui chiffrent les requêtes DNS. Même si elles sortent du VPN, le FAI ne peut pas les lire.

Activer DoH dans Firefox

1. about:config dans la barre d'adresse
2. Cherche network.trr.mode
3. Mets la valeur à 2 (DoH prioritaire) ou 3 (DoH uniquement)
4. Cherche network.trr.uri
5. Mets : https://cloudflare-dns.com/dns-query

Activer DoH dans Chrome

1. Paramètres > Confidentialité et sécurité > Sécurité
2. Active "Utiliser un DNS sécurisé"
3. Choisis Cloudflare (1.1.1.1) ou Google (8.8.8.8)

DoH + VPN = double protection. Même en cas de fuite DNS, les requêtes restent chiffrées.

Fuites DNS vs fuites IP vs fuites WebRTC

Trois types de fuites différentes :

Fuite IP : Ta vraie IP publique est visible. Le VPN ne fonctionne pas du tout ou s'est déconnecté sans kill switch.

Fuite DNS : Ton IP est masquée, mais les requêtes DNS passent hors VPN. Le FAI sait quels sites tu visites.

Fuite WebRTC : Les navigateurs utilisent WebRTC pour les appels vidéo. WebRTC peut révéler ton IP locale (192.168.x.x) et parfois ton IP publique, même avec VPN actif.

Désactiver WebRTC dans Firefox :

1. about:config
2. Cherche media.peerconnection.enabled
3. Double-clique pour passer à false

Extension Chrome/Firefox : WebRTC Leak Shield (bloque les fuites WebRTC sans désactiver la fonction).

DNS menteur : quand ton FAI redirige tes requêtes

Certains FAI (Orange, SFR en France) utilisent le "DNS menteur". Si tu demandes l'IP d'un site bloqué, ils renvoient une fausse IP qui affiche une page de blocage.

Avec un VPN + protection DNS, tes requêtes passent par les DNS du VPN. Le FAI ne peut plus mentir.

Teste avec un site bloqué (ex : site de téléchargement direct). Sans VPN, page bloquée. Avec VPN, site accessible.

FAQ : Fuites DNS

Les DNS de mon FAI apparaissent, mais l'IP est celle du VPN. C'est grave ?
Oui. Même si ton IP est masquée, le FAI voit tous les sites que tu visites via les requêtes DNS. Corrige la fuite.

Cloudflare (1.1.1.1) est-il meilleur que les DNS du VPN ?
Cloudflare est plus rapide, mais les DNS du VPN sont plus privés (pas de logs). Si ton VPN a une politique no-log stricte (NordVPN, ProtonVPN), utilise leurs DNS.

Mon VPN dit "Aucune fuite DNS" mais dnsleaktest détecte mon FAI. Qui croire ?
Crois le test externe. Certains VPN mentent ou ont une détection défaillante. Si un test tiers voit ton FAI, tu as une fuite.

Dois-je tester à chaque connexion VPN ?
Non. Teste une fois après installation. Si c'est bon, le VPN gérera automatiquement les DNS. Teste à nouveau si tu changes de VPN ou d'OS.

Un DNS public (Google 8.8.8.8) est-il sûr avec un VPN ?
Sûr si les requêtes passent par le tunnel VPN chiffré. Mais Google logue toutes les requêtes. Préfère Cloudflare (1.1.1.1, politique no-log) ou les DNS du VPN.

Conclusion : teste maintenant

Va sur dnsleaktest.com avec ton VPN connecté. Si tu vois autre chose que les DNS du VPN, tu as une fuite.

Solution rapide : Utilise un VPN avec protection DNS automatique (NordVPN, ExpressVPN, Surfshark). Zéro config, zéro fuite.

Solution manuelle : Force les DNS du VPN ou Cloudflare dans les paramètres réseau de ton OS.

Teste une fois, sois tranquille pour toujours.