Votre VPN est actif, vous pensez naviguer en toute discrétion. Pourtant, quelque chose cloche : vos requêtes DNS transitent toujours par les serveurs de votre fournisseur d'accès à Internet. Ce phénomène porte un nom précis, le dns leakage, et il est bien plus répandu qu'on ne l'imagine. Une fuite DNS expose votre activité en ligne à des tiers, qu'il s'agisse de votre FAI, d'annonceurs ou d'acteurs malveillants. Comprendre comment ce type de fuite se produit, savoir le détecter et y remédier sont trois étapes que tout utilisateur soucieux de sa vie privée doit maîtriser. Ce guide vous accompagne pas à pas dans l'analyse de votre connexion pour identifier une éventuelle vulnérabilité.
Comprendre le rôle du DNS dans votre navigation
Le DNS, ou Domain Name System, agit comme l'annuaire téléphonique d'Internet. Lorsque vous tapez une adresse comme « monsite.com » dans votre navigateur, votre appareil ne comprend pas ce nom : il lui faut une adresse IP numérique. Le DNS traduit ce nom de domaine en adresse IP lisible par les machines, permettant ainsi l'établissement de la connexion. Cette opération, appelée résolution DNS, se produit des centaines de fois par jour, souvent à votre insu.
Par défaut, votre appareil envoie ces requêtes de résolution au serveur DNS de votre fournisseur d'accès à Internet. Ce serveur connaît donc chaque site que vous visitez, même si la page est chiffrée en HTTPS. L'ICANN (Internet Corporation for Assigned Names and Numbers) supervise la structure globale de ce système, mais la gestion opérationnelle des résolveurs DNS reste entre les mains d'acteurs privés, dont les FAI.
Le problème survient dès qu'on introduit un VPN dans l'équation. L'objectif d'un réseau privé virtuel est de faire transiter toutes vos communications, y compris les requêtes DNS, à travers un tunnel chiffré vers des serveurs sécurisés. Si ce tunnel ne capture pas correctement les requêtes DNS, celles-ci continuent d'emprunter le chemin habituel : les serveurs de votre FAI. Votre trafic web semble protégé, mais votre activité DNS reste visible.
Plusieurs facteurs techniques expliquent cette situation. La configuration du système d'exploitation peut forcer certaines résolutions DNS hors du tunnel VPN. Sur Windows, le mécanisme Smart Multi-Homed Name Resolution envoie simultanément les requêtes à plusieurs serveurs DNS pour accélérer la réponse, contournant ainsi le VPN. Sur macOS et Linux, des comportements similaires peuvent apparaître selon la configuration réseau en place. L'IETF (Internet Engineering Task Force) travaille depuis plusieurs années à standardiser des protocoles comme DNS over HTTPS (DoH) et DNS over TLS (DoT) pour chiffrer ces échanges, mais leur adoption reste inégale selon les environnements.
Qu'est-ce qu'un dns leakage et pourquoi c'est un problème sérieux
Un dns leakage se produit lorsque les requêtes DNS d'un utilisateur sont envoyées à un serveur non sécurisé ou non prévu, malgré l'utilisation d'un outil de protection comme un VPN. En clair : votre identité numérique reste exposée là où elle devrait être masquée. La fuite ne concerne pas le contenu des pages que vous visitez, mais la liste des domaines que vous interrogez, ce qui est déjà une information très sensible.
Votre FAI peut ainsi construire un profil détaillé de vos habitudes de navigation : sites d'information consultés, services utilisés, horaires de connexion. Ces données ont une valeur commerciale et peuvent être transmises à des autorités selon la législation locale. Dans certains pays, cette surveillance est institutionnalisée. Même dans des contextes moins extrêmes, une fuite DNS annule une grande partie de la protection offerte par un VPN premium.
Les causes d'une fuite DNS sont variées. Un VPN mal configuré est la cause la plus fréquente. Certains clients VPN ne redirigent pas systématiquement les requêtes DNS vers leurs propres serveurs. D'autres laissent des adresses DNS alternatives définies dans les paramètres réseau de l'OS prendre le relais. Les connexions IPv6 constituent un autre vecteur souvent négligé : si un VPN ne gère que le trafic IPv4, les requêtes IPv6 passent en clair.
Une fuite DNS peut aussi survenir après une coupure du tunnel VPN. Pendant la reconnexion, quelques secondes suffisent pour que des requêtes DNS partent vers les serveurs par défaut. Certains fournisseurs de VPN intègrent un « kill switch » pour bloquer tout trafic lors d'une déconnexion, mais cette fonctionnalité n'est pas universelle. La gravité d'une fuite dépend du contexte : pour un journaliste, un lanceur d'alerte ou un professionnel manipulant des données confidentielles, les conséquences peuvent être sérieuses.
Méthodes et outils pour vérifier votre connexion
Détecter une fuite DNS ne nécessite pas de compétences avancées. Des outils accessibles permettent de réaliser ce diagnostic en quelques minutes. La procédure repose sur un principe simple : comparer les serveurs DNS utilisés avec et sans VPN actif, puis vérifier si les serveurs révélés correspondent bien à ceux de votre fournisseur VPN.
Voici les étapes à suivre pour une vérification complète :
- Désactivez votre VPN et rendez-vous sur un site de test DNS comme dnsleaktest.com ou ipleak.net. Notez les serveurs DNS affichés : ils correspondent normalement à ceux de votre FAI.
- Activez votre VPN et choisissez un serveur dans un pays différent du vôtre. Attendez que la connexion soit bien établie avant de continuer.
- Rechargez la page de test DNS et lancez le test étendu si disponible. Observez les serveurs DNS listés dans les résultats.
- Si les serveurs affichés correspondent à votre FAI d'origine ou à votre pays réel plutôt qu'au pays du serveur VPN, une fuite est confirmée.
- Testez également votre adresse IPv6 : certains outils comme ipleak.net affichent séparément les résultats IPv4 et IPv6, ce qui permet de détecter des fuites sur ce protocole.
La ligne de commande offre une vérification plus précise. Sur Windows, la commande nslookup suivie d'un nom de domaine indique quel serveur DNS a traité la requête. Sur Linux et macOS, dig fournit des informations encore plus détaillées sur le cheminement de la résolution. Ces outils sont utiles pour confirmer ce que les sites de test ont détecté.
Répétez le test à plusieurs reprises et dans différentes conditions : immédiatement après la connexion VPN, après une période d'inactivité, après un changement de réseau Wi-Fi. Les fuites intermittentes sont les plus difficiles à détecter et les plus trompeuses, car un seul test peut donner un faux sentiment de sécurité.
Protéger durablement sa connexion contre les fuites DNS
Une fois la fuite identifiée, plusieurs approches permettent de corriger la situation. Le choix dépend de votre niveau technique, de votre environnement et du degré de protection souhaité.
La première action consiste à changer de fournisseur VPN si le vôtre ne propose pas de protection native contre les fuites DNS. Les services sérieux intègrent leurs propres résolveurs DNS, un kill switch et une protection IPv6. Avant de souscrire, vérifiez explicitement que le fournisseur mentionne la protection contre les fuites DNS dans ses caractéristiques techniques, pas seulement dans son marketing.
Si vous préférez garder votre VPN actuel, vous pouvez configurer manuellement des serveurs DNS sécurisés. Cloudflare propose le résolveur 1.1.1.1, réputé pour sa rapidité et son respect de la vie privée. Quad9 (9.9.9.9) filtre en outre les domaines malveillants connus. Ces serveurs peuvent être définis directement dans les paramètres réseau de votre système d'exploitation, en remplacement des serveurs fournis automatiquement par votre FAI.
Pour aller plus loin, l'activation du DNS over HTTPS (DoH) dans votre navigateur chiffre les requêtes DNS avant même qu'elles quittent votre appareil. Firefox et Chrome supportent cette fonctionnalité nativement depuis 2020. Sur Windows 11, DoH peut être activé au niveau du système, ce qui protège toutes les applications et pas seulement le navigateur.
La désactivation de l'IPv6 sur votre interface réseau est une mesure radicale mais efficace si votre VPN ne gère pas ce protocole. Elle élimine un vecteur de fuite fréquemment ignoré. Sur la plupart des systèmes, cette option se trouve dans les paramètres de la carte réseau ou via la ligne de commande. Enfin, les utilisateurs avancés peuvent opter pour un routeur configuré avec un VPN : toutes les requêtes DNS de tous les appareils du réseau domestique passent alors par le tunnel, sans dépendre de la configuration individuelle de chaque machine.
La vigilance reste de mise après chaque mise à jour du système ou du client VPN, car ces modifications peuvent réinitialiser certains paramètres de sécurité et rouvrir des fuites que vous aviez corrigées.
