Qu'est-ce qu'une fuite DNS ? Comment la tester et la corriger

Une fuite DNS se produit quand votre appareil envoie ses requêtes de résolution de noms en dehors du tunnel VPN chiffré, souvent vers votre fournisseur d'accès ou un autre résolveur DNS. Cela peut révéler les noms de domaine que vous visitez, même si le VPN masque encore votre adresse IP pour le site concerné.

La bonne nouvelle, c'est qu'une fuite DNS se teste facilement et se corrige souvent. Ce guide explique ce qu'est le DNS, pourquoi ces requêtes sont sensibles, d'où viennent les fuites, comment lancer un test fiable et comment réduire le risque sur ordinateur, mobile et navigateur. Pour revoir les bases, vous pouvez aussi lire qu'est-ce qu'un VPN.

Ce qu'est le DNS et pourquoi c'est important

DNS signifie Domain Name System. C'est l'annuaire d'Internet. Quand vous tapez un nom de site dans votre navigateur, votre appareil doit trouver l'adresse du serveur correspondant avant d'afficher la page.

Vous retenez un nom de domaine parce qu'il est lisible par un humain. Le navigateur et les applications, eux, ont besoin d'une adresse IP, car les réseaux acheminent le trafic avec des nombres. Le DNS fait le lien entre le nom et l'adresse.

Une résolution DNS classique suit ce schéma :

1. Vous tapez un nom de domaine ou ouvrez une application.
2. Votre appareil demande à un résolveur DNS où pointe ce domaine.
3. Le résolveur répond avec l'adresse IP ou les enregistrements associés.
4. Votre appareil se connecte à la destination et charge le service.

Le point important pour la vie privée, c'est que les requêtes DNS peuvent révéler votre intention. Un résolveur DNS ne voit pas forcément l'URL complète, ni le contenu exact d'une session HTTPS chiffrée. En revanche, il peut souvent voir le nom de domaine demandé, comme un site d'actualité, une banque, un forum santé, un outil de travail ou une plateforme de streaming.

C'est pour cela que la gestion du DNS fait partie de la confidentialité d'un VPN. Un VPN ne sert pas seulement à changer l'adresse IP visible par les sites. Il doit aussi empêcher les requêtes de routine de sortir du chemin protégé. Si vous débutez, voyez aussi comment fonctionne un VPN.

Qu'est-ce qu'une fuite DNS ?

Une fuite DNS, c'est un décalage entre l'endroit où passe votre trafic Internet principal et l'endroit où passent vos requêtes DNS. Votre trafic web peut être routé via un serveur VPN, tandis que les recherches DNS continuent d'aller vers votre FAI, votre opérateur mobile, un résolveur public configuré sur l'appareil ou un résolveur choisi par le navigateur.

Résultat, votre confidentialité se fragilise. Le site que vous visitez voit peut-être l'adresse IP du serveur VPN, mais le résolveur DNS hors tunnel peut toujours voir les domaines demandés. Si ce résolveur appartient à votre FAI, celui-ci peut souvent déduire une grande partie de votre activité à partir des métadonnées DNS.

Une fuite DNS ne veut pas dire que tout le VPN a échoué. Elle peut se produire alors que l'icône VPN indique bien connecté et que votre adresse IP publique semble être celle du serveur VPN. C'est ce qui rend ces fuites faciles à manquer sans test dédié.

Avec Crispy VPN, les requêtes DNS passent par le tunnel VPN quand l'application est connectée. Ce fonctionnement aligne le trafic de résolution sur la connexion VPN au lieu de le laisser revenir sur le réseau utilisé.

Ce qu'une fuite DNS peut révéler

• Noms de domaine : les sites et services que votre appareil demande à résoudre.
• وقيت : le moment où ces requêtes se produisent.
• Contexte réseau : le fait que la requête provient de votre FAI, de votre bureau, d'un hôtel, d'un réseau mobile ou d'un autre réseau local.

Le DNS, à lui seul, ne révèle généralement pas le contenu complet d'une page HTTPS sécurisée. Il ne rend pas non plus anonyme. Les sites sur lesquels vous vous connectez peuvent toujours reconnaître votre compte, et les traceurs peuvent encore utiliser des cookies ou l'empreinte du navigateur. En revanche, les fuites DNS valent la peine d'être évitées, car elles exposent une carte utile de vos habitudes de consultation.

Comment se produit une fuite DNS ?

Les fuites DNS viennent souvent de conflits de configuration. Les systèmes d'exploitation, les navigateurs, les applications VPN et les interfaces réseau peuvent tous influencer le comportement DNS. Si ces couches ne sont pas alignées, les requêtes peuvent prendre un chemin inattendu.

Paramètres DNS du système d'exploitation

Votre système d'exploitation décide quels serveurs DNS utiliser pour chaque interface réseau. Quand un VPN se connecte, il ajoute normalement une interface réseau virtuelle et devrait faire passer le DNS par cette interface. Une fuite peut se produire si le système continue d'utiliser le vieux serveur DNS du Wi-Fi ou de l'Ethernet.

Cela arrive plus souvent après plusieurs changements de réseau, des mises en veille et réveil, des connexions à des portails captifs ou des réglages manuels. Redémarrer la connexion VPN suffit parfois à corriger un problème de routage temporaire, mais les fuites persistantes exigent une vérification des réglages.

Gestion de l'IPv6

IPv6 est un système d'adressage Internet plus récent, qui peut fonctionner en parallèle avec IPv4. Le DNS peut résoudre des enregistrements IPv4 et IPv6. Si un VPN ou un appareil route correctement le trafic IPv4 mais laisse le DNS IPv6 ou le trafic IPv6 passer par le réseau local, cela peut créer une fuite.

C'est pourquoi un test doit vérifier la connexion dans son ensemble, et pas seulement le changement d'une adresse IPv4 visible. Un bon résultat signifie que vos serveurs DNS et les informations d'adresse visibles correspondent au chemin VPN prévu.

Serveurs DNS configurés manuellement

Beaucoup de personnes définissent des serveurs DNS personnalisés sur un appareil, un routeur ou dans un navigateur pour gagner en vitesse, en filtrage ou en fiabilité. Ces réglages peuvent remplacer les serveurs DNS fournis par une application VPN. Si le résolveur personnalisé est atteint hors du tunnel, vous avez une fuite DNS.

Le DNS manuel n'est pas toujours problématique, mais il doit être compatible avec votre objectif de confidentialité. Quand vous utilisez un VPN, le plus sûr est souvent de laisser l'application VPN gérer le DNS, sauf raison précise et en sachant exactement où vont les requêtes.

DNS over HTTPS dans le navigateur

Certains navigateurs proposent DNS over HTTPS, souvent appelé DNS sécurisé. Il chiffre le DNS entre le navigateur et un fournisseur DNS. Cela peut protéger le DNS du réseau local, mais cela peut aussi contourner les réglages DNS de votre application VPN.

Si le DNS over HTTPS du navigateur pointe vers un résolveur hors du chemin VPN, un test peut afficher ce résolveur au lieu du DNS du VPN. C'est chiffré, mais cela n'utilise toujours pas la gestion DNS prévue par le VPN. Les extensions de navigateur peuvent aussi avoir leurs propres règles de routage, donc les tests dans le navigateur et sur tout l'appareil peuvent donner des résultats différents.

Choix de split tunneling

Le split tunneling permet à certaines applications ou à certains sites d'utiliser un autre chemin que le reste du trafic. C'est utile quand vous voulez une partie du trafic dans le VPN et une autre hors VPN. Mais cela peut aussi expliquer des résultats DNS surprenants.

Si une application ou un site est exclu du VPN, son DNS peut aussi être exclu, selon la plateforme et l'implémentation. Crispy VPN prend en charge le split tunneling sur Android par application, sur iPhone et iPad par site, et dans les extensions de navigateur par site. Si vous utilisez cette fonction, vérifiez vos règles avant de supposer que toutes les requêtes DNS sont protégées. Pour aller plus loin, lisez qu'est-ce que le split tunneling.

Comment lancer un test de fuite DNS

Un test de fuite DNS vérifie quels résolveurs DNS peuvent voir vos requêtes. L'idée de base consiste à comparer ce qui apparaît avec le VPN désactivé puis avec le VPN activé. Si les mêmes serveurs DNS de votre FAI ou de votre réseau local apparaissent alors que le VPN est connecté, il y a probablement une fuite.

Faites le test dans les mêmes conditions que celles que vous utilisez vraiment. Si vous naviguez surtout dans un navigateur précis, testez dans ce navigateur. Si vous utilisez une application de bureau ou mobile, testez aussi la connexion complète de l'appareil. Si vous passez souvent du Wi-Fi à la data, testez les deux réseaux.

Liste de contrôle pour le test de fuite DNS

1. Déconnectez le VPN. Ouvrez une page de test de fuite DNS et notez les noms de fournisseurs DNS, les pays et les adresses IP affichés. C'est votre référence de départ.
2. Connectez le VPN. Choisissez l'emplacement de serveur que vous utilisez habituellement et attendez que l'application indique la connexion.
3. Actualisez la page de test. Lancez d'abord le test standard. Si un test étendu est disponible, lancez-le aussi.
4. Comparez les résultats. Vous ne devriez pas voir les serveurs DNS de votre FAI, de votre entreprise, de votre école, de l'hôtel ou de votre opérateur mobile quand le VPN est connecté.
5. Vérifiez votre IP visible. Utilisez une page de vérification d'adresse IP pour confirmer que votre IP publique a bien changé vers l'emplacement du VPN. Vous pouvez utiliser qu'est-ce que mon IP pour cette étape.
6. Recommencez après un changement de réseau. Testez à nouveau après un changement de Wi-Fi, un passage à la data mobile ou un réveil de l'appareil.

Un bon résultat n'affiche pas toujours le nom de votre VPN. Les infrastructures DNS peuvent utiliser des noms de fournisseurs différents, des noms de centres de données ou des adresses de relais. L'important, c'est que le résultat n'affiche pas votre FAI local ni un autre résolveur que vous ne vouliez pas utiliser.

Si vous utilisez Crispy VPN, connectez d'abord l'application, puis lancez le test. Le DNS doit passer par le tunnel en même temps que le trafic VPN. Si vous voyez toujours le DNS de votre FAI après la connexion, considérez cela comme un souci de configuration de l'appareil ou du navigateur et passez aux correctifs ci-dessous.

Comment corriger un problème de fuite DNS

La bonne solution dépend de la cause. Commencez par les actions les moins intrusives, puis passez aux réglages de l'appareil et du navigateur si la fuite persiste.

Correctifs rapides à essayer d'abord

1. Déconnectez puis reconnectez le VPN. Cela actualise les routes et les réglages DNS.
2. Changez d'emplacement de serveur VPN. Une nouvelle connexion peut effacer un état réseau obsolète.
3. Redémarrez l'application et le navigateur. Les navigateurs peuvent garder des décisions DNS en cache jusqu'au redémarrage.
4. Redémarrez l'appareil. Cela réinitialise les interfaces réseau et les anciennes affectations DNS.
5. Mettez à jour l'application VPN et le système d'exploitation. Les bugs de routage DNS sont souvent corrigés par des mises à jour.

Vérifiez les paramètres DNS manuels

Regardez les réglages de votre Wi-Fi, Ethernet et réseau mobile. Si vous avez ajouté manuellement des serveurs DNS, retirez-les temporairement et remettez le DNS en automatique. Reconnectez ensuite le VPN et relancez le test de fuite DNS.

Si la fuite disparaît, c'est que le DNS manuel remplaçait celui du VPN. À vous de voir si ce DNS personnalisé vaut la peine d'être conservé, mais ne partez pas du principe qu'il est plus privé simplement parce qu'il est familier ou chiffré.

Vérifiez le DNS sécurisé du navigateur

Ouvrez les paramètres de confidentialité ou de sécurité du navigateur et cherchez DNS sécurisé ou DNS over HTTPS. S'il est activé avec un fournisseur précis, désactivez-le temporairement ou demandez au navigateur d'utiliser le réglage par défaut du système. Reconnectez le VPN, redémarrez le navigateur et testez à nouveau.

C'est particulièrement important si un seul navigateur fuit alors que les autres applications sont propres au test. Dans ce cas, le VPN peut fonctionner correctement au niveau du système, mais le navigateur choisit son propre résolveur.

Vérifiez les règles de split tunneling

Si le split tunneling est activé, vérifiez si le navigateur, le site de test ou l'application est exclu du VPN. Retirez l'exclusion et relancez le test. Un résultat qui change après la désactivation du split tunneling n'a rien de mystérieux. Cela veut simplement dire que la règle faisait ce pour quoi elle avait été configurée.

Utilisez l'application VPN plutôt que des solutions de contournement non prises en charge

Les configurations de routeur non prises en charge, les fichiers de configuration au hasard ou les outils réseau tiers peuvent rendre le routage DNS difficile à prévoir. Crispy VPN propose des applications pour iPhone et iPad, Mac, Windows, Linux, Android, Apple TV, Android TV et Google TV, ainsi que des extensions de navigateur pour Chrome, Edge et Firefox. Téléchargez la bonne application depuis la page de téléchargement et faites les tests à partir de là.

Sur les appareils pris en charge, Crispy VPN utilise WireGuard sur chaque serveur. WireGuard est un protocole VPN moderne, avec une base de code réduite, de bonnes performances et une faible consommation de batterie sur mobile. Pour le contexte technique, voyez qu'est-ce que WireGuard.

Prévenir les fuites DNS selon l'appareil

Prévenir une fuite DNS, c'est surtout garder l'application VPN aux commandes du routage et éviter les réglages DNS contradictoires. Les détails changent selon l'appareil.

Windows, Mac et Linux

Les systèmes de bureau ont souvent plusieurs interfaces réseau, comme le Wi-Fi, l'Ethernet, des adaptateurs virtuels et parfois des profils de travail. Si une fuite DNS apparaît, vérifiez les paramètres DNS des adaptateurs et retirez les anciens résolveurs manuels. Reconnectez ensuite le VPN.

Sur Windows, Mac et Linux, un kill switch peut aussi aider à réduire l'exposition si la connexion VPN se coupe. Crispy VPN inclut un kill switch optionnel sur ces plateformes de bureau. Sur Windows, il existe aussi un mode Lockdown optionnel. Un kill switch n'est pas la même chose qu'une protection contre les fuites DNS, mais il aide à empêcher le trafic de continuer hors du VPN lors d'une interruption de connexion.

iPhone, iPad et Android

Les appareils mobiles passent du Wi-Fi à la data, aux réseaux d'hôtel et aux portails captifs. Faites un test après chaque changement de réseau si vous comptez sur le VPN pour la confidentialité. Vérifiez aussi si le DNS privé, les profils de gestion d'appareil ou des applications de sécurité modifient le comportement DNS.

Sur Android, les réglages système appelés VPN toujours actif et Bloquer les connexions sans VPN peuvent aider à éviter qu'un trafic passe par erreur hors du VPN. Sur iPhone et iPad, gardez l'application VPN à jour et vérifiez les règles de split tunneling par site si un site précis se comporte de façon inattendue.

Navigateurs et extensions

Les navigateurs sont une source fréquente de résultats DNS confus, car ils peuvent utiliser leur propre réglage de DNS sécurisé. Si une fuite n'apparaît que dans Chrome, Edge ou Firefox, vérifiez d'abord les paramètres DNS du navigateur avant de modifier tout l'appareil.

Les extensions de navigateur couvrent aussi uniquement le trafic du navigateur, pas toutes les applications de l'appareil. C'est utile si vous avez seulement besoin de protéger la navigation web, mais ce n'est pas la même chose qu'une connexion VPN complète sur l'appareil. Pour mieux comprendre cette différence, lisez extension VPN pour navigateur.

Appareils TV

Les plateformes TV sont plus simples, mais elles offrent aussi moins de réglages réseau. Crispy VPN prend en charge Apple TV et Android TV ou Google TV, avec connexion par QR code scanné depuis votre téléphone. Si vous dépannez un DNS sur une TV, testez d'abord le même réseau depuis un téléphone ou un ordinateur portable, puis reconnectez l'application TV.

Ce qu'un VPN peut, et ne peut pas, cacher au niveau DNS

Un VPN bien configuré doit garder les requêtes DNS à l'intérieur du tunnel chiffré. Cela empêche l'opérateur Wi-Fi local, le FAI ou l'opérateur mobile de voir les requêtes DNS en clair. Cela permet aussi de garder votre chemin DNS cohérent avec le serveur VPN choisi.

Crispy VPN applique aussi une politique sans journaux d'activité et s'appuie sur une conception en relais à deux parties, qui sépare qui vous êtes de ce que vous faites. C'est important, car la confidentialité DNS ne dépend pas seulement du tunnel. Elle dépend aussi de la manière dont le service est conçu pour limiter les liens inutiles.

Pour autant, un VPN ne rend pas anonyme. Il ne bloque pas à lui seul les malwares ou le phishing, et il n'empêche pas un site de vous reconnaître quand vous vous connectez à votre compte. Il ne peut pas non plus effacer les cookies de suivi déjà présents dans votre navigateur.

Pensez à la protection DNS comme à une couche parmi d'autres. Elle aide à tenir les métadonnées de résolution de sites à l'écart du réseau local et du FAI. Combinez-la avec des réglages de navigateur cohérents, une utilisation prudente des comptes, des mises à jour régulières et une bonne compréhension de ce que le VPN protège.

Si vous vérifiez votre installation après avoir mis un VPN, il vaut la peine de tester plus que le DNS. L'IP publique, le comportement WebRTC, les réglages du kill switch et la configuration du navigateur peuvent tous jouer sur la confidentialité. Un bon point de départ est est-ce que mon VPN fonctionne, qui passe en revue les contrôles plus larges.