Qu'est-ce qu'une fuite DNS et comment la corriger ?

Le DNS en 30 secondes

Avant d'ouvrir un site, votre appareil doit transformer un nom comme example.com en adresse IP. Pour cela, il interroge un résolveur DNS, généralement géré par votre fournisseur d'accès. Le résolveur voit chaque nom de site que vous recherchez, quand vous le recherchez, et votre adresse IP.

Qu'est-ce qu'une fuite DNS ?

Quand vous utilisez un VPN, ces requêtes devraient passer par le tunnel chiffré jusqu'au résolveur du VPN. Une fuite DNS se produit quand elles contournent le tunnel et partent directement vers votre fournisseur ou un autre résolveur extérieur.

Votre trafic reste chiffré, mais le résolveur peut voir la liste de tous les sites que vous visitez, et toute personne qui surveille votre connexion aussi. Dans certains pays, les fournisseurs bloquent des sites via le DNS : une fuite peut donc aussi empêcher l'accès à des sites bloqués, même avec un VPN activé.

Une fuite DNS ne change pas l'adresse IP que voient les sites. Elle révèle à votre fournisseur quels sites vous visitez. C'est pourquoi une simple vérification d'IP ne peut pas la détecter.

Comment tester une fuite DNS

1. Connectez-vous à votre VPN.
2. Ouvrez le test de fuite DNS. Il fait rechercher par votre navigateur plusieurs noms aléatoires auxquels seul notre serveur de test peut répondre, et enregistre quels résolveurs les demandent.
3. Regardez les résolveurs listés.

Pas de fuite : chaque résolveur appartient à votre fournisseur VPN, ou se trouve dans le pays par lequel sort votre VPN.

Fuite : vous voyez des résolveurs de votre propre fournisseur d'accès, ou situés dans votre pays alors que votre serveur VPN est ailleurs.

Les grands résolveurs publics comme Google (8.8.8.8) et Cloudflare (1.1.1.1) ont des serveurs dans le monde entier. Pour ceux-là, le test affiche aussi le sous-réseau client transmis par le résolveur, qui peut révéler votre vrai réseau même quand le résolveur semble neutre.

Quelles sont les causes d'une fuite DNS ?

• Le VPN ne définit pas son propre DNS. Certaines applications VPN, les configurations WireGuard ou OpenVPN manuelles et beaucoup d'outils proxy laissent votre résolveur système inchangé.
• Windows interroge tous les réseaux à la fois. Windows envoie les requêtes DNS à toutes les cartes réseau et retient la réponse la plus rapide : la requête peut donc sortir par votre connexion normale.
• L'IPv6. Si le VPN ne gère que l'IPv4, les requêtes en IPv6 partent vers le résolveur IPv6 de votre fournisseur.
• Le DNS over HTTPS du navigateur. Chrome, Edge et Firefox peuvent envoyer les requêtes à leur propre résolveur chiffré. Ce n'est pas une fuite vers votre fournisseur, mais cela contourne le résolveur du VPN et peut transmettre votre vraie localisation.
• Les outils proxy en mode « proxy système ». Des applications comme Clash, V2Ray ou les clients Shadowsocks ne font souvent passer que le trafic du navigateur, tandis que le système continue de résoudre les noms en local.
• Votre box ou votre fournisseur détourne le DNS. Certains fournisseurs interceptent tout le trafic sur le port 53 et y répondent eux-mêmes.

Comment corriger une fuite DNS

Commencez par la première solution et refaites le test après chaque étape.

1. Activez la protection contre les fuites DNS de votre VPN. La plupart des bonnes applications VPN ont une option appelée protection contre les fuites DNS, « utiliser uniquement le DNS du VPN » ou similaire. Activez aussi le kill switch.
2. Activez la protection contre les fuites IPv6 ou bloquez l'IPv6 dans l'application VPN. Voir IPv4 ou IPv6 pour comprendre pourquoi c'est important.
3. Définissez le DNS dans votre configuration VPN. Pour WireGuard, ajoutez une ligne DNS = dans la section [Interface]. Pour OpenVPN, utilisez block-outside-dns sous Windows.
4. Pour les outils proxy, activez le mode TUN (Clash, sing-box et d'autres l'appellent TUN, mode amélioré ou mode VPN) et activez leur gestion du DNS, afin que toutes les requêtes passent par le proxy.
5. Vérifiez le réglage DNS sécurisé de votre navigateur. Dans Chrome ou Edge, il se trouve dans Paramètres > Confidentialité et sécurité > Sécurité > Utiliser un DNS sécurisé. Désactivez-le pour que le résolveur du VPN soit utilisé, ou choisissez un résolveur de confiance.
6. Changez le DNS de votre système pour un résolveur public, en solution de repli. Cela ne corrige pas une fuite vers ce résolveur, mais empêche votre fournisseur de voir vos requêtes.

Lancez ensuite à nouveau le test de fuite DNS. Pour une vérification complète de votre VPN, WebRTC et IPv6 compris, consultez comment vérifier que votre VPN fonctionne.

Questions fréquentes

Une fuite DNS est-elle dangereuse ?

Elle expose les sites que vous visitez, pas vos mots de passe ni le contenu des pages, qui restent protégés par HTTPS. Mais si vous utilisez un VPN pour votre vie privée, une fuite lui fait perdre une bonne partie de son intérêt.

Une fuite DNS peut-elle révéler ma vraie IP ?

Indirectement. Le résolveur de votre fournisseur voit votre vraie IP, et les résolveurs qui transmettent votre sous-réseau client indiquent au serveur DNS du site où vous vous trouvez approximativement. Les sites eux-mêmes ne voient pas votre IP via le DNS.

Utiliser 1.1.1.1 ou 8.8.8.8 empêche-t-il les fuites DNS ?

Non. Cela change qui voit vos requêtes, de votre fournisseur à Cloudflare ou Google, mais ces requêtes peuvent toujours sortir en dehors de votre VPN. Seul le passage du DNS par le VPN stoppe la fuite.

Pourquoi le test affiche-t-il des serveurs dans un autre pays ?

Les grands résolveurs envoient votre requête depuis le datacenter le plus proche de vous ou de votre serveur VPN, qui peut se trouver dans un pays voisin. Regardez le nom du réseau : s'il s'agit de votre fournisseur VPN ou d'un grand résolveur public proche du serveur VPN, tout va bien.