Fuite DNS (DNS leak) : c’est quoi et comment l’éviter ?
TL;DR, l’essentiel
- Une fuite DNS (DNS leak) survient quand vos requêtes DNS partent vers le résolveur de votre fournisseur d’accès au lieu de passer par le tunnel du VPN.
- Résultat : votre VPN cache votre adresse IP, mais votre FAI voit encore la liste des sites que vous visitez. La confidentialité est trahie sans que rien ne le signale.
- Testez-la en 10 secondes sur un site de test de fuite DNS. Pour vous protéger : utilisez le DNS du VPN, activez sa protection anti-fuite intégrée et le kill switch.
Vous avez lancé votre VPN, l’icône est verte, et vous pensez naviguer à l’abri des regards. Pourtant, une fuite DNS peut tranquillement révéler chaque site que vous visitez à votre fournisseur d’accès, VPN activé ou non. C’est l’une des failles les plus sournoises du grand public, parce qu’elle ne provoque aucune alerte visible. Voici ce qu’est un DNS leak, pourquoi il peut trahir votre activité malgré le tunnel chiffré, comment le tester en quelques secondes et surtout comment vous en protéger.
Une fuite DNS, c’est quoi exactement ?
Vérifiez sur-le-champ
Avant de chercher une fuite DNS, vérifiez déjà par quelle adresse vous sortez : notre outil mon adresse IP le dit en une seconde, et son nom inverse trahit le fournisseur de VPN.
Pour comprendre la fuite, il faut comprendre le DNS (Domain Name System). C’est l’annuaire d’internet : chaque fois que vous tapez mistersoftware.fr, votre appareil interroge un résolveur DNS pour traduire ce nom en adresse IP numérique. Sans cette traduction, impossible d’atteindre le site. Le problème : ces requêtes DNS transportent, en clair, la liste des noms de domaine que vous consultez.
Quand un VPN fonctionne correctement, ces requêtes DNS voyagent dans le tunnel chiffré et sont résolues par les serveurs DNS du fournisseur VPN. Une fuite DNS, c’est quand ces requêtes s’échappent du tunnel et partent directement vers le résolveur de votre FAI. Le reste de votre trafic passe bien par le VPN, mais vos requêtes DNS, elles, empruntent la porte de derrière. Voici ce qui se passe, étape par étape.
Vous tapez une adresse
Votre navigateur a besoin de traduire le nom de domaine en adresse IP. Il envoie une requête DNS. Normalement, celle-ci devrait entrer dans le tunnel VPN comme tout le reste de votre trafic.
La requête sort du tunnel
À cause d’une mauvaise configuration système, d’un basculement de réseau ou d’un DNS codé en dur, la requête contourne le VPN et file vers le résolveur DNS de votre fournisseur d’accès, hors du chiffrement.
Votre FAI enregistre la visite
Le résolveur du FAI voit passer le nom de domaine, l’horodate et peut le journaliser. Votre IP est masquée par le VPN, mais la liste de vos sites est visible. La fuite est invisible pour vous.
L’image à retenir
Le VPN chiffre le contenu de votre courrier, mais une fuite DNS revient à écrire l’adresse du destinataire à découvert sur l’enveloppe. On ne lit pas la lettre, mais on sait à qui vous écrivez. Pour revoir le principe du tunnel, notre article « à quoi sert un VPN » pose les bases.
Pourquoi une fuite arrive même avec un VPN actif
C’est le point contre-intuitif : le tunnel peut être parfaitement chiffré et la fuite exister quand même. Plusieurs causes fréquentes expliquent qu’une requête DNS s’échappe malgré un VPN allumé :
- Le système garde son DNS par défaut. Sous Windows notamment, l’OS peut continuer d’envoyer des requêtes au résolveur du FAI si le VPN n’impose pas son propre DNS de force.
- Un changement de réseau brutal. Sortie de veille, bascule Wi-Fi vers 4G, reconnexion : pendant quelques secondes, l’appareil peut repartir sur la configuration réseau d’origine.
- Le « smart DNS » ou la résolution transparente du routeur, qui redirige certaines requêtes hors du tunnel.
- Windows et son « Smart Multi-Homed Name Resolution », qui envoie les requêtes à plusieurs résolveurs en parallèle pour aller plus vite, dont celui du FAI.
- Une fuite IPv6. Si le VPN ne gère que l’IPv4 et que votre connexion est en IPv6, le trafic IPv6 (DNS compris) peut sortir sans protection.
Le piège du faux sentiment de sécurité
Une fuite DNS n’affiche aucune erreur. Votre VPN semble marcher, l’IP est bien masquée sur les sites de vérification d’IP classiques. Seul un test de fuite DNS dédié révèle le problème. C’est pour ça qu’il faut le vérifier volontairement.
Ce qu’une fuite DNS révèle réellement sur vous
Concrètement, une fuite DNS annule une grande partie de l’intérêt d’un VPN côté vie privée. Votre fournisseur d’accès (et toute entité qui contrôle le résolveur utilisé) peut reconstituer :
- La liste des domaines que vous consultez, avec l’heure et la fréquence.
- Un profil de navigation exploitable à des fins statistiques, publicitaires, ou réquisitionnable.
- Votre localisation approximative, puisque le DNS de votre FAI trahit votre région, alors même que le VPN prétend vous situer à l’étranger. Un vrai problème si vous comptiez sur le VPN pour contourner une restriction géographique.
Un VPN qui masque votre IP mais laisse fuiter votre DNS protège l’enveloppe et pas le carnet d’adresses. C’est un demi-VPN.
Envie d’un VPN qui ne fuit pas ?
Notre comparatif ne retient que des VPN à protection anti-fuite DNS intégrée, testés en conditions réelles.
Comment tester une fuite DNS en 10 secondes
Bonne nouvelle : détecter une fuite est simple et gratuit. Le principe d’un test de fuite DNS est d’afficher quels serveurs DNS résolvent vos requêtes. Si ce sont ceux de votre fournisseur d’accès plutôt que ceux de votre VPN, il y a fuite.
Connectez votre VPN
Activez votre VPN et choisissez un serveur dans un pays différent du vôtre. C’est ce contraste qui rend une fuite évidente à l’étape suivante.
Lancez un test de fuite DNS
Ouvrez un outil reconnu comme dnsleaktest.com, browserleaks.com/dns ou le testeur intégré à certains VPN. Lancez le test étendu (« extended test »).
Lisez les résultats
Regardez le nom du fournisseur et le pays des serveurs DNS affichés. S’ils correspondent à votre VPN et au pays du serveur choisi, tout va bien. S’ils affichent le nom de votre FAI ou votre pays réel, vous avez une fuite.
Bon réflexe
Refaites le test après chaque changement de réseau ou de serveur, et une première fois juste après l’installation d’un nouveau VPN. Cinq minutes de vérification valent mieux que des mois de navigation exposée.
Quiz éclair
Que révèle une fuite DNS à votre fournisseur d’accès, même VPN activé ?
Comment se protéger d’une fuite DNS ?
La parade tient en un principe : forcer toutes vos requêtes DNS à passer par le tunnel et à être résolues par des serveurs de confiance. Voici les mesures concrètes, de la plus simple à la plus technique.
- Choisissez un VPN avec protection anti-fuite DNS intégrée. Les fournisseurs sérieux opèrent leurs propres serveurs DNS et forcent toutes les requêtes à y passer. C’est la protection la plus efficace, et elle est automatique.
- Activez le kill switch. Si le tunnel tombe, cette fonction coupe toute connexion et empêche la moindre requête (DNS comprise) de fuiter en clair pendant la reconnexion.
- Bloquez ou faites gérer l’IPv6 par le VPN. Un bon client désactive l’IPv6 ou le route dans le tunnel pour éviter la fuite par ce canal.
- Vérifiez après coup avec un test de fuite DNS. La confiance, c’est bien ; la preuve, c’est mieux.
Le critère qui fait la différence
Un VPN qui héberge ses propres serveurs DNS et impose leur usage règle le problème à la racine. C’est un critère à part entière quand on compare des offres, au même titre que le no-log audité ou le kill switch.
Prêt à choisir un VPN sans fuite ?
On a testé la protection DNS, le kill switch et la politique de logs des meilleures offres du moment.
Fuite IPv6 et fuite WebRTC : les cousines du DNS leak
La fuite DNS n’est pas seule. Deux autres fuites peuvent trahir votre vraie identité réseau malgré le VPN, et il est utile de les tester en même temps :
- La fuite IPv6. Beaucoup de connexions sont en IPv6. Si le VPN ne prend en charge que l’IPv4, votre adresse IPv6 réelle peut sortir en clair. Un bon VPN désactive ou tunnelise l’IPv6.
- La fuite WebRTC. Une fonction des navigateurs (utilisée pour la visio) peut révéler votre IP réelle à un site web, même VPN activé. Elle se corrige côté navigateur (extension ou paramètre) et via les protections de certains clients VPN.
Les outils comme browserleaks.com testent d’un coup DNS, IPv6 et WebRTC. Un VPN grand public sérieux couvre les trois, mais un contrôle manuel reste le seul moyen d’en être certain. Et rappel utile : même sans aucune fuite, un VPN ne vous rend pas anonyme. Si vous êtes connecté à votre compte Google ou à un réseau social, le site sait qui vous êtes, DNS étanche ou pas.
L’étape suivante
Vous voulez un VPN dont la protection DNS tient la route ? Consultez notre comparatif des meilleurs VPN 2026, ou revenez aux fondamentaux avec « à quoi sert un VPN ».
Questions fréquentes
Qu’est-ce qu’une fuite DNS en clair ?
Une fuite DNS (DNS leak) se produit quand vos requêtes DNS, qui traduisent les noms de sites en adresses IP, sortent du tunnel VPN et partent vers le résolveur de votre fournisseur d’accès. Résultat : votre VPN masque bien votre adresse IP, mais votre FAI voit encore la liste des sites que vous visitez.
Comment tester une fuite DNS ?
Connectez votre VPN sur un serveur d’un autre pays, puis ouvrez un outil comme dnsleaktest.com ou browserleaks.com/dns et lancez le test étendu. Regardez le nom et le pays des serveurs DNS affichés : s’ils correspondent à votre VPN, tout va bien ; s’ils affichent votre fournisseur d’accès ou votre pays réel, vous avez une fuite.
Une fuite DNS est-elle dangereuse ?
Elle ne met pas directement en danger vos mots de passe, mais elle annule une grande partie de la confidentialité attendue d’un VPN : votre fournisseur d’accès peut reconstituer la liste des sites que vous consultez et votre localisation réelle. Pour qui utilise un VPN pour protéger sa vie privée, c’est un vrai problème.
Comment empêcher une fuite DNS ?
Utilisez un VPN qui opère ses propres serveurs DNS et force toutes les requêtes à y passer, activez le kill switch pour couper la connexion en cas de chute du tunnel, et laissez le client gérer ou désactiver l’IPv6. Vérifiez ensuite avec un test de fuite DNS après chaque changement de réseau ou de serveur.
Un bon VPN évite-t-il vraiment les fuites DNS ?
Les VPN grand public sérieux intègrent une protection anti-fuite DNS active par défaut et hébergent leurs propres résolveurs. Mais aucune protection n’est garantie à 100 % selon votre configuration système : un test manuel reste le seul moyen d’en être sûr. Et même sans fuite, un VPN ne vous rend pas anonyme si vous restez connecté à vos comptes.