Chaque fois que vous tapez une adresse dans votre navigateur, une requête DNS part en coulisses pour traduire ce nom de domaine en adresse IP. Ce processus discret est aussi une faille potentielle. Le dns leakage désigne précisément le moment où ces requêtes s'échappent du tunnel sécurisé que vous pensiez utiliser et partent vers des serveurs non protégés. Résultat : votre fournisseur d'accès à Internet, votre gouvernement ou un acteur malveillant peut reconstituer l'intégralité de votre navigation. Selon des estimations concordantes, environ 70 % des utilisateurs ignorent ce phénomène, et près d'un utilisateur de VPN sur quatre serait concerné sans le savoir. Voici tout ce qu'il faut comprendre pour s'en protéger efficacement.
Comprendre les fuites DNS : mécanisme et origines
Le DNS (Domain Name System) fonctionne comme un annuaire téléphonique mondial. Quand vous saisissez « monsite.com », votre appareil interroge un serveur DNS pour obtenir l'adresse IP correspondante. Cette requête voyage sur le réseau avant même que votre page ne commence à charger. Dans des conditions normales, ce processus est transparent. Avec un VPN (Virtual Private Network), il devrait être entièrement chiffré et acheminé via les serveurs du prestataire.
Le problème survient quand votre système d'exploitation ou votre navigateur contourne le tunnel VPN pour envoyer les requêtes DNS directement à votre fournisseur d'accès. Cette déviation peut résulter d'une mauvaise configuration, d'un bug logiciel, ou d'une fonctionnalité système mal gérée. Sous Windows 10 et 11, la résolution DNS « intelligente » (Smart Multi-Homed Name Resolution) envoie les requêtes à plusieurs serveurs simultanément pour accélérer la navigation — y compris des serveurs hors VPN.
Les navigateurs modernes introduisent une couche supplémentaire de complexité. Google Chrome et Mozilla Firefox proposent le DNS-over-HTTPS (DoH), qui chiffre les requêtes DNS directement dans le navigateur. Si le navigateur utilise son propre résolveur DoH indépendamment du VPN, une fuite se produit malgré tout. Le résolveur de Chrome pointe par défaut vers les serveurs de Google, ce qui signifie que Google peut voir vos requêtes même si votre VPN est actif.
Les réseaux Wi-Fi publics aggravent encore la situation. Certains routeurs sont configurés pour forcer les requêtes DNS vers leurs propres serveurs, court-circuitant le tunnel VPN. Un café, un hôtel ou un aéroport peut ainsi collecter passivement votre historique de navigation. La fuite n'est pas forcément malveillante à l'origine : elle peut résulter d'une simple priorité réseau mal définie sur votre appareil.
Ce que révèle une fuite DNS sur votre vie privée
Une fuite DNS ne divulgue pas le contenu de vos communications chiffrées, mais elle révèle quels sites vous visitez et à quelle fréquence. Pour un acteur qui surveille le trafic réseau, cette métadonnée suffit à dresser un profil comportemental précis. Savoir que vous consultez régulièrement des sites médicaux, des forums politiques ou des plateformes financières est une information à forte valeur.
Les fournisseurs d'accès à Internet sont légalement autorisés dans de nombreux pays à conserver ces journaux et à les transmettre à des tiers, qu'il s'agisse d'annonceurs ou d'autorités judiciaires. Aux États-Unis, depuis l'abrogation des règles de neutralité du net en 2017, les FAI peuvent revendre les données de navigation. En Europe, la directive sur la conservation des données varie selon les législations nationales, mais le risque reste réel.
Pour les journalistes, les militants ou toute personne travaillant dans un contexte sensible, une fuite DNS peut avoir des conséquences directes sur leur sécurité physique. L'Electronic Frontier Foundation (EFF) documente régulièrement des cas où des métadonnées réseau ont permis d'identifier des sources confidentielles. La fuite n'est pas un risque théorique : elle a des conséquences concrètes.
Sur le plan commercial, les données DNS alimentent l'industrie du ciblage publicitaire. Des régies achètent ces informations pour affiner leurs audiences. Un utilisateur qui croit naviguer anonymement via un VPN peut continuer à alimenter ce marché sans s'en rendre compte, simplement parce que son client VPN ne gère pas correctement les requêtes DNS.
Les meilleures pratiques pour éviter le dns leakage
La première mesure consiste à choisir un client VPN qui intègre nativement la protection contre les fuites DNS. Tous les fournisseurs ne sont pas égaux sur ce point. NordVPN, ExpressVPN ou Mullvad disposent de mécanismes de protection dédiés qui forcent toutes les requêtes DNS à transiter par leurs propres serveurs chiffrés, sans exception. Avant de souscrire un abonnement, vérifiez explicitement que cette fonctionnalité est activée par défaut.
Voici les actions concrètes à mettre en œuvre pour réduire significativement le risque de fuite :
- Activer la protection contre les fuites DNS dans les paramètres avancés de votre client VPN
- Désactiver la résolution DNS multi-réseau de Windows via les paramètres réseau ou le registre système
- Configurer manuellement des serveurs DNS sécurisés comme ceux de Cloudflare (1.1.1.1) ou de Quad9 (9.9.9.9)
- Activer le DNS-over-HTTPS dans votre navigateur en pointant vers un résolveur de confiance cohérent avec votre VPN
- Utiliser un kill switch VPN, qui coupe automatiquement votre connexion Internet si le tunnel VPN se déconnecte
- Tester régulièrement votre configuration via des outils comme dnsleaktest.com ou le test de fuite intégré à certains clients VPN
Sous Linux, la configuration du résolveur systemd-resolved mérite une attention particulière. Par défaut, il peut envoyer des requêtes DNS en clair si le VPN ne l'intercepte pas correctement. Configurer explicitement les serveurs DNS dans le fichier resolved.conf et activer le chiffrement DNSOverTLS apporte une couche de protection supplémentaire indépendante du client VPN.
Sur mobile, le risque est souvent sous-estimé. Les applications VPN pour iOS et Android ne protègent pas systématiquement les requêtes DNS des autres applications. Certaines applications système contournent le tunnel VPN par conception. Vérifier les journaux de requêtes DNS sur votre appareil mobile est une bonne habitude à prendre, notamment via des applications de monitoring réseau dédiées.
Outils et services pour sécuriser vos requêtes DNS
Le marché propose plusieurs catégories de solutions. Les serveurs DNS publics chiffrés constituent la première ligne de défense accessible à tous. Cloudflare 1.1.1.1 propose un service DNS-over-HTTPS et DNS-over-TLS gratuit, avec une politique de non-conservation des logs vérifiée par des audits indépendants. Quad9, géré par une organisation à but non lucratif suisse, ajoute un filtrage des domaines malveillants connus.
Les VPN avec serveurs DNS intégrés représentent la solution la plus cohérente pour la majorité des utilisateurs. Quand un VPN gère lui-même la résolution DNS, il n'y a pas de tiers supplémentaire dans la chaîne. Mullvad est régulièrement cité par des organisations comme PrivacyTools pour sa transparence et ses audits publics. ProtonVPN, adossé à la fondation qui développe ProtonMail, publie son code source et ses rapports d'audit.
Pour les utilisateurs avancés, déployer un résolveur DNS local comme Pi-hole ou AdGuard Home sur un Raspberry Pi offre un contrôle total sur les requêtes DNS de tout le réseau domestique. Ces solutions permettent de journaliser, filtrer et chiffrer toutes les requêtes avant qu'elles ne quittent le réseau local. L'IETF (Internet Engineering Task Force) standardise activement les protocoles DNS chiffrés, et les implémentations se multiplient dans les systèmes d'exploitation et les routeurs grand public.
Les extensions de navigateur spécialisées comme uBlock Origin ou Privacy Badger ne résolvent pas directement les fuites DNS, mais elles réduisent le nombre de requêtes DNS générées par les scripts tiers et les traceurs. Moins de requêtes signifie une surface d'exposition réduite. Combinées à un navigateur correctement configuré en matière de DoH, elles forment un dispositif cohérent.
Tester et maintenir votre sécurité DNS dans la durée
Un test ponctuel ne suffit pas. Les mises à jour système, les changements de réseau et les nouvelles versions de navigateurs peuvent réintroduire des fuites sans prévenir. Intégrer un test de fuite DNS dans votre routine numérique — par exemple à chaque connexion sur un nouveau réseau — est la seule façon de maintenir un niveau de protection réel.
Des outils comme dnsleaktest.com, ipleak.net ou le test intégré à Mullvad Browser permettent de vérifier en quelques secondes si vos requêtes DNS transitent bien par le serveur attendu. Un résultat montrant les serveurs de votre FAI alors que votre VPN est actif indique une fuite avérée qui nécessite une correction immédiate.
La sécurité DNS s'inscrit dans une démarche plus large de réduction de la surface d'attaque. Mettre à jour régulièrement son client VPN, son système d'exploitation et ses navigateurs limite les failles exploitables. Les fournisseurs sérieux publient des journaux de modifications détaillant les corrections de sécurité — les consulter avant chaque mise à jour permet de comprendre ce qui change réellement.
Enfin, la question de la confiance accordée au résolveur DNS mérite d'être posée explicitement. Passer d'un serveur DNS non sécurisé à un autre ne résout pas le problème si ce dernier conserve des logs ou opère dans une juridiction peu protectrice. Choisir un résolveur dont la politique de confidentialité a été vérifiée par un audit indépendant récent reste la démarche la plus rigoureuse pour naviguer sans laisser de traces involontaires.
