Avant de pouvoir ouvrir un site web, votre navigateur demande son adresse IP à un résolveur DNS. Quand vous utilisez un VPN, ces requêtes devraient passer par le tunnel chiffré jusqu'au résolveur du VPN. Une fuite DNS se produit lorsqu'elles partent plutôt vers le résolveur de votre fournisseur d'accès, ce qui révèle chaque site que vous recherchez.
En cas de fuite DNS, votre adresse IP reste masquée, mais votre fournisseur (ou l'exploitant du résolveur qui reçoit les requêtes) apprend quels sites vous visitez, et quand.
Pourquoi les fuites DNS se produisent
- L'application VPN ne définit pas ses propres serveurs DNS, si bien que le système continue d'utiliser le résolveur du fournisseur.
- La résolution de noms multirésidente intelligente de Windows envoie les requêtes à toutes les cartes réseau à la fois et retient la réponse la plus rapide.
- Le trafic IPv6 contourne le tunnel quand le VPN ne gère que l'IPv4.
- Des paramètres DNS manuels sur votre appareil ou votre routeur prennent le pas sur le VPN.
- Le DNS over HTTPS du navigateur envoie les requêtes à un résolveur configuré dans le navigateur, hors du contrôle du VPN.
- Les portails captifs des hôtels et des aéroports imposent leur propre DNS.
Comment détecter une fuite DNS
Un test de fuite DNS fait résoudre à votre navigateur plusieurs noms d'hôte uniques et aléatoires, puis enregistre quels résolveurs les demandent. Si l'un de ces résolveurs appartient à votre fournisseur d'accès plutôt qu'à votre VPN, vous avez une fuite. De nombreux fournisseurs de VPN proposent un tel test sur leur site.
Lancez aussi notre test de fuite WebRTC, qui vérifie un autre type de fuite, et confirmez sur notre page d'accueil que l'IP et la position affichées sont bien celles de votre VPN.
Comment corriger une fuite DNS
- Activez la protection contre les fuites DNS dans votre application VPN. La plupart des bonnes applications l'activent par défaut.
- Activez le kill switch (coupure d'urgence), pour qu'aucun trafic ne quitte votre appareil si le tunnel tombe.
- Désactivez l'IPv6 sur l'appareil, ou utilisez un VPN qui prend entièrement en charge l'IPv6.
- Supprimez les paramètres DNS manuels de votre carte réseau et de votre routeur lorsque vous utilisez le VPN, ou remplacez-les par les serveurs DNS du VPN.
- Vérifiez le réglage DNS sécurisé de votre navigateur. S'il pointe vers un résolveur public, les requêtes sont chiffrées, mais elles vont à cette entreprise plutôt qu'à votre VPN. Choisissez « Désactivé » ou « Utiliser votre fournisseur de services actuel » si vous voulez que le VPN gère le DNS.
- Windows : désactivez la résolution de noms multirésidente intelligente via la stratégie de groupe si votre VPN ne s'en charge pas.
Fuite DNS ou fuite WebRTC
| Fuite DNS | Fuite WebRTC | |
|---|---|---|
| Ce qui fuit | Les noms des sites que vous visitez | Votre véritable adresse IP |
| Qui le voit | Votre fournisseur d'accès ou votre résolveur DNS | Le site web que vous visitez |
| Solution | Protection DNS du VPN, désactivation de l'IPv6 | Protection WebRTC du VPN, réglages du navigateur |
Questions fréquentes
Le DNS over HTTPS empêche-t-il les fuites DNS ?
Il chiffre les requêtes pour que votre fournisseur d'accès ne puisse pas les lire, mais le résolveur que vous choisissez les voit toujours. Avec un VPN digne de confiance, laisser le VPN gérer le DNS permet de tout garder au même endroit.
Peut-on avoir une fuite DNS sans VPN ?
Sans VPN, vos requêtes vont par conception au résolveur de votre fournisseur : il n'y a donc rien qui puisse fuiter. Utilisez un DNS chiffré si vous souhaitez les masquer.
Tous les VPN empêchent-ils les fuites DNS ?
Pas tous. Testez le vôtre après chaque mise à jour importante de l'application ou du système d'exploitation.