Test de fuite DNS : détecter et corriger

Qu'est-ce qu'une fuite DNS ?

Chaque visite d'un site commence par une requête DNS qui transforme un nom comme example.com en adresse IP. Normalement, c'est le serveur DNS de votre fournisseur d'accès qui répond. Avec un VPN, ces requêtes devraient passer par le tunnel chiffré jusqu'au serveur DNS du VPN.

Une fuite DNS se produit quand les requêtes vont au serveur DNS de votre fournisseur en dehors du tunnel. Les sites voient toujours l'IP du VPN, mais votre fournisseur voit chaque domaine que vous visitez, et son filtrage ou son blocage DNS s'applique toujours.

Comment fonctionne un test de fuite DNS

Un navigateur ne peut pas indiquer quel serveur DNS il utilise. Un test de fuite fait donc résoudre à votre navigateur plusieurs noms d'hôte uniques et aléatoires sur un domaine dont le testeur gère le serveur DNS. Ce serveur enregistre quelles adresses IP de résolveurs les ont demandés. Si ces résolveurs appartiennent à votre fournisseur d'accès alors que votre VPN est connecté, votre DNS fuit.

Le test ci-dessus fait exactement cela : il liste chaque résolveur avec son fournisseur, son réseau et son pays, et les compare avec l'IP que voient les sites. Les noms de test et les IP des résolveurs sont supprimés après 10 minutes.

Vérifier votre serveur DNS manuellement

Lancez l'une de ces commandes dans le Terminal (macOS, Linux) ou l'invite de commandes (Windows, nslookup uniquement). Chacune demande à un service public de vous indiquer l'adresse IP du résolveur DNS qui l'a contacté :

nslookup -type=txt o-o.myaddr.l.google.com
dig +short TXT o-o.myaddr.l.google.com
dig +short whoami.akamai.net

Comment lire le résultat

Cherchez à qui appartient l'adresse renvoyée avec n'importe quel service WHOIS ou de recherche IP.
Si elle appartient à votre fournisseur d'accès alors que le VPN est connecté, votre DNS fuit.
Si elle appartient à votre fournisseur VPN, ou à un résolveur que vous avez choisi comme Cloudflare (1.1.1.1) ou Google (8.8.8.8), il n'y a pas de fuite vers votre fournisseur.
Ces commandes testent le DNS de votre système d'exploitation. Si le « DNS sécurisé » (DNS over HTTPS) est activé dans votre navigateur, celui-ci envoie ses requêtes à ce fournisseur à la place.

Comment corriger une fuite DNS

Activez la protection contre les fuites DNS de votre application VPN (parfois appelée « utiliser le DNS du VPN ») et son kill switch.
Vérifiez que le VPN gère aussi l'IPv6, ou désactivez l'IPv6 sur votre carte réseau. Les requêtes IPv6 peuvent contourner les VPN uniquement IPv4.
Activez le DNS chiffré : « DNS sécurisé » dans Chrome, Edge ou Brave, ou « DNS via HTTPS » dans Firefox, avec le résolveur de votre VPN ou un fournisseur de confiance.
Vérifiez que votre box ou un DNS réseau défini manuellement n'écrase pas les réglages du VPN, puis refaites le test.

Questions fréquentes

›Pourquoi le test trouve-t-il plusieurs serveurs DNS ?

Les grands services DNS comme Google, Cloudflare et la plupart des FAI exploitent des groupes de serveurs, donc différentes requêtes peuvent venir de différentes adresses. Ce qui compte, c'est le réseau auquel ils appartiennent.

›Une fuite DNS est-elle la même chose qu'une fuite IP ?

Non. Avec une fuite DNS, les sites voient toujours l'IP de votre VPN, mais votre fournisseur d'accès (ou l'exploitant du résolveur qui fuit) voit quels domaines vous consultez.

›Le HTTPS empêche-t-il les fuites DNS ?

Non. Le HTTPS chiffre le contenu des pages, mais les requêtes DNS classiques partent en clair avant le début de la connexion. Le DNS chiffré (DNS over HTTPS ou TLS) règle cette partie.

›Puis-je avoir une fuite DNS sans VPN ?

Sans VPN, vos requêtes sont censées aller au serveur DNS de votre fournisseur ou à celui que vous avez choisi : ce n'est donc pas une fuite. Le terme a du sens quand vous utilisez un VPN ou un proxy.

›La navigation privée empêche-t-elle les fuites DNS ?

Non. Les fenêtres privées utilisent les mêmes réglages DNS que les fenêtres normales.

›Le test n'a trouvé aucun serveur DNS. Pourquoi ?

Un bloqueur de publicité ou de contenu peut arrêter les requêtes de test aléatoires avant que votre navigateur ne les résolve. Mettez-le en pause pour ce site et relancez le test.

Test de fuite DNS