Test de fuite DNS (DNS Leak Test)

Qu'est-ce qu'une fuite DNS ?

Chaque fois que vous ouvrez un site web, votre appareil demande d'abord à un serveur DNS de traduire le nom (example.com) en adresse IP. Celui qui exploite ce serveur peut voir chaque domaine que vous consultez.

Un VPN est censé faire passer ces requêtes par son tunnel chiffré, vers des serveurs DNS qu'il contrôle. Une fuite DNS se produit quand elles partent ailleurs, généralement directement chez votre fournisseur d'accès à internet. Votre trafic est masqué, mais votre FAI obtient quand même la liste de tous les sites que vous visitez, et la promesse de confidentialité du VPN tombe discrètement à l'eau.

Comment fonctionne ce test de fuite DNS

Ce que signifie votre résultat

Test de fuite DNS standard ou étendu ?

Le test standard envoie 6 requêtes et prend quelques secondes. Il suffit pour savoir quel fournisseur gère votre DNS.

Le test étendu envoie 36 requêtes en six vagues. Les grands fournisseurs répondent depuis des groupes de nombreux serveurs, et certaines fuites n'apparaissent que de temps en temps, par exemple quand Windows envoie la même question à toutes les cartes réseau à la fois. Lancez le test étendu avant de confier quoi que ce soit de sensible à un VPN.

Quelles sont les causes d'une fuite DNS ?

• Le VPN ne gère pas le DNS. Certaines applications VPN, et de nombreuses configurations OpenVPN ou WireGuard manuelles, établissent le tunnel mais laissent les réglages DNS du système pointer vers votre routeur (box) ou votre FAI.

• Windows interroge toutes les cartes réseau. Depuis Windows 8, la résolution de noms multirésidente intelligente envoie chaque requête aux serveurs DNS de toutes les cartes réseau à la fois et retient la réponse la plus rapide, qui peut être celle de votre FAI.

• IPv6 hors du tunnel. Si votre VPN ne fait passer que l'IPv4 dans le tunnel, les requêtes envoyées en IPv6 peuvent atteindre directement le résolveur de votre FAI. Vérifiez-le avec notre test IPv6 pendant que le VPN est connecté.

• DNS sécurisé du navigateur. Chrome, Edge et Firefox peuvent envoyer les requêtes en DNS over HTTPS à Cloudflare, Google ou un autre fournisseur, en ignorant les serveurs DNS du VPN.

• DNS défini sur le routeur ou à la main. Un serveur DNS fixe dans votre routeur ou vos paramètres réseau peut prendre le pas sur le VPN, selon le fonctionnement de l'application VPN.

• Proxys DNS transparents. Certains FAI interceptent toutes les requêtes DNS sur le port 53 et y répondent eux-mêmes, même si vous avez choisi un autre serveur DNS.

Comment corriger une fuite DNS

• Activez la protection contre les fuites DNS de votre VPN ainsi que son kill switch. La plupart des bonnes applications VPN proposent les deux ; vérifiez que l'application utilise ses propres serveurs DNS, puis relancez le test.

• Windows Pro et Entreprise : ouvrez gpedit.msc → Configuration ordinateur → Modèles d'administration → Réseau → Client DNS, et activez la stratégie qui désactive la résolution de noms multirésidente intelligente (Turn off smart multi-homed name resolution dans Windows en anglais). Sous Windows Famille, réglez la valeur DWORD DisableSmartNameResolution sur 1 dans HKLM\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient.

• Désactivez Teredo si vous n'en avez pas besoin : exécutez netsh interface teredo set state disabled dans une invite de commandes ouverte en tant qu'administrateur.

• Corrigez l'IPv6 : utilisez un VPN qui fait passer l'IPv6 dans le tunnel, ou désactivez l'IPv6 sur la carte réseau pendant que vous êtes connecté.

• Vérifiez le DNS sécurisé de votre navigateur : dans Chrome, allez dans Paramètres → Confidentialité et sécurité → Sécurité → Utiliser un DNS sécurisé ; dans Firefox, Paramètres → Vie privée et sécurité → DNS via HTTPS. Désactivez-le, ou faites-le pointer vers le résolveur de votre VPN, si vous voulez que le VPN gère le DNS.

• Videz le cache DNS après chaque modification pour que d'anciennes réponses ne subsistent pas : consultez comment vider le cache DNS sous Windows, macOS, Linux et dans les navigateurs.

Tester votre serveur DNS en ligne de commande

Vous pouvez aussi vérifier quel serveur DNS utilise votre ordinateur, sans navigateur. Notre serveur de noms répond au nom spécial whoami.leak.dnsrobot.net avec l'adresse IP du serveur qui l'a demandé :

Pourquoi vois-je des serveurs que je ne reconnais pas ?

Nous voyons le serveur qui a contacté notre serveur de noms, c'est-à-dire le dernier de la chaîne. Si votre routeur ou un résolveur local transmet les requêtes en amont, le résultat affiche le fournisseur en amont, pas votre routeur.

Les grands résolveurs publics utilisent l'anycast : Cloudflare, Google et Quad9 répondent depuis des centres de données proches de vous, et une même requête peut être traitée par une machine située dans un pays voisin. Un serveur dans un pays inattendu n'est pas une fuite en soi. Ce qui compte, c'est qui l'exploite.

Fuites DNS, fuites WebRTC et fuites IPv6

Un VPN peut trahir votre identité de trois façons principales, et chacune nécessite son propre test :

Autres outils DNS et de confidentialité

D'autres outils gratuits pour voir ce que révèle votre connexion et mesurer les performances de votre DNS :