Avant que votre téléphone puisse ouvrir un site ou qu'une appli joigne son serveur, il doit poser une question simple : « Quelle est l'adresse IP de ce nom ? » Cette question part vers le système de noms de domaine, le DNS. Cela se produit de nombreuses fois par minute, presque sans qu'on le voie, et cela en dit long sur ce que vous faites en ligne.

Ce guide explique ce que révèle le DNS, comment il sert à restreindre l'accès, ce que change le DNS chiffré (DoH et DoT), comment il fonctionne avec un VPN, ce qu'est une « fuite DNS » et comment la détecter.

Ce qu'est le DNS et ce qu'il révèle

Voyez le DNS comme l'annuaire d'Internet. Vous tapez un nom comme example.com ; un résolveur DNS, généralement géré par votre fournisseur d'accès ou votre opérateur mobile, cherche le numéro (l'adresse IP) et le renvoie. Votre appareil se connecte ensuite à cette adresse.

Le DNS classique a été conçu il y a des décennies et envoie ces questions en clair. Toute personne sur le trajet, y compris l'opérateur du réseau Wi-Fi et votre fournisseur d'accès, peut donc voir :

  • Les noms de domaine que vous consultez, et quand.
  • Les applis actives, car beaucoup d'applis contactent leurs serveurs en arrière-plan.
  • Des habitudes dans le temps, comme l'heure de votre réveil ou les services que vous utilisez chaque jour.

HTTPS chiffre le contenu d'une page, mais pas cette recherche. Même avec un cadenas dans le navigateur, le DNS classique peut donc exposer le nom des sites que vous visitez.

Comment fonctionnent les restrictions au niveau DNS

Comme presque chaque connexion commence par une requête DNS, le DNS est un point simple pour restreindre l'accès. Un résolveur peut renvoyer une mauvaise adresse, une erreur ou rien du tout, et l'appli échoue tout simplement à se connecter.

Exemple récent : Reuters a rapporté le 12 février 2026 que certains noms de domaine liés à WhatsApp avaient disparu du registre national des noms de domaine de la Russie, et que les appareils en Russie ne recevaient plus les adresses IP de l'application. Sans adresse, l'appli ne pouvait plus joindre ses serveurs.

Le DNS n'est qu'une des couches utilisées pour ces restrictions. Les réseaux peuvent aussi filtrer par adresse IP ou inspecter le trafic, si bien que modifier ses réglages DNS change souvent peu de chose. Cet article explique le fonctionnement de la technologie ; vérifiez la loi de votre pays avant de modifier votre façon de vous connecter.

Le DNS chiffré : DoH et DoT

Deux normes chiffrent la question et la réponse DNS entre votre appareil et le résolveur.

DNS over TLS (DoT)

La RFC 7858, publiée par l'IETF en mai 2016, définit le DNS sur TLS. Elle enveloppe le DNS dans le même chiffrement TLS que HTTPS, sur un port dédié, le 853. Comme il a son propre port, un réseau peut voir que vous utilisez du DNS chiffré, même s'il ne peut pas lire les requêtes.

DNS over HTTPS (DoH)

La RFC 8484, publiée en octobre 2018, décrit l'envoi des requêtes et réponses DNS sur HTTPS, chaque paire question-réponse étant traitée comme un échange HTTP ordinaire. Pour le réseau, DoH ressemble beaucoup à du trafic web normal.

Ce que le chiffrement change, et ce qu'il ne change pas

  • Il cache vos requêtes au réseau Wi-Fi et aux autres intermédiaires.
  • Le résolveur les voit toujours. Vous déplacez votre confiance du résolveur de votre fournisseur vers celui que vous choisissez : prenez un service dont la politique de confidentialité vous convient.
  • La connexion qui suit reste visible. Votre appareil se connecte toujours à l'adresse IP du site, ce qui peut en révéler beaucoup.

Le DNS chiffré sur vos appareils

Android. Google a annoncé le 17 avril 2018 la prise en charge du DNS sur TLS, appelée DNS privé (Private DNS), pour Android P (Android 9). Le réglage se trouve dans les paramètres réseau, en général sous « DNS privé », où vous pouvez le laisser en automatique, le désactiver ou saisir le nom d'hôte d'un fournisseur. Les intitulés varient selon les fabricants.

Chrome. D'après l'aide Google Chrome, le paramètre « Utiliser le DNS sécurisé » est activé par défaut en mode automatique. Si Chrome a du mal à trouver un site dans ce mode, il bascule vers une recherche non chiffrée. Si vous choisissez un fournisseur personnalisé, Chrome ne revient pas au mode non chiffré. La fonction n'est pas disponible sur les appareils gérés ni lorsque le contrôle parental est activé.

Point important : les réglages du navigateur ne protègent que ce navigateur, alors que des réglages système comme le DNS privé couvrent une plus grande partie de l'appareil.

DNS et VPN, et ce qu'est une fuite DNS

Quand un VPN est connecté, votre appareil devrait envoyer ses requêtes DNS dans le tunnel chiffré vers un résolveur choisi par le VPN, et non vers celui de votre réseau local. Votre fournisseur d'accès voit alors seulement que vous êtes connecté à un serveur VPN.

Il y a fuite DNS quand certaines requêtes sortent malgré tout du tunnel et partent vers le résolveur de votre fournisseur. Le VPN transporte toujours votre trafic, mais la liste des sites visités est exposée. Causes fréquentes :

  • Un appareil ou une appli configuré pour utiliser un serveur DNS précis qui ignore le VPN.
  • Les brefs moments où le tunnel se reconnecte, par exemple en passant du Wi-Fi aux données mobiles, si rien ne bloque le trafic entre-temps. C'est le rôle du kill switch ; voir ce que fait le kill switch d'un VPN.
  • Le split tunneling, où certaines applis utilisent volontairement la connexion normale.

Le DNS privé d'Android et un VPN peuvent être actifs en même temps. Le résolveur qui répond réellement dépend du système et de l'appli VPN : le seul moyen fiable de le savoir est de tester.

VPNRice utilise aussi le DNS d'une autre façon : son blocage des publicités et des traqueurs, lorsqu'il est inclus dans votre offre, est un filtre DNS qui bloque les domaines publicitaires, de pistage et malveillants connus pour les applis de l'appareil.

Comment détecter une fuite

  1. Connectez votre VPN et ouvrez une page de test de fuite DNS dans votre navigateur. Elle affiche les résolveurs qui ont répondu à vos requêtes.
  2. Recherchez les adresses de ces résolveurs avec notre outil IP lookup. Si, VPN activé, elles appartiennent à votre fournisseur d'accès ou à votre opérateur mobile, vos requêtes fuient.
  3. Vérifiez le reste du navigateur avec notre test de fuite WebRTC, qui examine une autre fuite : les adresses exposées via WebRTC. Notre guide pour vérifier votre IP et les fuites WebRTC explique les résultats.
  4. Recommencez après un changement de réseau, par exemple du Wi-Fi aux données mobiles.

En cas de fuite, cherchez des réglages DNS personnalisés dans le navigateur ou les applis, mettez à jour l'appli VPN et refaites le test.

À retenir

  • Les requêtes DNS révèlent les sites et services que vous utilisez ; le DNS classique n'est pas chiffré.
  • Le DNS est un point fréquent de restriction, mais rarement le seul.
  • DoT (RFC 7858) et DoH (RFC 8484) cachent les requêtes au réseau, mais le résolveur les voit toujours.
  • Avec un VPN, les requêtes doivent passer dans le tunnel ; testez après la connexion et après un changement de réseau.
  • Pour savoir comment les protocoles VPN protègent le reste de votre trafic, lisez notre guide sur WireGuard et les protocoles VPN modernes.