Fuites IP et kill switch : ce qui peut sortir de votre VPN

Un VPN actif ne garantit pas que tout passe par le tunnel. Certaines informations peuvent s’en échapper sans que rien ne vous alerte. Voici lesquelles, et comment le vérifier en quelques minutes.

On parle de fuite quand une partie de votre trafic contourne le tunnel chiffré alors que le VPN est connecté. Comme le rappellent les principes de base d’un VPN, tout son intérêt tient au fait que tout passe par le tunnel : une fuite annule une partie de la protection, souvent celle qui comptait le plus.

La coupure silencieuse

La fuite la plus fréquente n’a rien de technique. Un VPN peut se déconnecter : changement de réseau, mise en veille, serveur surchargé, réseau Wi-Fi instable. Votre appareil, lui, cherche avant tout à rester connecté à Internet. Il repasse alors sur la connexion normale, sans tunnel, souvent sans le moindre message.

Pendant ces quelques secondes ou ces quelques minutes, vos connexions repartent avec votre véritable adresse IP. Pour un téléchargement en pair-à-pair, cela suffit à exposer votre adresse aux autres participants.

Le kill switch, ou coupe-circuit

Le kill switch empêche cette situation. Quand il est activé, toute connexion à Internet qui ne passe pas par le tunnel est bloquée. Si le VPN tombe, vous n’avez plus d’Internet du tout jusqu’à son rétablissement, ce qui est exactement le but.

Il en existe deux formes. Le kill switch d’application coupe l’accès seulement quand l’application détecte une coupure, ce qui laisse un court instant de risque. Le kill switch système, plus strict, bloque en permanence tout ce qui ne passe pas par le tunnel, même quand l’application n’est pas lancée. Sur Android, cette fonction existe dans le système lui-même : dans les réglages VPN, l’option « VPN permanent » complétée par « Bloquer les connexions sans VPN ».

Vérifiez qu’il est activé : beaucoup d’applications le proposent, mais ne l’activent pas par défaut.

La fuite DNS

Avant de se connecter à un site, votre appareil demande son adresse à un annuaire, le DNS. Si ces requêtes partent hors du tunnel, vers le serveur DNS de votre fournisseur d’accès ou du Wi-Fi, celui-ci voit la liste des sites que vous consultez, même si tout le reste est chiffré.

Les bons services font passer les requêtes DNS dans le tunnel, vers leurs propres serveurs. Mais certains réglages de l’ordinateur, un DNS configuré à la main ou une fonction du navigateur comme le DNS sécurisé vers un serveur tiers peuvent changer ce comportement.

La fuite IPv6

Internet fonctionne aujourd’hui avec deux familles d’adresses : IPv4, la plus ancienne, et IPv6, de plus en plus répandue chez les fournisseurs d’accès français. Si votre VPN ne prend en charge que l’IPv4 alors que votre connexion dispose d’IPv6, les connexions vers les sites compatibles IPv6 peuvent sortir directement, avec votre adresse réelle.

Les services sérieux transportent l’IPv6 dans le tunnel, ou le bloquent volontairement pendant la connexion. C’est un point à vérifier, car c’est une fuite fréquente et discrète.

La fuite WebRTC

WebRTC est une technologie intégrée aux navigateurs pour les appels vidéo et audio. Pour établir une connexion directe entre deux personnes, elle peut chercher à connaître les adresses de votre appareil, y compris parfois votre adresse réelle, et un site peut la récupérer par un simple script.

Les navigateurs récents ont réduit ce risque, et de nombreuses applications VPN bloquent ce cas. Certaines extensions de VPN pour navigateur le traitent aussi. Le plus simple reste de le tester.

Comment tester votre VPN

Le test prend quelques minutes, et mérite d’être refait après chaque changement d’appareil ou de réglage :

1. VPN désactivé, ouvrez un site de test de fuites : il affiche votre adresse IP, votre fournisseur d’accès et vos serveurs DNS. Notez-les.
2. Activez le VPN et rechargez la page. L’adresse IP doit avoir changé et correspondre au pays du serveur choisi.
3. Lancez le test DNS étendu : aucun serveur de votre fournisseur d’accès ne doit apparaître.
4. Vérifiez la ligne IPv6 : elle doit montrer une adresse du VPN ou aucune adresse, jamais la vôtre.
5. Regardez la section WebRTC : elle ne doit pas révéler votre adresse publique réelle.
6. Pour tester le kill switch, coupez puis rétablissez votre Wi-Fi pendant qu’une page se recharge en boucle : aucune connexion ne doit aboutir hors du tunnel.

Quand la fuite ne vient pas du VPN

Une fuite n’est pas toujours la faute du fournisseur. Une extension de navigateur, un autre logiciel réseau installé sur l’ordinateur, un deuxième VPN, ou un serveur DNS réglé à la main peuvent créer des chemins hors du tunnel. Avant d’accuser le service, testez sur un navigateur sans extensions et désactivez les logiciels qui touchent au réseau.

Le choix du protocole joue aussi : certains gèrent mieux les changements de réseau que d’autres, comme l’explique notre page sur les protocoles VPN.

Le tunnel partiel, une fuite volontaire

Beaucoup d’applications proposent un tunnel partiel, parfois appelé « split tunneling » : vous choisissez des applications ou des sites qui ne passent pas par le VPN. C’est pratique pour une application bancaire qui refuse les connexions VPN, ou pour un téléviseur qui doit rester sur le réseau local.

Mais c’est, par définition, une fuite organisée : tout ce qui est exclu repart avec votre adresse réelle et sous le regard de votre fournisseur d’accès. Gardez la liste des exceptions aussi courte que possible, et vérifiez-la de temps en temps, car certaines applications l’enrichissent par défaut.

Les limites du blocage sur téléphone

Même les protections du système ne sont pas parfaites. En 2022, un fournisseur VPN a montré qu’Android laissait sortir certaines vérifications de connectivité hors du tunnel, même avec l’option qui bloque les connexions sans VPN. Ces requêtes ne révèlent pas votre navigation, mais elles montrent qu’un blocage parfait est difficile à garantir.

La leçon est simple : les réglages réduisent fortement le risque, mais un test régulier reste la seule façon d’en avoir le cœur net.

Que faire si vous trouvez une fuite ?

1. Vérifiez que l’application est à jour, et que le kill switch et la protection DNS sont activés.
2. Désactivez les extensions du navigateur et refaites le test.
3. Désactivez l’IPv6 dans les réglages réseau de l’ordinateur si votre VPN ne le prend pas en charge.
4. Changez de protocole, puis refaites le test.
5. Si la fuite persiste, contactez le service client avec le résultat du test, et demandez le remboursement si le problème n’est pas résolu dans le délai de garantie.

Gardez une trace de vos résultats, par exemple une capture d’écran : elle servira de point de comparaison au prochain test, et de preuve si vous devez contacter le service.

Les bons réglages

• Activez le kill switch, de préférence en version système.
• Activez la protection contre les fuites DNS si l’application la propose séparément.
• Vérifiez que l’IPv6 est pris en charge ou bloqué.
• Activez la connexion automatique sur les réseaux Wi-Fi que vous ne connaissez pas.
• Sur téléphone, utilisez les options du système, détaillées dans notre page sur le VPN sur smartphone.

Un VPN bien réglé et testé tient ses promesses. Un VPN jamais vérifié peut laisser passer exactement ce qu’il devait cacher. Pour comprendre plus largement ce qu’il protège et ce qu’il ne protège pas, voyez notre page sur le VPN et la confidentialité en ligne, et si vous téléchargez en pair-à-pair, retenez que le kill switch est alors indispensable.