Guides
Un kill switch bloque tout le trafic internet dès que le tunnel VPN tombe, pour que les applications ne retombent pas en silence sur votre connexion habituelle. Sans lui, une coupure de deux secondes suffit à exposer votre vraie adresse IP. Et même tunnel actif, les requêtes DNS, WebRTC dans le navigateur et le trafic IPv6 peuvent fuir à côté. Chaque fuite a son test simple et son remède.
Quand une connexion VPN casse, le système d'exploitation route tranquillement le trafic par l'interface normale. Les applications continuent de fonctionner et rien ne vous prévient. Un kill switch transforme ce comportement : pas de tunnel, pas de trafic.
Les requêtes DNS peuvent filer vers le résolveur de votre FAI hors du tunnel, WebRTC peut livrer vos adresses aux sites web, et l'IPv6 peut contourner un tunnel limité à l'IPv4 — pendant que l'icône du VPN affiche « connecté ».
Pas besoin de croire les écrans de réglages. Un test de fuite montre quelles adresses et quels résolveurs les sites voient réellement, et casser le tunnel exprès montre si le kill switch tient.
La connexion laisse tout passer. Un VPN ajoute des routes qui dirigent le trafic vers une interface réseau virtuelle. Quand le processus du tunnel meurt ou expire, ces routes disparaissent, tandis que la route par défaut via le Wi-Fi ou l'Ethernet demeure — le système continue donc de livrer les paquets, désormais en direct par votre FAI. Les applications rétablissent leurs connexions en quelques secondes, en émettant depuis votre vraie IP, sans la moindre boîte d'erreur nulle part.
Les coupures sont la routine. Passer du Wi-Fi aux données mobiles, un portable qui sort de veille, un réseau d'hôtel capricieux ou un redémarrage du serveur VPN cassent tous le tunnel un instant. Ce que coûte cet instant dépend d'une chose : quelque chose a-t-il le droit de quitter votre appareil pendant que le tunnel est à terre.
Un kill switch, c'est un jeu de règles de pare-feu, pas de la magie. La version stricte n'autorise que deux types de trafic sortant : les paquets qui entrent dans l'interface du tunnel, et les paquets chiffrés du client VPN lui-même vers le serveur. Si le tunnel tombe, le trafic des applications n'a tout simplement nulle part où aller jusqu'à son retour.
Il change le mode de défaillance, il n'empêche pas les défaillances. Avec un kill switch, une coupure devient une connexion en pause que vous remarquez ; sans, elle devient du trafic sur votre vraie adresse que vous ne remarquez pas. Les réseaux sont imparfaits et le tunnel cassera encore — le blocage par défaut rend ces moments inoffensifs.
La différence, c'est ce qui arrive quand l'application elle-même meurt. Un kill switch intégré est du code dans le client VPN qui surveille le tunnel et bloque le trafic quand il tombe. Il ne fonctionne que tant que le client tourne : si le client plante ou est tué par un optimiseur de batterie, sa protection meurt avec lui — précisément au moment où le tunnel disparaît.
Un kill switch au niveau système installe des règles dans le pare-feu du système d'exploitation, qui inspecte chaque paquet sortant quelles que soient les applications en marche. Android l'a en natif : VPN permanent plus blocage des connexions hors VPN, et c'est l'OS lui-même qui refuse le trafic hors tunnel, même avant le lancement de l'application après un redémarrage. Le moyen brutal de distinguer les deux : forcez l'arrêt de l'application VPN en pleine navigation — si les pages chargent encore, le switch vit dans l'application.
Une fuite DNS signifie que vos résolutions de noms partent vers le résolveur attribué par votre réseau local — en général celui de votre FAI — alors que le trafic lui-même emprunte le tunnel. Les sites voient l'adresse du VPN, mais le résolveur reçoit le nom de chaque site que vous ouvrez, autant dire un journal de navigation. Windows est le coupable classique : avec plusieurs interfaces actives, il peut interroger toutes en parallèle et retenir la première qui répond.
Le remède a deux volets, et un bon client fait les deux : pointer le système vers le résolveur à l'intérieur du tunnel, et bloquer le DNS sur toutes les autres interfaces pour qu'une requête égarée n'ait nulle part où aller. Puis vérifiez : lancez un test de fuite et regardez les résolveurs listés — si l'un d'eux appartient à votre FAI, les résolutions fuient.
WebRTC est la technologie de navigateur derrière les appels vidéo, et n'importe quel site peut l'invoquer avec quelques lignes de JavaScript. Pour établir des connexions directes, elle collecte toutes les adresses susceptibles d'atteindre votre machine : les adresses locales et, en interrogeant un serveur STUN, votre adresse publique. Une page peut lire ces candidates sans votre participation.
Avec un tunnel couvrant tout l'appareil, la requête STUN voyage dans le tunnel et découvre donc l'adresse du VPN. Les montages dangereux sont les montages partiels : un proxy limité au navigateur, ou un split tunneling qui laisse le navigateur dehors — là, les paquets UDP de WebRTC sortent en direct et révèlent votre vraie IP.
Testez au lieu de raisonner : notre vérificateur gratuit sur /webrtc-leak-test/ montre quelles adresses votre navigateur révèle en ce moment même. Si la vraie apparaît, passez à un tunnel couvrant tout l'appareil ou désactivez WebRTC dans les réglages du navigateur.
Beaucoup de configurations VPN ne transportent que l'IPv4. Si votre FAI fournit aussi l'IPv6 — c'est le cas de la plupart des réseaux mobiles — le système garde une route IPv6 fonctionnelle hors du tunnel, et les systèmes modernes préfèrent l'IPv6 quand un site offre les deux. Résultat : une exposition sélective — les sites sans IPv6 voient l'adresse du VPN, ceux qui l'ont voient la vôtre, et un test limité à l'IPv4 déclare que tout va bien.
Il y a deux remèdes propres. Le meilleur : un VPN qui gère correctement l'IPv6 — en le tunnellisant à côté de l'IPv4, ou en installant une route bloquante pour que les paquets IPv6 soient jetés, pas envoyés en direct. Le repli brutal : désactiver l'IPv6 sur l'appareil ou le routeur. Dans les deux cas, vérifiez : le test de fuite ne doit montrer aucune adresse IPv6 qui ne soit pas celle du VPN.
Faites les contrôles dans les conditions que vous utilisez vraiment — Wi-Fi de la maison, téléphone en données mobiles, réseau de café — car les fuites dépendent de la configuration DNS et de la disponibilité IPv6 de chaque réseau. La routine prend environ cinq minutes :
Mettre le tunnel VPN sur le routeur protège d'un coup tous les appareils du réseau — y compris les TV, consoles et enceintes connectées qui ne peuvent pas installer d'applications. Les contreparties sont réelles : le débit est limité par le processeur du routeur, toute la maison sort par un seul pays, et le dépannage se complique. Ce guide passe en revue les montages et comment trancher.
En déplacement, un VPN chiffre votre trafic sur le Wi-Fi des hôtels et des aéroports, fait que vos comptes semblent se connecter depuis un pays familier, et atteint les services qui se comportent différemment à l'étranger. Ce n'est pas un remède universel : les plateformes de streaming détectent les adresses des serveurs, et les règles locales varient selon les pays. La règle qui compte le plus — tout installer et tout tester avant de partir.
Un VPN (réseau privé virtuel) crée un tunnel chiffré entre votre appareil et un serveur distant, et votre trafic sort sur internet depuis ce serveur. Votre fournisseur d'accès ne voit plus les sites que vous visitez, et les sites voient l'adresse IP du serveur au lieu de la vôtre. C'est un outil de confidentialité, pas une cape d'invisibilité.
Garantie satisfait ou remboursé de 14 jours. Jusqu'à 7 appareils avec un seul abonnement.
Protéger mes appareils