Qu'est-ce qu'une fuite VPN exactement ?

Une fuite VPN désigne toute situation où votre adresse IP réelle, votre fournisseur d'accès ou vos requêtes DNS s'échappent du tunnel chiffré et deviennent visibles depuis l'extérieur. Le VPN est censé tout encapsuler, mais des failles côté navigateur (WebRTC), côté système (DNS Windows) ou côté protocole (IPv6 non géré) peuvent contourner la protection.

C'est quoi une fuite WebRTC et pourquoi c'est dangereux ?

WebRTC est une API du navigateur conçue pour les appels vidéo et le partage de fichiers en pair-à-pair. Pour fonctionner, elle interroge directement vos interfaces réseau et peut révéler votre IP locale et publique réelle, même quand le VPN est actif. C'est la fuite la plus courante : Chrome, Firefox, Edge et Safari sont tous concernés par défaut.

Comment fonctionne une fuite DNS ?

Quand vous tapez un nom de domaine, votre système contacte un serveur DNS pour le convertir en adresse IP. Si Windows envoie cette requête à votre FAI au lieu de la faire passer par le tunnel VPN, votre fournisseur d'accès voit chaque site visité, même avec le VPN actif. Le contenu du trafic reste chiffré, mais la liste des domaines fuit.

Et une fuite IPv6, c'est grave ?

Beaucoup de VPN ne gèrent que l'IPv4. Si votre connexion supporte IPv6 (ce qui est le cas de 75 % des connexions françaises en 2026), votre trafic IPv6 peut sortir hors du tunnel sans que vous le sachiez. Les sites accessibles en IPv6 voient alors votre IP réelle. C'est un trou silencieux car le VPN ne signale aucune erreur.

Mon VPN fuit, que faire concrètement ?

Quatre actions, par ordre d'efficacité. (1) Activez la protection contre les fuites dans l'app VPN (souvent appelée « Block DNS leaks » ou « WebRTC protection »). (2) Activez le kill switch pour couper internet si le tunnel tombe. (3) Désactivez IPv6 sur la carte réseau ou choisissez un VPN qui le gère. (4) Si rien ne marche, changez de fournisseur : NordVPN, ExpressVPN et Proton VPN passent ce test sans fuite.

Le test fonctionne-t-il sur mobile ?

Oui sur Android avec Chrome ou Firefox, et sur iOS avec Safari ou Chrome. WebRTC est plus restreint sur mobile (Safari iOS notamment), donc certains tests retournent « non testable », ce qui est plutôt rassurant que problématique. Refaites le test sur ordinateur en parallèle pour une vue complète.

Cette page envoie-t-elle mes données quelque part ?

Non. Tous les tests s'exécutent dans votre navigateur. L'API publique ipapi.co est appelée uniquement pour récupérer votre IP de référence (le serveur ne stocke rien). Aucune donnée ne transite par virtual-private-network.com : vérifiez dans l'onglet « Réseau » de votre navigateur, il n'y a aucun appel POST vers notre domaine.

Test de fuite VPN : WebRTC, DNS et IPv6 en 1 clic

Fuite WebRTC
API navigateur peer-to-peer
Test en cours

Cette API peut interroger directement vos interfaces réseau et révéler votre IP publique réelle, même VPN actif. C'est la fuite la plus fréquente.

IP HTTP (référence)

—

IP WebRTC publique

—

IP WebRTC locale

—

Résultat

—
Cohérence DNS
Pays IP vs fuseau navigateur
Test en cours

Un test client ne peut pas voir le serveur DNS utilisé. On compare le pays de votre IP avec le fuseau horaire du navigateur. Une incohérence est souvent le signe d'une fuite DNS ou d'un kill switch absent.

Pays de l'IP

—

Fuseau navigateur

—

Région attendue

—

Résultat

—
Fuite IPv6
Connectivité hors tunnel
Test en cours

Beaucoup de VPN ne tunnellisent que l'IPv4. Si votre connexion supporte IPv6 et que votre IP IPv6 reste celle de votre FAI, votre trafic IPv6 sort hors du tunnel sans être protégé.

IPv4 publique

—

IPv6 publique

—

Connectivité IPv6

—

Résultat

—

Comprendre les fuites VPN

Trois fuites silencieuses qui annulent votre VPN

Un VPN actif n'est pas synonyme de protection complète. Voici ce qui peut fuiter, pourquoi, et comment vérifier en moins d'une minute.

Qu'est-ce qu'une fuite VPN ?

Un VPN crée un tunnel chiffré entre votre appareil et un serveur tiers. En théorie, tout votre trafic réseau passe par ce tunnel, avec deux conséquences : les sites visités voient l'IP du serveur VPN au lieu de la vôtre, et votre fournisseur d'accès ne voit qu'un flux chiffré opaque, sans pouvoir lire son contenu ni les domaines consultés.

Une fuite VPN désigne tout cas où une partie du trafic sort en dehors du tunnel sans que vous le sachiez. L'application VPN continue d'afficher « connecté » et le voyant vert clignote tranquillement, mais certaines requêtes contournent la protection et révèlent votre IP réelle, votre fournisseur d'accès, ou la liste des domaines que vous consultez. Les trois fuites les plus courantes sont WebRTC, DNS et IPv6.

La fuite WebRTC, expliquée simplement

WebRTC (Web Real-Time Communication) est une API ajoutée aux navigateurs en 2011 pour permettre les appels vidéo et le partage de fichiers directement entre internautes, sans plugin. Discord, Google Meet, Microsoft Teams et la plupart des solutions de visio l'utilisent.

Pour établir une connexion pair-à-pair, WebRTC a besoin de connaître toutes vos adresses IP : locales (192.168.x.x) et publiques. Pour les récupérer, le navigateur interroge directement vos interfaces réseau et un serveur STUN. Le problème : ces requêtes ne passent pas toujours par le tunnel VPN. Résultat, n'importe quel site peut récupérer votre IP réelle via quelques lignes de JavaScript, sans que vous ayez à autoriser quoi que ce soit.

Chrome, Firefox, Edge et Opera sont concernés par défaut. Safari sur macOS l'est moins, Safari iOS pas du tout. Les bons VPN bloquent activement les requêtes STUN qui ne passent pas par le tunnel, mais beaucoup ne le font pas, surtout sur leur version Linux ou en mode protocole personnalisé.

La fuite DNS, le talon d'Achille de Windows

Quand vous tapez netflix.com dans votre navigateur, votre système doit d'abord convertir ce nom en adresse IP. Cette conversion s'appelle une résolution DNS. Elle est faite par un serveur DNS, généralement celui de votre fournisseur d'accès.

En théorie, quand un VPN est actif, toutes vos requêtes DNS doivent passer par le serveur DNS du VPN, à l'intérieur du tunnel. En pratique, Windows envoie parfois les requêtes en parallèle à tous les serveurs DNS connus, y compris ceux de votre FAI, pour gagner quelques millisecondes. C'est ce qu'on appelle le smart multi-homed name resolution. Votre FAI voit alors la liste exacte de tous les sites que vous consultez, même VPN actif.

Les bons VPN appliquent leurs propres serveurs DNS de force et bloquent ceux du système. Les mauvais laissent Windows faire à sa guise.

La fuite IPv6, le trou silencieux

L'IPv6 est le successeur d'IPv4. En 2026, environ 75 % des connexions françaises sont dual-stack : elles disposent d'une IPv4 ET d'une IPv6 attribuées par le FAI. Quand votre navigateur visite un site compatible IPv6 (Google, Facebook, Cloudflare, la moitié du web moderne), il utilise IPv6 de préférence.

Or, beaucoup de VPN ne gèrent que l'IPv4. Quand vous activez le VPN, seul votre trafic IPv4 passe dans le tunnel ; votre trafic IPv6 continue de sortir directement par votre connexion réelle, avec votre IP IPv6 d'origine. Le site cible voit donc deux IP différentes : l'IPv4 du VPN, et votre IPv6 réelle. Un simple JavaScript ou même un log serveur suffit à recoller les deux.

La parade : choisir un VPN qui tunnellise aussi l'IPv6 (NordVPN, ExpressVPN, Proton VPN) ou désactiver IPv6 sur votre carte réseau le temps de la session VPN.

Comparatif des fuites par fournisseur

Synthèse des tests menés en 2026 sur les 5 principaux fournisseurs du marché. Toutes les valeurs sont issues de tests indépendants effectués sur Windows 11, macOS Sonoma et Ubuntu 24.04.

Fournisseur	WebRTC	DNS	IPv6	Kill switch
NordVPN	Bloqué	Bloqué	Tunnellisé	Oui (toutes plateformes)
ExpressVPN	Bloqué	Bloqué	Tunnellisé	Oui
Proton VPN	Bloqué	Bloqué	Tunnellisé	Oui
Surfshark	Bloqué	Bloqué	Bloqué (pas tunnellisé)	Oui
CyberGhost	Bloqué	Bloqué	Bloqué	Oui (sauf iOS)

« Tunnellisé » est l'idéal : votre trafic IPv6 passe dans le tunnel et est protégé. « Bloqué » est acceptable : le VPN coupe l'IPv6 pour éviter la fuite, mais vous perdez la connectivité IPv6.

Que faire si une fuite est détectée ?

Procédez dans cet ordre. Si l'étape 1 corrige la fuite, vous pouvez arrêter là.

Activez les protections intégrées au VPN. Ouvrez les paramètres de votre app VPN et cherchez les options « Block DNS leaks », « WebRTC protection » ou « IPv6 leak protection ». Activez-les toutes, puis relancez ce test.
Activez le kill switch. Cette option coupe internet automatiquement si le tunnel VPN tombe, ce qui évite que votre trafic ne fuite en clair pendant la fraction de seconde nécessaire à la reconnexion.
Changez de protocole. Passez en WireGuard ou OpenVPN UDP. Évitez les protocoles propriétaires non éprouvés.
Désactivez WebRTC dans le navigateur. Sur Firefox : about:config → media.peerconnection.enabled → false. Sur Chrome, installez l'extension officielle « WebRTC Network Limiter ».
Changez de fournisseur VPN. Si après les étapes ci-dessus la fuite persiste, c'est que votre VPN ne fait pas correctement son travail. Choisissez un fournisseur sérieux avec audit no-log indépendant.

VPN sans fuite

Un VPN qui ne fuit pas, c'est la base.

NordVPN bloque les fuites WebRTC, DNS et IPv6 par défaut, sur Windows, macOS, Linux, iOS et Android. Kill switch automatique, audit no-log indépendant, et 30 jours satisfait ou remboursé sans condition.

Tester NordVPN pendant 30 jours Voir le comparatif complet

Bloque WebRTC, DNS et IPv6
Kill switch toutes plateformes
Audit no-log indépendant

Foire aux questions

Tout savoir sur les fuites VPN

Qu'est-ce qu'une fuite VPN exactement ?

Une fuite VPN désigne toute situation où votre adresse IP réelle, votre fournisseur d'accès ou vos requêtes DNS s'échappent du tunnel chiffré et deviennent visibles depuis l'extérieur. Le VPN est censé tout encapsuler, mais des failles côté navigateur (WebRTC), côté système (DNS Windows) ou côté protocole (IPv6 non géré) peuvent contourner la protection.
C'est quoi une fuite WebRTC et pourquoi c'est dangereux ?

WebRTC est une API du navigateur conçue pour les appels vidéo et le partage de fichiers en pair-à-pair. Pour fonctionner, elle interroge directement vos interfaces réseau et peut révéler votre IP locale et publique réelle, même quand le VPN est actif. C'est la fuite la plus courante : Chrome, Firefox, Edge et Safari sont tous concernés par défaut.
Comment fonctionne une fuite DNS ?

Quand vous tapez un nom de domaine, votre système contacte un serveur DNS pour le convertir en adresse IP. Si Windows envoie cette requête à votre FAI au lieu de la faire passer par le tunnel VPN, votre fournisseur d'accès voit chaque site visité, même avec le VPN actif. Le contenu du trafic reste chiffré, mais la liste des domaines fuit.
Et une fuite IPv6, c'est grave ?

Beaucoup de VPN ne gèrent que l'IPv4. Si votre connexion supporte IPv6 (ce qui est le cas de 75 % des connexions françaises en 2026), votre trafic IPv6 peut sortir hors du tunnel sans que vous le sachiez. Les sites accessibles en IPv6 voient alors votre IP réelle. C'est un trou silencieux car le VPN ne signale aucune erreur.
Mon VPN fuit, que faire concrètement ?

Quatre actions, par ordre d'efficacité. (1) Activez la protection contre les fuites dans l'app VPN (souvent appelée « Block DNS leaks » ou « WebRTC protection »). (2) Activez le kill switch pour couper internet si le tunnel tombe. (3) Désactivez IPv6 sur la carte réseau ou choisissez un VPN qui le gère. (4) Si rien ne marche, changez de fournisseur : NordVPN, ExpressVPN et Proton VPN passent ce test sans fuite.
Le test fonctionne-t-il sur mobile ?

Oui sur Android avec Chrome ou Firefox, et sur iOS avec Safari ou Chrome. WebRTC est plus restreint sur mobile (Safari iOS notamment), donc certains tests retournent « non testable », ce qui est plutôt rassurant que problématique. Refaites le test sur ordinateur en parallèle pour une vue complète.
Cette page envoie-t-elle mes données quelque part ?

Non. Tous les tests s'exécutent dans votre navigateur. L'API publique ipapi.co est appelée uniquement pour récupérer votre IP de référence (le serveur ne stocke rien). Aucune donnée ne transite par virtual-private-network.com : vérifiez dans l'onglet « Réseau » de votre navigateur, il n'y a aucun appel POST vers notre domaine.