Le DNS privé chiffre seulement vos requêtes de noms ; un VPN chiffre tout votre trafic et cache votre IP aux sites que vous visitez. Avec un VPN actif, on laisse en général le DNS privé sur Automatique pour que les requêtes passent par le résolveur du VPN, dans le tunnel. Si vous indiquez plutôt le nom d’hôte d’un fournisseur, vos requêtes restent chiffrées dans le tunnel, mais les filtres DNS du VPN ne s’appliquent plus.
Android propose un réglage appelé DNS privé, et beaucoup l’activent en pensant que c’est une sorte de VPN allégé. Ce n’en est pas un, mais ce n’est pas inutile pour autant. Les deux protègent des choses différentes, et leur combinaison mérite qu’on s’y arrête avant de les associer.
Ce que fait chacun
Chaque fois qu’une appli ouvre un site, votre téléphone demande d’abord son adresse à un résolveur DNS. Le DNS privé protège cette question. Un VPN protège tout ce qui suit.
| DNS privé | VPN | |
|---|---|---|
| Ce qui est chiffré | Seulement les requêtes DNS (les noms des sites et services contactés) | Tout le trafic de vos applis, requêtes comprises |
| Qui voit encore les noms | Le fournisseur DNS choisi | Le résolveur du fournisseur VPN, si vous l’utilisez |
| Cache votre IP aux sites | Non | Oui, les sites voient l’adresse du serveur VPN |
| Cache au réseau les sites visités | En partie : les requêtes sont cachées, mais les adresses et le nom du site au début d’une connexion HTTPS souvent pas | Oui, le réseau voit une seule connexion chiffrée |
| Blocage des traqueurs ou malwares | Seulement si le fournisseur DNS le propose | Seulement si le VPN le propose |
| Intégré à Android | Oui, depuis Android 9 (DNS over TLS) | Nécessite une appli VPN |
Le DNS privé est donc une bonne amélioration à lui seul : il empêche le Wi-Fi ou votre fournisseur d’accès de lire ou de modifier vos requêtes. Mais il laisse le reste de votre trafic aussi visible qu’avant. Notre guide ce que voit votre fournisseur d’accès explique ce qu’est ce reste.
Les trois options du DNS privé
Ouvrez Paramètres › Réseau et Internet › DNS privé (sur Samsung : Paramètres › Connexions › Autres paramètres de connexion › DNS privé). Trois choix s’offrent à vous :
- Désactivé : les requêtes partent en clair vers le résolveur fourni par le réseau.
- Automatique : Android tente le DNS over TLS avec le résolveur du réseau et revient aux requêtes en clair s’il ne le prend pas en charge. C’est le réglage par défaut.
- Nom d’hôte du fournisseur DNS privé : Android envoie toutes les requêtes, chiffrées, au fournisseur indiqué, et à lui seul. S’il ne peut pas le joindre, les requêtes échouent au lieu de retomber sur le réseau.
Ce dernier comportement explique l’erreur fréquente « Impossible d’accéder au serveur DNS privé » : nom d’hôte mal saisi, fournisseur injoignable, ou réseau qui bloque le DNS over TLS (port 853). Revenir sur Automatique règle le problème aussitôt.
On demande souvent quel est l’inconvénient d’Automatique. Seul, il peut utiliser des requêtes en clair sur les réseaux qui ne gèrent pas le DNS over TLS, sans vous prévenir. Avec un VPN actif, cela n’a pas d’importance : les requêtes voyagent de toute façon dans le tunnel chiffré.
Ce qui se passe si vous utilisez les deux
C’est là que la combinaison devient intéressante.
- VPN actif, DNS privé sur Automatique ou Désactivé. Android utilise le serveur DNS configuré par le VPN, dans le tunnel. Tout est chiffré, et les filtres DNS éventuels du VPN fonctionnent.
- VPN actif, DNS privé avec un nom d’hôte. Android continue d’envoyer les requêtes à ce fournisseur. Elles restent chiffrées et passent par le tunnel, le réseau ne les voit donc pas. Mais elles contournent le résolveur du VPN : ses filtres ne s’appliquent pas, et deux sociétés au lieu d’une voient une partie de votre activité.
Aucune des deux configurations ne livre vos requêtes au réseau. Le choix porte sur qui résout vos noms et quels filtres vous voulez.
Lequel utiliser ?
- Vous voulez protéger toute votre connexion sur un Wi-Fi public : utilisez un VPN et laissez le DNS privé sur Automatique.
- Vous voulez seulement des requêtes chiffrées et faites confiance à un fournisseur DNS précis : le DNS privé seul suffit. Le réseau voit toutefois toujours à quels serveurs vous vous connectez.
- Vous voulez un fournisseur DNS précis et un VPN : indiquez son nom d’hôte et acceptez que les filtres DNS du VPN ne s’appliquent pas. Ou utilisez l’option DNS personnalisé du VPN, s’il en a une.
Filtres : ce qu’un filtre DNS peut faire, et ce qu’il ne peut pas
Beaucoup cherchent un « DNS privé sans pub ». Un filtre DNS répond « ce site n’existe pas » aux noms d’une liste : traqueurs connus, domaines de logiciels malveillants et d’hameçonnage, parfois publicités. C’est léger et cela marche dans toutes les applis. Mais il ne voit que des noms. Il ne peut ni analyser des fichiers, ni arrêter un malware déjà présent sur le téléphone, ni repérer un site d’hameçonnage qui n’est pas encore listé. Ce n’est pas un antivirus.
Comment PryVPN gère le DNS
- Tant que vous êtes connecté, votre téléphone interroge le résolveur de votre serveur PryVPN, dans le tunnel. Le résolveur vérifie DNSSEC et ne garde aucun journal des requêtes.
- Dans l’onglet Protection, vous choisissez ce qu’il filtre : Traqueurs et Malwares sont activés par défaut ; les domaines publicitaires restent désactivés tant que vous ne les activez pas. Certains domaines malveillants et d’hameçonnage connus sont toujours bloqués sur nos serveurs pour freiner les abus.
- Réglages › DNS personnalisé permet d’utiliser un autre résolveur, toujours via le tunnel ; les filtres ne fonctionnent alors plus.
- Si le DNS privé d’Android est réglé sur un nom d’hôte, les filtres ne s’appliquent pas. Le test de fuites de l’appli vous prévient quand il est activé. Notre article d’aide sur les filtres DNS et le DNS privé donne le détail.
Pour vérifier le résolveur que vous utilisez réellement, lancez le test de fuites de l’appli ; notre article d’aide sur le test de fuites explique les résultats. Et pour le protocole du tunnel, voyez notre page sur WireGuard.
Questions fréquentes
Avec un VPN, faut-il activer ou désactiver le DNS privé ?
Automatique est le choix habituel. Désactivé fonctionne pareil tant que le VPN est connecté. N’indiquez un nom d’hôte que si vous voulez précisément que ce fournisseur résolve vos noms.
Le DNS privé suffit-il sur un Wi-Fi public ?
Il cache vos requêtes, ce qui est déjà un progrès. Le réseau voit toujours les adresses auxquelles vous vous connectez, souvent les noms des sites et tout trafic non chiffré. Un VPN couvre l’ensemble.
Le DNS privé ralentit-il la navigation ?
Les requêtes chiffrées demandent un peu de travail à chaque nouvelle connexion au résolveur. Le téléphone et le résolveur gardent les réponses en cache, ce qui limite ce coût.
Si vous voulez des filtres DNS et un VPN dans une seule appli gratuite, rejoignez la bêta de PryVPN.
Sources
Vous avez repéré une erreur ? Écrivez-nous à support@pryvpn.com : nous la corrigeons et mettons la date à jour.
