Kill switch VPN : le seul réglage à activer sans réfléchir

31/08/2026

Dernière mise à jour : 05/09/2026

Un tunnel VPN tombe. Pas souvent, mais cela arrive : changement de réseau Wi-Fi, veille de l’ordinateur, serveur surchargé, application mise à jour. Sans kill switch, votre appareil fait alors la chose la plus naturelle du monde — il continue, en clair, par votre connexion habituelle. Et il ne vous le dit pas.

Ce que fait le kill switch

Il surveille le tunnel et, s’il disparaît, coupe l’accès réseau au lieu de le laisser basculer en clair. Vous perdez Internet, ce qui est visible et corrigeable, plutôt que la protection, ce qui est invisible et pas corrigeable après coup.

C’est le seul réglage dont nous disons qu’il faut l’activer sans se poser de question. Tous les autres — protocole, serveur, split tunneling — dépendent de l’usage.

Deux niveaux, souvent confondus

• Au niveau de l’application. Seuls les logiciels que vous désignez sont coupés. Utile pour un client pair-à-pair ou un navigateur précis, insuffisant si vous voulez une garantie générale.
• Au niveau du système. Tout l’appareil perd le réseau tant que le tunnel n’est pas rétabli. C’est la version qui tient réellement la promesse, et celle que nous conseillons.

Les noms commerciaux varient — « Network Lock », « Verrouillage réseau », « Kill Switch avancé ». Cherchez la description, pas l’étiquette.

Ses limites, qu’on mentionne rarement

Un kill switch protège pendant une chute de tunnel. Il ne protège pas d’une fuite DNS, où l’adresse est bien celle du VPN mais où les requêtes de résolution partent chez votre fournisseur d’accès. Ce sont deux problèmes distincts et il faut vérifier les deux.

Sur mobile, la mise en œuvre est plus fragile qu’on ne le croit : le système peut suspendre l’application VPN pour économiser la batterie, et selon la version d’Android ou d’iOS le blocage n’est pas garanti pendant la reconnexion. Le réglage « VPN permanent » du système, quand il existe, est plus fiable que celui de l’application.

Enfin, il peut vous gêner là où vous ne l’attendez pas : sur un Wi-Fi d’hôtel, la page de connexion doit être franchie avant l’établissement du tunnel, et un kill switch strict l’empêche de s’afficher. Voir VPN et Wi-Fi public.

Coupure franche ou repli silencieux : la distinction qui compte

Quand un tunnel tombe, un logiciel peut se comporter de deux façons opposées, et le vocabulaire commercial ne les distingue pas toujours.

• Il bloque — plus rien ne sort tant que le tunnel n’est pas rétabli. Vous perdez internet, visiblement, et vous savez pourquoi. C’est un coupe-circuit.
• Il laisse passer — le trafic repart par la connexion habituelle, avec votre adresse réelle, pendant que l’application tente de se reconnecter. Rien ne vous prévient. Ce n’est pas un coupe-circuit.

D’où une confusion fréquente qu’il faut lever : « reconnexion automatique » n’est pas un coupe-circuit. Une application qui se reconnecte vite mais ne bloque rien pendant l’opération laisse passer le trafic. Les deux fonctions sont utiles, elles ne remplacent pas l’une l’autre, et certaines interfaces les présentent sous un libellé unique.

Comment vérifier qu’il fonctionne — la bonne méthode et la mauvaise

Presque personne ne vérifie, et la vérification que l’on fait spontanément ne prouve rien.

La mauvaise méthode : cliquer sur « Déconnecter » dans l’application. C’est une déconnexion volontaire : le logiciel lève lui-même le blocage puisque vous le lui avez demandé. Internet revient, et vous n’avez rien appris. Le coupe-circuit sert contre les coupures involontaires, donc le test doit en simuler une.

La bonne méthode, sur ordinateur : connectez le VPN, notez l’adresse affichée par un site qui vous la montre, puis tuez le processus de l’application depuis le gestionnaire des tâches ou le moniteur d’activité — sans passer par son bouton. Rechargez ensuite la page. Deux résultats possibles :

• La page ne charge pas du tout — le coupe-circuit fait son travail.
• La page charge et affiche votre adresse réelle — il n’y a pas de coupe-circuit actif, quoi qu’annonce la page produit.

Une variante plus douce, valable sur mobile comme sur ordinateur : coupez le réseau quelques secondes — mode Avion, ou débranchez le câble — puis laissez-le revenir et regardez si le trafic repart avant le tunnel. C’est précisément le moment où les configurations reviennent à leur état par défaut.

La fenêtre du démarrage, dont personne ne parle

Voici le trou le moins documenté, et il est structurel plutôt qu’accidentel.

Entre le moment où le système d’exploitation ouvre la connexion réseau et celui où l’application VPN a démarré, s’est authentifiée et a établi le tunnel, il s’écoule quelques secondes. Pendant ces secondes, le réseau fonctionne et le coupe-circuit n’existe pas encore — il est fourni par un logiciel qui n’est pas lancé. Or c’est exactement le moment où un ordinateur envoie le plus de requêtes sans qu’on le lui demande : synchronisations, clients de messagerie, vérifications de mise à jour.

Certaines applications de bureau proposent une option qui bloque tout trafic dès le démarrage du système et ne l’autorise qu’une fois le tunnel actif. Elle porte des noms variés et n’est presque jamais activée par défaut. Si votre usage justifie un coupe-circuit, cette option est la moitié de la fonction que vous croyiez avoir.

Ce que le coupe-circuit ne protège pas : la résolution des noms

Un coupe-circuit agit sur la route du trafic. Il ne décide pas de la configuration DNS de votre système, et ce sont deux réglages séparés.

Conséquence : vous pouvez avoir un coupe-circuit qui fonctionne parfaitement et voir malgré tout la liste des sites que vous consultez partir chez votre fournisseur d’accès, parce que les requêtes de résolution sortent hors du tunnel. Le coupe-circuit supprime la fenêtre pendant laquelle tout sort en clair après une coupure ; il ne corrige pas une configuration DNS qui fuit en permanence. Ce sont deux vérifications distinctes, et la seconde se fait avec un outil de test DNS, pas en regardant son adresse IP.

Selon l’appareil, ce n’est pas la même fonction

C’est la partie que les comparatifs réduisent à une case cochée, alors que la réalité dépend entièrement du système.

• Android — la fonction est dans le système, sous le nom « Bloquer les connexions sans VPN », et elle s’applique à l’application VPN de votre choix, gratuite comprise. C’est le seul système grand public dans ce cas : où le trouver exactement.
• iOS — rien au niveau du système. Tout dépend de l’application, certaines l’annoncent sous un autre nom, d’autres le laissent désactivé par défaut : ce qu’il faut vérifier.
• Windows et macOS — fonction de l’application, en général la mieux réalisée des trois, et le seul endroit où l’on trouve les modes stricts et l’option de blocage au démarrage. Le client VPN intégré aux deux systèmes, en revanche, n’en comporte aucun : pourquoi cela compte plus sur un ordinateur.
• Sur un routeur — le comportement dépend de la configuration, pas du service : selon les règles de routage, une chute du tunnel bloque le trafic ou le renvoie par la connexion ordinaire. À vérifier au moment de l’installation : les trois emplacements possibles.

Questions fréquentes

Le kill switch est-il activé par défaut ?

Selon le fournisseur et la plateforme, parfois oui, souvent non. C’est la première chose à vérifier dans les réglages après l’installation.

Pourquoi je perds Internet de temps en temps depuis que je l’ai activé ?

Parce qu’il fonctionne. Chaque coupure correspond à un moment où, sans lui, votre trafic serait sorti en clair. Si cela devient fréquent, changez de serveur ou de protocole plutôt que de désactiver le kill switch.

Les offres gratuites en proposent-elles un ?

Les offres gratuites adossées à un éditeur payant, généralement oui. Les applications gratuites indépendantes, souvent pas. Voir notre page VPN gratuit.

Voir aussi : les protocoles VPN et VPN, c’est quoi ?