Kill Switch dans VPN : qu'est-ce que c'est et à quoi ça sert

Kill Switch dans un VPN : qu'est-ce que c'est et à quoi ça sert

Le kill switch dans un VPN est une fonction de sécurité qui bloque automatiquement tout le trafic Internet si la connexion au serveur VPN est interrompue ou instable. Imaginez : vous regardez YouTube via un VPN, et soudain la connexion tombe pendant quelques secondes. Sans kill switch, votre véritable adresse IP devient visible pour le fournisseur. Avec le kill switch, c'est simple : Internet est complètement bloqué tant que le VPN ne se reconnecte pas. C'est critique pour ceux qui contournent les blocages de YouTube, TikTok, Instagram, Facebook, Twitter/X et Telegram dans des pays avec une censure stricte.

Dans cet article, nous allons examiner comment fonctionne le kill switch dans un VPN, s'il protège contre le DPI et Roskomnadzor, comment le configurer sur Windows, macOS, iOS, Android, et nous montrerons de vrais tests de fuite IP. Ce n'est pas un matériel marketing — juste des informations honnêtes sur ce que le kill switch peut faire et ce qu'il ne peut pas faire.

Qu'est-ce que le kill switch dans un VPN et comment ça fonctionne

Définition et principe de base

Le kill switch est un filtre réseau qui s'active lors d'une interruption ou d'une instabilité de la connexion au serveur VPN. La fonction est simple : si la connexion est perdue, le kill switch bloque immédiatement tout le trafic sortant jusqu'à ce que le VPN soit rétabli.

Voici comment cela fonctionne en réalité. Vous êtes connecté au VPN via WireGuard, votre IP est cachée. Le serveur perd le signal pendant 3 secondes. Pendant ces 3 secondes, sans kill switch, votre navigateur demanderait YouTube avec votre véritable IP, et le fournisseur enregistrerait cette tentative d'accès. Avec le kill switch, Internet cesse simplement de fonctionner — aucun paquet ne passera tant que le VPN ne se reconnecte pas.

Ce n'est PAS de la magie. Le kill switch ne chiffre pas le trafic, ne le cache pas du DPI et ne protège pas contre Roskomnadzor. C'est simplement un blocage au niveau du système d'exploitation ou de l'application. Certaines personnes pensent que le kill switch les protège de tous les problèmes — ce n'est pas le cas. Nous vous dirons la vérité ci-dessous.

Différence entre le kill switch système et l'application VPN

Il existe deux façons de mettre en œuvre le kill switch : au niveau de l'application VPN ou au niveau du système d'exploitation.

Kill switch dans l'application VPN — c'est simplement une option dans les paramètres. Vous cochez une case, et l'application surveille sa connexion. Si la connexion tombe, l'application envoie une commande au système d'exploitation pour bloquer tout Internet (sauf elle-même). C'est simple, mais incomplet — si l'application VPN plante ou se fige, le kill switch peut ne pas fonctionner.

Kill switch système fonctionne au niveau du pare-feu du système d'exploitation ou même du routeur. Par exemple, sur macOS, cela peut être le filtre de paquets PF, sur Windows — le pare-feu Windows intégré. Le kill switch système fonctionne indépendamment de l'application VPN, donc il est plus fiable. Si l'application plante, le système bloquera quand même le réseau.

Sur le routeur, le kill switch fonctionne au niveau réseau et protège tous les appareils connectés simultanément. C'est le plus puissant, mais cela nécessite une configuration correcte et une connexion plus stable.

Comment le kill switch bloque le trafic lors de la perte de connexion

La mécanique est simple. Lorsque le VPN est connecté, votre appareil a deux activités réseau :

• Trafic à l'intérieur du tunnel VPN (protégé)
• Réseau local (192.168.x.x, impression, routeur, etc.)

Le kill switch surveille le tunnel VPN. Dès que le tunnel est rompu, la règle du pare-feu s'active et bloque tout le trafic sortant, sauf celui nécessaire pour se reconnecter au serveur VPN.

En pratique, cela ressemble à ceci : vous avez ouvert un onglet avec YouTube, mais le VPN s'est déconnecté. Sans kill switch, le navigateur enverrait une demande à YouTube avec votre véritable IP — le fournisseur le voit. Avec le kill switch, le navigateur n'envoie rien, Internet ne fonctionne tout simplement pas. En 1 à 5 secondes, le VPN se reconnecte (la vitesse dépend du protocole), le kill switch lève le blocage, YouTube se charge comme si de rien n'était.

Kill switch et protection contre les blocages des fournisseurs : une aide réelle

Le kill switch protège-t-il contre le DPI et le ralentissement par le fournisseur

La réponse courte : non, le kill switch ne protège pas contre le DPI.

Voici pourquoi. Le DPI (Deep Packet Inspection) est une analyse du trafic au niveau des paquets. Le fournisseur voit que vous utilisez un VPN non pas parce qu'il voit votre adresse IP, mais parce que les motifs de trafic trahissent le VPN (paquets chiffrés avec une taille, une fréquence et des métadonnées caractéristiques). Le kill switch est impuissant ici — il bloque seulement les fuites IP évidentes via le navigateur.

Si le fournisseur souhaite bloquer le VPN via le DPI, il bloquera soit le protocole lui-même (par exemple, les ports OpenVPN 1194 ou WireGuard 51820), soit les motifs de trafic dans leur ensemble. Le kill switch ne prévient pas cela. Le fournisseur voit toujours que vous utilisez un VPN et peut ralentir ou bloquer la connexion.

Ce que fait le kill switch — protège contre la fuite de votre véritable IP en cas de panne. Ce sont des choses différentes. Le kill switch est nécessaire pour la confidentialité, il ne résout pas le blocage par le DPI.

Kill switch lors du contournement de YouTube, TikTok, Instagram, Facebook, Twitter/X, Telegram

Le kill switch aide à contourner ces services uniquement dans un scénario : si la connexion VPN est perdue pendant quelques secondes. Imaginez — vous regardez TikTok via un VPN, le fournisseur a décidé de gêner et a rompu la connexion (cela peut se produire au niveau du routeur). Sans kill switch, vous ouvrirez TikTok avec votre véritable IP pendant 5 à 10 secondes, et le fournisseur enregistrera la tentative. Avec le kill switch, Internet se déconnectera simplement, vous n'ouvrirez rien.

Mais si le fournisseur bloque activement le VPN via le DPI, le kill switch ne sera pas utile. Par exemple, Beeline, Rostelecom et MTS en Russie utilisent le DPI pour détecter OpenVPN et WireGuard sur des ports standards. Le kill switch ne peut pas contourner ce blocage — il faut changer de protocole pour Shadowsocks, VLESS/XRay ou Amnezia.

C'est pourquoi le kill switch n'est pas la protection principale contre les blocages, c'est un niveau supplémentaire de confidentialité en cas de panne de connexion.

Pourquoi le kill switch ne sauve pas si le fournisseur bloque les ports VPN

Si le fournisseur a bloqué les ports (par exemple, 1194 pour OpenVPN ou 51820 pour WireGuard), le kill switch n'a absolument aucune importance. Le kill switch s'active uniquement si la connexion a été établie puis rompue. Si le serveur VPN ne peut pas se connecter dès le départ, le kill switch ne pourra pas aider.

Dans ce cas, il faut :

• Changer de protocole pour Shadowsocks ou VLESS/XRay (plus facile à bloquer)
• Utiliser des ports non standards (par exemple, WireGuard sur 443 au lieu de 51820)
• Essayer Amnezia ou Stealth VPN, qui cachent le fait même d'utiliser un VPN
• Utiliser des serveurs proxy intermédiaires avant le VPN

Le kill switch n'est tout simplement pas nécessaire dans ce scénario — la connexion ne sera pas établie.

Tests et exemples réels : fuites IP lors de la déconnexion du VPN

Comment vérifier que le kill switch fonctionne (sans kill switch vs avec kill switch)

Voici un test pratique que vous pouvez faire dès maintenant. Vous avez besoin d'un site pour vérifier l'IP, par exemple whoami.akamai.net ou myip.com.

Étape 1 : Ouvrez whoami.akamai.net dans votre navigateur. Notez votre adresse IP réelle (elle ressemble à 192.168.1.100 ou xxx.xxx.xxx.xxx).

Étape 2 : Connectez-vous au VPN (par exemple, via NvoVPN, ExpressVPN, ProtonVPN, Mullvad ou tout autre service). Ouvrez à nouveau whoami.akamai.net. Vous devriez voir une autre adresse IP — c'est l'adresse IP du serveur VPN. Si l'IP n'a pas changé, le VPN ne fonctionne pas.

Étape 3 (test sans kill switch) : Déconnectez le VPN dans les paramètres réseau (pas via l'application, mais directement dans les paramètres Wi-Fi ou Ethernet). Ouvrez immédiatement whoami.akamai.net. Si le kill switch est désactivé, vous verrez votre adresse IP réelle — c'est une fuite. Votre fournisseur voit que vous avez ouvert ce site.

Étape 4 (test avec kill switch) : Connectez-vous à nouveau au VPN, activez le kill switch dans les paramètres de l'application VPN. Répétez l'étape 3 — déconnectez le VPN. Cette fois, whoami.akamai.net ne se chargera pas du tout. C'est normal, le kill switch bloque tout le trafic. Reconnectez-vous au VPN, et le site se chargera.

La différence est évidente. Sans kill switch, vous voyez une fuite IP en 1-2 secondes. Avec kill switch, il n'y a pas de fuite, car le navigateur ne peut rien envoyer.

Test de fuite DNS lors de la déconnexion de la connexion

Le kill switch protège contre les fuites IP, mais pas toujours contre les fuites DNS. DNS est un service qui traduit le nom du site (youtube.com) en adresse IP. Si votre appareil utilise le DNS du fournisseur (Rostelecom, Beeline, etc.), il voit quels sites vous visitez, même si vous êtes en VPN.

Pourquoi ? Parce que la requête DNS peut aller au serveur du fournisseur au niveau des paramètres réseau, contournant le tunnel VPN. Le kill switch ne peut pas intercepter la fuite DNS au niveau du système d'exploitation.

Vérifiez cela sur dnsleaktest.com. Allez-y via le VPN avec le kill switch activé. Si vous voyez les serveurs DNS du fournisseur (Rostelecom, Beeline, MTS) au lieu des serveurs VPN, alors le DNS fuit. Cela signifie que le fournisseur voit quels sites vous visitez.

Solution : dans les paramètres de l'application VPN, configurez les protocoles DNS-over-HTTPS ou DNS-over-TLS (généralement DOH et DOT respectivement). Cela garantit que toutes les requêtes DNS passent par le tunnel VPN, et non directement au fournisseur. La plupart des applications VPN modernes le prennent en charge.

Fuites WebRTC et rôle du kill switch

WebRTC est un protocole pour les appels vidéo et les flux multimédias dans le navigateur. Le problème est que WebRTC peut révéler votre adresse IP réelle même si vous êtes en VPN. Voici pourquoi :

Le navigateur utilise WebRTC pour détecter l'adresse IP locale et publique afin d'optimiser la connexion. Cette information est transmise sans cryptage et peut être interceptée par du code JavaScript sur le site. Le kill switch NE protège PAS contre les fuites WebRTC, car le trafic se déroule à l'intérieur du navigateur, et non au niveau des paquets réseau.

Vérifiez-vous sur ipleak.net. Si vous voyez votre adresse IP réelle dans la section WebRTC, cela signifie qu'il y a une fuite. Solution : désactivez WebRTC dans le navigateur.

Sur Firefox, c'est simple — ouvrez about:config, trouvez media.peerconnection.enabled et mettez-le sur false. Sur Chrome, c'est plus compliqué — vous avez besoin d'une extension comme WebRTC Leak Prevent ou CyberGhost (elles bloquent WebRTC au niveau du navigateur). Le kill switch ne sera pas utile ici, car la fuite se produit à l'intérieur du navigateur.

Configuration du kill switch sur différents appareils et protocoles

Kill switch sur Windows : pare-feu intégré vs application VPN

Sur Windows, il existe deux façons de configurer le kill switch : via l'application VPN (facile) ou via le pare-feu Windows (plus compliqué, mais plus fiable).

Méthode 1 : Kill switch dans l'application VPN (recommandé pour la plupart)

Presque toutes les applications VPN sur Windows ont une option Kill Switch. Cherchez-la dans les paramètres de l'application :

• Ouvrez l'application VPN
• Allez dans Paramètres ou Préférences
• Trouvez l'option "Kill Switch" ou "Network Lock" ou "Internet Kill Switch"
• Cochez la case à côté

Certaines applications permettent de configurer le comportement du kill switch. Par exemple, dans NvoVPN et ProtonVPN, il existe des options :

• "Bloquer tout le trafic" — bloque tout le trafic en cas de défaillance
• "Autoriser le réseau local" — autorise le trafic local (impression, accès au routeur sur 192.168.x.x)
• "Liste blanche des applications" — exclure certaines applications du blocage

Nous recommandons d'activer "Autoriser le réseau local", sinon vous ne pourrez pas imprimer sur une imprimante locale ou vous connecter au routeur tant que le kill switch est actif.

Méthode 2 : Kill switch via le pare-feu Windows (utilisateurs avancés)

Si votre application VPN n'a pas de kill switch intégré, vous pouvez le configurer via le pare-feu Windows :

1. Ouvrez Windows Security (recherche dans le menu Démarrer)
2. Allez dans Pare-feu & protection du réseau
3. Cliquez sur Autoriser une application via le pare-feu
4. Cliquez sur Modifier les paramètres, puis sur Autoriser une autre application
5. Sélectionnez votre application VPN
6. Assurez-vous que seules les réseaux privés (Privé) sont autorisés, laissez les réseaux publics (Public) désactivés

Cette méthode est plus limitée que le kill switch dans l'application, car elle nécessite une gestion manuelle des règles. Le kill switch dans l'application VPN automatise tout cela.

Configuration sur macOS et iOS : limitations du système

macOS : Kill switch via Préférences Système

Sur macOS, le kill switch est réalisé via le filtre de paquets intégré PF (Packet Filter). La plupart des applications VPN (Mullvad, ProtonVPN, Windscribe) ont un kill switch intégré qui active automatiquement les règles PF.

Pour activer le kill switch sur macOS dans l'application VPN :

• Ouvrez l'application VPN
• Allez dans Préférences ou Paramètres
• Trouvez l'option "Kill Switch" ou "Network Lock"
• Activez-la
• Le système vous demandera le mot de passe administrateur — saisissez-le

Le kill switch sur macOS fonctionne au niveau système via le pare-feu PF, donc il est plus fiable que sur Windows. Si l'application VPN plante, le kill switch fonctionnera toujours.

iOS : Kill switch limité par le système

Sur iOS, le kill switch a des limitations strictes car Apple ne permet pas aux applications de contrôler complètement le réseau.

Le kill switch sur iOS fonctionne uniquement à l'intérieur de l'application VPN. Si vous fermez l'application ou si iOS passe à un autre réseau (par exemple, de Wi-Fi à mobile 4G), le kill switch ne pourra pas intercepter ce changement.

Voici un scénario problématique : vous êtes connecté au VPN via Wi-Fi, regardez TikTok, le kill switch est activé. Le Wi-Fi se déconnecte soudainement. iOS passe automatiquement au réseau mobile 4G. Le kill switch NE fonctionnera PAS, car c'est une action système, et non une erreur de connexion VPN. Votre véritable IP sera visible sur TikTok pendant quelques secondes, le temps que l'application VPN se reconnecte.

Solution : désactivez manuellement le Wi-Fi (via le Centre de contrôle) avant d'activer le réseau mobile, si vous vous inquiétez d'une fuite d'IP. Cela donnera à l'application VPN le temps de se reconnecter au réseau mobile sans perte de trafic.

Android : comment trouver l'option kill switch dans l'application VPN

Sur Android, le kill switch se trouve à différents endroits selon l'application VPN, mais le principe général est le même.

Étapes standard pour la plupart des applications VPN :

1. Ouvrez l'application VPN
2. Cliquez sur l'icône de menu (trois points) ou allez dans Paramètres
3. Trouvez la section Sécurité, Confidentialité ou Paramètres avancés
4. Recherchez l'option "Kill Switch" ou "Network Lock" ou "Always-on VPN"
5. Activez-la

Configuration supplémentaire sur Android :

Sur Android 10+, vous pouvez activer "Always-on VPN" dans les paramètres système (Paramètres → Avancé → VPN). Cela garantit que si la connexion est perdue, tout le trafic sera bloqué au niveau système.

Pour un kill switch plus fiable sur Android :

• Activez "Bloquer le trafic non chiffré" dans les paramètres VPN (si disponible)
• Activez "VPN toujours actif" dans les paramètres système
• Désactivez "Autoriser le contournement du VPN" si l'option est disponible

Sur Android, le kill switch fonctionne mieux que sur iOS, car le système permet plus de contrôle. Mais il y a toujours un risque lors du changement entre les réseaux.

Kill switch sur le routeur : protection de tous les appareils en même temps

Le kill switch sur le routeur est la méthode la plus puissante, car il protège tous les appareils connectés simultanément (smartphones, TV, ordinateurs portables, imprimantes, etc.).

Comment cela fonctionne : si le routeur perd la connexion avec le VPN, il coupe Internet pour tous les appareils dans la maison. Le kill switch sur le routeur bloque non pas une application individuelle, mais tout le trafic sortant.

Configuration du kill switch sur le routeur avec OpenVPN :

La plupart des routeurs modernes avec support OpenVPN (DD-WRT, OpenWrt, Tomato, Asus AiProtection) ont un kill switch intégré. Cherchez dans les paramètres du routeur :

• Connectez-vous au panneau d'administration du routeur (généralement 192.168.1.1 ou 192.168.0.1)
• Allez dans la section VPN ou OpenVPN
• Trouvez l'option "Kill Switch" ou "Bloquer Internet si le VPN se déconnecte"
• Activez-la

Configuration du kill switch sur le routeur avec WireGuard :

WireGuard sur le routeur nécessite une configuration plus complexe. Il faut créer une règle de pare-feu qui bloque le trafic si l'interface wg0 est inactive :

Dans OpenWrt (via SSH) : ajoutez une règle dans le fichier /etc/config/firewall :

config rule
    option src 'lan'
    option dest 'wan'
    option target 'REJECT'
    option enabled '0'

C'est un peu compliqué pour les débutants, donc beaucoup utilisent un script de surveillance qui vérifie l'état de WireGuard toutes les 10 secondes et coupe Internet si la connexion est perdue.

Cas particulier : déconnexions fréquentes du kill switch sur le routeur

Si votre routeur perd la connexion avec le VPN toutes les 30 minutes, le kill switch bloquera tout Internet dans la maison pendant 30 secondes à chaque fois. Ce n'est pas pratique. Solution : améliorez la stabilité de la connexion VPN sur le routeur :

• Vérifiez les journaux du routeur (Système → Journal) pour les raisons de déconnexion
• Changez de serveur VPN pour un plus stable (choisissez des serveurs plus proches de votre emplacement)
• Essayez un autre protocole (WireGuard se reconnecte plus rapidement que OpenVPN)
• Désactivez temporairement le kill switch et réglez l'intervalle de reconnexion à 5-10 secondes au lieu d'une attente infinie

WireGuard vs OpenVPN vs IKEv2 vs Shadowsocks : support du kill switch

Différents protocoles ont un support différent du kill switch. Voici une comparaison :

WireGuard + kill switch : Meilleur choix pour la plupart. Le kill switch est intégré dans l'application, se reconnecte rapidement (1-2 secondes). Le seul problème est que WireGuard peut être facilement bloqué par DPI, donc si le fournisseur bloque activement, des ports non standards ou un autre protocole sont nécessaires.

OpenVPN + kill switch : Le kill switch sur OpenVPN nécessite un script supplémentaire killswitch.sh, c'est plus compliqué. La reconnexion est plus lente (3-5 secondes), donc le risque de fuite d'IP est plus élevé. Recommandé uniquement si d'autres protocoles ne fonctionnent pas.

IKEv2 + kill switch : Intégré dans le système sur iOS et Windows, fonctionne rapidement (2-3 secondes). Mais IKEv2 n'est pas aussi populaire et tous les services VPN ne le prennent pas en charge.

Shadowsocks + kill switch : Shadowsocks n'est pas un VPN en soi, c'est un proxy. Le kill switch est mis en œuvre via une application wrapper externe (par exemple, Clash ou Quantumult). La reconnexion est rapide (0.5-1 seconde) et plus difficile à bloquer par le fournisseur. C'est un bon choix pour contourner le DPI, mais nécessite plus de configurations.

Kill switch sur Smart TV, Apple TV, consoles et IoT : caractéristiques

Pourquoi le kill switch ne fonctionne-t-il souvent pas sur les Smart TV

La plupart des Smart TV (Samsung, LG, Sony, Xiaomi) n'ont pas d'application VPN complète avec kill switch. Les TV utilisent des systèmes d'exploitation comme WebOS, TizenOS ou Android TV, qui ont de fortes limitations sur le contrôle du réseau.

Solution : configurez le VPN au niveau du routeur, et non sur la TV elle-même. Si le routeur est connecté au VPN, tous les appareils de la maison (y compris la TV) utilisent automatiquement le VPN. Le kill switch fonctionne au niveau du routeur, donc il protège tout.

Voici à quoi cela ressemble en réalité : votre routeur est connecté à un VPN avec le kill switch activé. La Smart TV est connectée au routeur. Vous ouvrez YouTube sur la TV. Si le routeur perd la connexion avec le VPN, le kill switch coupe toute l'internet dans la maison. YouTube sur la TV affichera une erreur au lieu de la vidéo. Après 5 à 10 secondes, le routeur se reconnecte, et YouTube fonctionne à nouveau.

C'est bon pour la confidentialité (le fournisseur ne voit pas votre véritable IP), mais cela peut être agaçant si la connexion VPN est instable. Vérifiez les journaux du routeur et assurez-vous que le VPN se reconnecte de manière stable (pas plus d'une fois par heure).

Contourner les blocages de YouTube, Netflix sur la TV avec un VPN

Le kill switch aide à contourner les blocages de YouTube et Netflix sur la TV uniquement si la connexion VPN est temporairement perdue. Si le fournisseur bloque activement le VPN (DPI), alors :

• YouTube sur la TV ne se chargera pas du tout
• Netflix affichera l'erreur "Vous semblez utiliser un VPN" (certains services bloquent les comptes VPN)
• TikTok ne s'ouvrira pas du tout sur la TV (il n'y a pas d'application officielle pour la plupart)

Le kill switch ne sauve pas ici — c'est une question de blocage au niveau du protocole.

Pour que YouTube et Netflix fonctionnent sur la TV via un VPN :

• Assurez-vous que le routeur est connecté au VPN (pas la TV directement)
• Choisissez un serveur VPN dans un autre pays, si YouTube ou Netflix est bloqué dans votre pays
• Utilisez le protocole Shadowsocks ou VLESS au lieu de WireGuard/OpenVPN standard, si le fournisseur bloque
• Si le VPN ne se connecte pas du tout, cela signifie que le fournisseur a bloqué même les protocoles obfusqués — des méthodes plus avancées sont nécessaires

Kill switch sur les consoles de jeux (PS5, Xbox Series X)

Sur les consoles, il n'est pas possible d'installer directement une application VPN. Le seul moyen d'utiliser un VPN sur la console est de le configurer au niveau du routeur ou de créer un réseau Wi-Fi virtuel avec le VPN.

Méthode 1 : VPN sur le routeur (recommandé)

Toutes les consoles sont connectées au routeur via Wi-Fi ou Ethernet. Si le routeur utilise un VPN, la console est automatiquement protégée. Le kill switch fonctionne au niveau du routeur, donc si la connexion VPN est perdue, toute l'internet pour la console est bloquée.

Méthode 2 : réseau VPN sur l'ordinateur

Si votre routeur ne prend pas en charge le VPN, vous pouvez créer un réseau Wi-Fi virtuel sur votre ordinateur (Windows ou macOS) et partager la connexion VPN avec la console. C'est plus compliqué, mais ça fonctionne.

Le kill switch dans ce scénario fonctionne au niveau de l'ordinateur et de l'application VPN, mais pas au niveau de la console. Si l'ordinateur se déconnecte, la console perd l'accès à Internet.

Le problème avec les deux méthodes : le fournisseur peut bloquer les services web de la console (PS Store, Xbox Game Pass) au niveau IP ou DPI. Le kill switch ne peut pas résoudre ce problème, car il s'agit d'un blocage au niveau du service, pas d'une fuite IP.

FAQ : Questions fréquentes sur le kill switch VPN expliqué