Proxys, VPN et adresses résidentielles : ce qu'un site web peut et ne peut pas savoir
Tout site web voit l'adresse d'où une requête est arrivée. Ce qu'il en décide est une tout autre affaire, et les deux sont constamment confondus. Cet article sépare ce qu'un serveur peut observer de ce que vend un fournisseur de détection.
Ce que le serveur observe
Le serveur voit une adresse source et un port. À partir de l'adresse, il peut déduire, par consultation, une localisation approximative, l'organisation propriétaire de la plage (l'ASN) et si la plage est enregistrée auprès d'un fournisseur d'accès grand public, d'un hébergeur, d'un opérateur mobile ou d'une université. Il voit aussi les détails de la poignée de main TLS, les en-têtes HTTP envoyés par le client et le rythme de la connexion. C'est l'ensemble des preuves de première main.
Ce qu'ajoute une consultation
Des bases de données commerciales classent les plages d'adresses : « résidentiel », « centre de données », « sortie VPN connue », « sortie Tor », « mobile ». Elles sont construites à partir de données d'enregistrement publiques, de schémas de trafic et de listes de sorties que les fournisseurs de VPN publient ou qui ont été observées. Les sites achètent l'accès à ces bases et les interrogent sur chaque visiteur. Le verdict « Proxy : oui » de certaines pages de diagnostic est la réponse à cette question ; ce n'est pas le navigateur qui l'a dit, et il vaut ce que vaut la base qui est derrière.
C'est pourquoi un diagnostic qui n'interroge pas une telle base devrait afficher « Non testé » pour les vérifications de proxy, de liste noire et d'anonymat plutôt que de deviner. Deviner à partir des seuls signaux du navigateur serait assez souvent faux pour induire en erreur.
Proxy, VPN et résidentiel, du côté du serveur
Un VPN transporte tout le trafic d'un appareil : les requêtes HTTP du navigateur, les paquets WebRTC et les requêtes DNS sortent tous du même endroit. Le serveur voit une adresse unique et cohérente, généralement dans une plage que les bases savent appartenir à un fournisseur de VPN.
Un proxy configuré dans le navigateur ne transporte que le trafic que le navigateur lui envoie. Le HTTP passe par le proxy ; l'UDP de WebRTC peut ne pas le faire ; la résolution DNS peut se faire en local ou au niveau du proxy selon son type. Le serveur peut voir l'adresse du proxy dans la requête et, si WebRTC n'est pas contenu, une autre adresse parmi les candidats. C'est cette incohérence, et non le proxy lui-même, qui se fait remarquer.
Une adresse résidentielle est une adresse enregistrée auprès d'un fournisseur d'accès grand public. Les bases la traitent comme la catégorie la moins suspecte, car c'est ce qu'ont la plupart des vrais visiteurs. Les réseaux de proxys résidentiels font passer le trafic par de telles adresses, ce qui explique leur prix élevé et pourquoi les fournisseurs de détection s'efforcent de les identifier par le comportement plutôt que par l'enregistrement.
Les vérifications qui n'ont pas besoin de base de données
Trois comparaisons fonctionnent sans aucun fournisseur. Le fuseau horaire du navigateur correspond-il à celui de l'adresse ? Le candidat WebRTC correspond-il à l'adresse de la requête ? La liste des langues cadre-t-elle avec la région ? Aucune ne prouve quoi que ce soit, mais chacune est gratuite, et une discordance sur les trois est difficile à expliquer. Un diagnostic qui les affiche côte à côte vous donne la même vue qu'un site avant qu'il ne dépense de l'argent pour une consultation.
Ce qu'il faut retenir
L'adresse est un fait. La classification est une opinion venue d'une base de données que vous ne pouvez pas voir. La cohérence entre l'adresse et tout ce que le navigateur signale par ailleurs est la partie que vous contrôlez, et c'est celle qui vaut la peine d'être vérifiée.
