Ce que vérifie un proxy check
Quand vous entrez une adresse IP dans notre outil, on la passe au crible de plusieurs bases de données qui référencent les serveurs proxy, les noeuds de sortie VPN, les relais Tor et les machines compromises. Le résultat, c'est une fiche complète qui dit en clair si cette IP est utilisée pour masquer l'identité de quelqu'un, ou si c'est une connexion résidentielle classique.
Chaque type de détection correspond à un usage différent. Un VPN détecté ne veut pas dire que l'utilisateur fait quelque chose de louche. Par contre, une IP marquée comme compromise ou utilisée par un scraper, c'est un signal qui mérite attention. Le score de risque qu'on affiche synthétise l'ensemble de ces détections en un chiffre simple à lire.
Proxy, VPN, Tor : les différences concrètes
Un proxy est un serveur intermédiaire. Votre navigateur envoie ses requêtes au proxy, qui les transmet à destination à votre place. Le site web voit l'IP du proxy, pas la vôtre. Il existe des proxys transparents qui transmettent quand même votre vraie IP dans les en-têtes, et des proxys anonymes qui la masquent complètement. La différence n'est pas visible pour l'utilisateur, mais elle l'est pour un outil de détection.
Un VPN chiffre tout votre trafic et le fait transiter par un serveur distant. C'est plus complet qu'un proxy parce que ça couvre toutes les applications, pas seulement le navigateur. Tor, de son côté, fait passer votre connexion par trois relais successifs gérés par des volontaires dans le monde entier. C'est beaucoup plus lent, mais aussi beaucoup plus difficile à tracer. Chaque technologie a son empreinte, et c'est ça qui permet de les détecter.
Comment la détection fonctionne-t-elle vraiment
La détection repose sur plusieurs méthodes croisées. La première, la plus directe, c'est de vérifier si l'IP figure dans des listes connues de serveurs VPN, de noeuds Tor ou de proxys ouverts. Ces listes sont maintenues par des organisations spécialisées qui scannent internet en permanence et référencent les adresses utilisées par les principaux fournisseurs.
La deuxième méthode est comportementale. Une IP d'hébergeur (OVH, AWS, DigitalOcean) qui reçoit du trafic web classique, c'est suspect : les particuliers ne naviguent pas depuis un datacenter. De même, une IP qui envoie des milliers de requêtes en quelques minutes sera marquée comme scraper. Le score de confiance reflète à quel point le système est sûr de son diagnostic.
Le score de risque : comment le lire
Le score va de 0 à 100. Zéro, c'est une IP propre, sans aucun signal négatif. C'est ce que vous verrez pour une connexion résidentielle classique chez Orange, Free ou SFR sans VPN ni proxy. Plus le score monte, plus il y a de signaux qui indiquent que l'IP est utilisée à des fins d'anonymisation ou qu'elle a été impliquée dans des activités suspectes.
Un score de 20 ou 30 ne veut pas forcément dire qu'il y a un problème. Ça peut simplement indiquer que l'IP appartient à un hébergeur, ce qui est parfaitement légitime pour un site web. Un score au-dessus de 60, par contre, signale généralement un VPN, un proxy ouvert ou une machine compromise. Le contexte compte : un score élevé n'est pas un verdict, c'est un indicateur.
IP d'hébergement : pourquoi c'est un signal
Quand notre outil indique « Hébergement : détecté », ça veut dire que l'IP appartient à un fournisseur de serveurs (datacenter) plutôt qu'à un opérateur grand public. Ce n'est pas nécessairement suspect, un site web ou une API tourne forcément sur un serveur. Mais pour un visiteur humain, naviguer depuis une IP de datacenter est inhabituel.
Les services de fraude s'intéressent beaucoup à cette distinction. Quand un paiement en ligne vient d'une IP d'hébergeur plutôt que d'une IP résidentielle, c'est un facteur de risque supplémentaire. Les proxy résidentiels existent justement pour contourner cette détection : ils font transiter le trafic par de vraies connexions domestiques, ce qui les rend beaucoup plus difficiles à repérer.
IP compromises et scrapers
Une IP marquée comme compromise est généralement une machine infectée par un malware qui sert de relais à l'insu de son propriétaire. Des botnets entiers fonctionnent comme ça : des milliers de PC et de routeurs piratés utilisés pour envoyer du spam, lancer des attaques DDoS ou servir de proxy. Si votre propre IP apparaît comme compromise, ça peut vouloir dire que votre box ou un appareil de votre réseau est infecté.
Les scrapers, c'est différent. Ce sont des programmes automatisés qui aspirent le contenu de sites web en masse. Certains sont légitimes, comme les robots de Google, mais beaucoup ne le sont pas. Une IP qui envoie un volume anormal de requêtes sur un temps court est automatiquement flagée. Les dates de première et dernière détection qu'on affiche permettent de savoir si le comportement est récent ou ancien.
Les limites de la détection
Aucun outil de détection n'est fiable à 100%. Les proxys résidentiels rotatifs, par exemple, utilisent de vraies adresses IP domestiques qui changent constamment. Tant qu'une de ces IP n'a pas été repérée et ajoutée aux bases de données, elle passe entre les mailles du filet. De même, un VPN tout neuf avec des IP fraîches ne sera pas immédiatement détecté.
Dans l'autre sens, il arrive aussi qu'une IP soit marquée à tort. Si votre opérateur vous attribue une IP qui était précédemment utilisée par quelqu'un de malveillant, vous pouvez hériter de son mauvais score. Ça se corrige généralement avec le temps, au fur et à mesure que les bases de données se mettent à jour, mais c'est bon à savoir.