Faux positifs de la détection de VPN : qui est signalé à tort, et que faire

Pendant une décennie, la règle anti-fraude était simple : IP masquée, risque plus élevé. Signalez les VPN, bloquez les proxys, passez à autre chose. En 2026, cette règle fait discrètement perdre du chiffre d'affaires, car la population qui se cache derrière des IP anonymisées a changé. Une part croissante de celle-ci est constituée de vos meilleurs clients : des utilisateurs d'iPhone avec iCloud Private Relay activé, des acheteurs soucieux de leur vie privée sur un VPN, et des acheteurs mobiles qui partagent une même adresse d'opérateur avec des milliers de voisins. 47 % des commerçants déclarent que les faux refus leur font perdre des ventes, et Apple dit la même chose aux opérateurs réseau, de l'autre côté : « Traditional fraud detection that relies on IP addresses might need to be adjusted to ensure legitimate users aren't impacted » (la détection de fraude traditionnelle fondée sur les adresses IP peut devoir être ajustée pour ne pas pénaliser les utilisateurs légitimes) (Apple, Prepare your network for iCloud Private Relay).

Pendant ce temps, le trafic que vous devez réellement arrêter a pris le chemin inverse : les attaquants les plus dangereux ne viennent plus du tout de plages de datacenter évidentes. Ils passent par des IP résidentielles qui ressemblent exactement à un vrai client. Le réflexe binaire « bloquer le trafic anonymisé » échoue donc doublement : il pénalise de vrais utilisateurs et laisse passer les vraies menaces. Voici comment les distinguer, en partant de ce que la détection de VPN et de proxy peut réellement voir.

Si vous êtes arrivé ici en tant que personne bloquée, et non en tant que site qui bloque, lisez ce que peut faire un visiteur signalé à tort.

D'où viennent les faux positifs de la détection de VPN

La plupart des faux positifs de la détection de VPN concernent des personnes légitimes dont l'IP est masquée ou partagée pour des raisons ordinaires. Une grande partie du trafic anonymisé provient d'utilisateurs payants qui ne fraudent pas :

• Les VPN grand public sont courants. Dans l'enquête d'août 2026 de Security.org auprès de 1 008 adultes américains, 42 % déclaraient utiliser un VPN, et les principales raisons sont la confidentialité (56 %) et la sécurité (51 %) en général, sans le moindre motif lié à la fraude dans la liste. Bloquez tout le trafic VPN et vous refoulez par construction des clients soucieux de leur vie privée.
• Les VPN d'entreprise et les voyageurs. Des salariés qui passent par le VPN de leur entreprise, ou des clients qui se connectent depuis l'étranger, apparaissent légitimement chaque jour sur des IP « étrangères » ou proches de datacenters.
• Les utilisateurs mobiles derrière un CGNAT. Les opérateurs ont épuisé leurs IPv4 depuis longtemps : les réseaux mobiles placent donc d'énormes quantités d'abonnés réels derrière une poignée d'adresses partagées via le NAT de niveau opérateur (Carrier-Grade NAT). Une seule IP mobile peut servir de façade à des milliers de clients authentiques. Bloquez-la à cause d'une seule session malveillante et vous bloquez tout un quartier de vrais acheteurs. C'est ce même espace d'adressage partagé qui rend les proxys mobiles si difficiles à détecter.
• Cloudflare WARP. Un service de confidentialité grand public et gratuit, pas un proxy de fraude ; voici comment reconnaître le trafic WARP.

Et puis il y a le cas qui met complètement en échec une détection naïve : Apple iCloud Private Relay.

iCloud Private Relay n'est pas un VPN : ne l'évaluez pas comme tel

Private Relay est un relais de confidentialité, pas un VPN : selon la présentation d'Apple elle-même, il répartit chaque connexion sur deux sauts afin qu'aucune partie ne voie à la fois l'utilisateur et la destination, et il ne permet pas aux utilisateurs de paraître se connecter depuis un autre pays ou une autre région. Apple valide chaque connexion au niveau de l'appareil et du compte et réserve le service aux appareils Apple disposant d'un abonnement iCloud+ payant : signaler une IP de relais comme proxy anonyme revient donc à refuser des clients payants vérifiés. Notre guide pour détecter iCloud Private Relay et WARP explique comment reconnaître ce trafic et le laisser passer.

Le côté malveillant : les proxys résidentiels sont la vraie menace

Qu'est-ce qui devrait alors déclencher l'alarme ? La catégorie conçue précisément pour déjouer le réflexe « faire confiance aux IP résidentielles » : les réseaux de proxys résidentiels.

Un proxy résidentiel fait passer le trafic d'un attaquant par une IP appartenant à un FAI et attribuée à un vrai foyer ou à une petite entreprise, généralement récoltée par des applications et SDK piégés qui enrôlent silencieusement des appareils grand public comme nœuds de sortie. Pour votre serveur, cela ressemble à un client ordinaire chez un FAI grand public. C'est tout l'intérêt, et c'est pourquoi le Threat Intelligence Group de Google les qualifie de sérieux défi pour les défenseurs : lorsque le GTIG a démantelé le réseau IPIDEA en janvier 2026, il a constaté que plus de 550 groupes malveillants suivis distincts (dont des acteurs liés aux États chinois, nord-coréen, iranien et russe) utilisaient les nœuds de sortie d'IPIDEA sur une seule fenêtre de sept jours pour des intrusions SaaS, des accès à des systèmes sur site et des attaques par pulvérisation de mots de passe.

C'est l'inversion qui met en échec les règles héritées : le VPN de datacenter est surtout votre client ; l'IP « résidentielle » peut être l'attaquant. Et la pression des volumes est réelle : les bots automatisés dépassent désormais le trafic web humain, avec plus de 53 % de l'ensemble des requêtes en 2025, et les agents IA émergent comme une nouvelle catégorie qui brouille encore davantage la frontière entre automatisation légitime et abus. Notre guide pour détecter le trafic de bots par IP classe cette automatisation en catégories, des robots d'exploration vérifiés aux scanners, et montre lesquelles une requête IP peut identifier.

Le trafic anonymisé, classé selon le risque réel

Tous les anonymiseurs ne présentent pas le même risque : c'est donc le type d'anonymiseur qui doit fixer l'action par défaut. Un premier tri utile :

La leçon n'est ni « faire confiance à tout » ni « tout bloquer ». C'est que le type d'anonymiseur, plus des preuves concordantes, doit guider la décision.

Ce que vous coûte un faux refus

Un faux positif au paiement est un faux refus : un vrai client refoulé parce que son IP semblait anonymisée. 47 % des commerçants déclarent que les faux refus leur font perdre des ventes. Chaque utilisateur de Private Relay, acheteur mobile ou acheteur sous VPN bloqué à tort représente du chiffre d'affaires perdu, un ticket de support, et souvent un client qui ne revient pas. La fraude, vous pouvez la mesurer ; la vente que vous n'avez jamais réalisée parce que vous avez bloqué une vraie personne est invisible, et c'est précisément pourquoi le blocage général semble prudent alors qu'il ne l'est pas.

Le plan d'action : évaluer sur des preuves, pas sur un seul signal

La solution est une détection qui répond à la question « que disent les preuves sur cette IP, et à quel point en sommes-nous sûrs ? » plutôt qu'à « un signal d'anonymiseur est-il levé ? ». En pratique :

• Identifiez le type d'anonymiseur, pas seulement « anonyme » : Private Relay, VPN grand public, VPN d'entreprise, proxy résidentiel ou hébergement. Leurs risques sont très différents.
• Utilisez les signaux disculpants : un FAI résidentiel ou un robot d'exploration vérifié abaisse le score dans notre modèle, et un service de confidentialité connu comme Private Relay est plafonné pour ne jamais atteindre block. Aucun d'eux ne devrait augmenter le risque à lui seul.
• Plafonnez l'infrastructure partagée : ne bloquez jamais strictement une plage CGNAT ou d'opérateur mobile à cause d'une seule session malveillante, car des milliers de vrais utilisateurs se trouvent derrière.
• Pondérez selon la récence de la détection : une IP vue dans un pool de proxys il y a une heure est très différente d'une IP dont la seule preuve date de six mois.
• Répondez de façon graduée : autorisez le faible risque, renforcez la vérification dans la zone intermédiaire, et ne bloquez que la fraude à haut niveau de confiance.

C'est exactement ainsi qu'est construit le score de fraude de 0 à 100 de GeoIPHub. Les signaux disculpants y ont toute leur place : un FAI résidentiel retire des points, un robot d'exploration vérifié en retire davantage, et les plages CGNAT sont plafonnées, si bien que le trafic de confidentialité légitime reste bas. Chaque requête renvoie le type de connexion, l'attribution du fournisseur, un signal is_residential_proxy (une inférence grossière fondée sur l'ASN : considérez-la comme un indice plutôt qu'une preuve) et les detection_methods déclenchées, pour que vous puissiez agir et expliquer la décision. Un paiement bloqué ne devrait jamais être une boîte noire.

Une réponse graduée, pas un mur

Voici trois requêtes réelles que nous avons effectuées le 12 octobre 2026, abrégées. D'abord, 172.224.226.1, une adresse de sortie Apple iCloud Private Relay :

Ensuite, 185.220.101.1, un nœud de sortie Tor :

Les deux adresses se trouvent sur des réseaux de datacenter et masquent toutes deux l'IP domestique de l'utilisateur. L'adresse Private Relay est identifiée comme relais, non marquée comme anonyme, et obtient 24 : allow. Le nœud de sortie Tor figure en outre sur une liste de blocage anti-spam et obtient 100 : block. Même requête, résultats opposés, parce que les preuves diffèrent.

Enfin, 45.83.220.7, un serveur VPN Mullvad à Malmö, le cas sur lequel la plupart des règles VPN se trompent :

Le VPN est identifié par son nom avec une confiance élevée, et pourtant le score s'arrête à 46 et l'action est review, pas block, car rien d'autre dans l'enregistrement ne pointe vers un abus. Une règle binaire « is_vpn signifie block » aurait refusé cet utilisateur. Une politique graduée le laisse passer sur les actions à faible risque et ne demande une vérification renforcée que là où les enjeux le justifient. Un signal de proxy résidentiel mérite la même prudence : comme GeoIPHub n'infère le statut de proxy résidentiel que grossièrement à partir des données d'ASN, il ne devrait justifier un challenge ou un blocage que lorsque d'autres preuves récentes le confirment.

Vous pouvez voir le score de n'importe quelle adresse, y compris des points de terminaison Private Relay et VPN, avec le test gratuit de détection de VPN et de proxy et l'outil de score de fraude IP, ou lire précisément comment le score est construit dans la méthodologie de détection et la référence complète de l'API.

Attrapez le proxy résidentiel, laissez le client sur iPhone payer

L'internet anonymisé n'est plus un signal de fraude en soi. Apple Private Relay, WARP, les VPN d'entreprise et le CGNAT mobile placent de vrais clients derrière des IP « masquées », tandis que les véritables attaquants se cachent dans des plages résidentielles conçues pour paraître légitimes. Une détection qui fonctionne encore en 2026 ne demande pas si une IP est anonymisée. Elle demande de quel type, depuis quand, et avec quelle corroboration, puis répond en proportion. Attrapez la fraude par proxy résidentiel. Laissez le client sur iPhone payer.

Questions fréquentes

Quelles sont les causes des faux positifs de la détection de VPN ?

Une règle qui traite toute IP masquée ou partagée comme de la fraude. Elle signale les acheteurs soucieux de leur vie privée sur des VPN grand public, les salariés sur des VPN d'entreprise, les voyageurs, les utilisateurs mobiles qui partagent une même IP d'opérateur via le CGNAT, et les utilisateurs d'Apple iCloud Private Relay. La plupart sont des clients légitimes : un blocage sur la seule IP les fait donc fuir.

Bloquer iCloud Private Relay provoque-t-il des faux positifs ?

Oui. Private Relay n'est pas un VPN : Apple fait passer chaque connexion par deux sauts, réserve le service aux appareils Apple disposant d'un abonnement iCloud+ payant, et ne permet pas aux utilisateurs de paraître se connecter depuis un autre pays. Les recommandations d'Apple aux opérateurs réseau avertissent que la détection de fraude traditionnelle fondée sur les adresses IP peut devoir être ajustée pour ne pas pénaliser les utilisateurs légitimes. Traitez une IP de relais comme à faible risque et appliquez vos règles anti-fraude avec des signaux de compte et de session.

Quel trafic anonymisé est réellement dangereux ?

Les réseaux de proxys résidentiels constituent la catégorie réellement à haut risque. Ils font passer le trafic des attaquants par de vraies IP résidentielles appartenant à des FAI, récoltées via des applications piégées, si bien qu'il se fond dans celui des utilisateurs légitimes. Lors du démantèlement du réseau IPIDEA par Google en janvier 2026, plus de 550 groupes malveillants suivis utilisaient ses nœuds de sortie en une seule semaine. Les VPN commerciaux et Private Relay sont surtout légitimes ; les proxys résidentiels le sont rarement.

Pourquoi est-ce une mauvaise idée de bloquer tout le trafic VPN et proxy ?

Parce qu'une grande partie provient de vrais clients. Environ un tiers des adultes américains utilisent un VPN, très majoritairement pour la confidentialité et la sécurité plutôt que pour frauder, et les utilisateurs mobiles partagent couramment une même IP d'opérateur via le CGNAT. Bloquer strictement ces IP produit des faux refus, et 47 % des commerçants déclarent que les faux refus leur font perdre des ventes. L'objectif est un scoring de risque gradué, pas un blocage général.

Comment GeoIPHub évite-t-il les faux positifs ?

En évaluant sur des preuves, et non sur la simple présence d'un signal. Le score de fraude de 0 à 100 inclut des signaux disculpants (un FAI résidentiel retire des points, un robot d'exploration vérifié en retire davantage, et les plages CGNAT sont plafonnées), et chaque requête renvoie le type de connexion, l'attribution du fournisseur, la récence de la détection (last_seen) et les detection_methods déclenchées : vous pouvez ainsi soumettre à un challenge ce qui est réellement risqué et laisser passer les vrais clients.