Empreinte d'appareil ou IP intelligence : pourquoi il vous faut les deux

Les équipes fraude et confiance rejouent sans cesse le même débat : empreinte d'appareil ou IP intelligence, laquelle acheter ? C'est la mauvaise question. Sur le trafic réel d'un grand site, seul un tiers environ des empreintes étaient uniques ; elles dérivent en quelques jours, et les navigateurs anti-détection les falsifient en masse. L'IP arrive avec le premier paquet, côté serveur, à chaque requête, y compris le trafic d'API et de bots, et elle se condense en un score de fraude IP de 0 à 100. Ci-dessous : ce que voit chaque couche, où chacune échoue, et comment les combiner.

Ce qu'est réellement une empreinte d'appareil

Une empreinte d'appareil est un hachage des attributs que le navigateur accepte d'exposer. Un script lit le user agent, l'écran, les polices installées, la langue, le fuseau horaire et des indices matériels, ainsi que les manières subtiles dont un GPU et un pilote donnés effectuent le rendu d'un canvas caché, d'une scène WebGL ou d'un tampon audio. Hachez le tout et vous obtenez un identifiant qui survit à l'effacement des cookies et aux fenêtres privées, car il est dérivé de la machine plutôt que stocké sur elle.

Cela donne à l'empreinte trois vrais points forts :

• Reconnaître un navigateur qui revient d'une session, d'une connexion et d'un effacement de cookies à l'autre.
• Relier des comptes à un appareil commun, une clé essentielle de la détection du multi-comptes.
• Repérer des incohérences internes qui trahissent l'automatisation : un user agent prétendant être un iPhone avec une chaîne de GPU de bureau, un navigateur headless aux dimensions d'écran impossibles, ou une empreinte qui change à chaque requête.

Pour ces usages, c'est un signal fort. Les problèmes commencent lorsque les équipes traitent l'empreinte comme une identité plutôt que comme une probabilité.

Trois limites réelles de l'empreinte

L'empreinte échoue de trois façons : elle produit des collisions à grande échelle, elle dérive dans le temps, et elle est attaquée par les outils de fraude, les navigateurs et les régulateurs.

Elle est bien moins unique à grande échelle que ne le laissaient entendre les études célèbres. Les premières recherches menées sur des volontaires soucieux de leur vie privée indiquaient que plus de 80 % des navigateurs étaient identifiables de façon unique. Lorsque des chercheurs ont analysé 2 067 942 empreintes issues de l'un des 15 premiers sites web français, c'est-à-dire du trafic ordinaire plutôt que des personnes ayant cherché un test de confidentialité, seules 33,6 % étaient uniques, et sur mobile le chiffre tombait à 18,5 % (Hiding in the Crowd, WWW 2018). Des millions de personnes utilisent le même modèle de téléphone avec les mêmes polices par défaut : sur du trafic réel, la plupart des empreintes entrent donc en collision.

Elle dérive. Les navigateurs se mettent à jour, des polices sont installées, des écrans sont branchés. L'étude FP-STALKER, fondée sur 98 598 empreintes provenant de 1 905 instances de navigateur, a constaté que les empreintes changent fréquemment, « toutes les quelques heures à quelques jours » (FP-STALKER, IEEE S&P 2018). Avec leur méthode de rapprochement, les auteurs suivaient encore un navigateur pendant 54,48 jours en moyenne, et 26 % pendant plus de 100 jours. C'est une recherche impressionnante, et aussi un avertissement : un système naïf de hachage et comparaison voit le même client comme un inconnu en quelques jours.

Elle est attaquée sur trois fronts. Les réseaux de fraude la falsifient délibérément : les navigateurs anti-détection, l'outillage standard des fermes de comptes, génèrent une empreinte nouvelle et cohérente pour chaque profil. Les navigateurs la dégradent volontairement : Safari limite ce que les scripts d'empreinte connus peuvent lire depuis des API comme canvas et web audio, et Firefox intègre une protection contre l'empreinte qui brouille bon nombre des mêmes signaux. Et les régulateurs la traitent comme un traçage. Le groupe de travail Article 29 de l'UE a conclu dans son avis 9/2014 que l'exigence de consentement ePrivacy s'applique à l'empreinte d'appareil. Le 19 décembre 2024, l'ICO britannique a qualifié d'« irresponsable » la décision de Google d'autoriser l'empreinte à des fins publicitaires. La sécurité et la prévention de la fraude reposent sur une base juridique plus solide que la publicité, mais l'exposition est réelle.

Rien de tout cela ne rend l'empreinte inutile. Cela en fait une donnée probabiliste parmi d'autres, qui a besoin d'une seconde couche indépendante pour la confirmer ou la contredire.

Ce que l'IP intelligence voit et qu'une empreinte ne voit pas

L'IP intelligence décrit le réseau par lequel une requête est passée, et elle le fait avant l'exécution de tout JavaScript. L'adresse arrive avec le premier paquet de chaque requête, y compris les appels d'API, les webhooks et les scripts headless qui n'exécutent jamais votre code d'empreinte. Enrichie, elle répond à des questions auxquelles le navigateur ne peut jamais répondre sur lui-même (le détail champ par champ se trouve dans qu'est-ce que l'IP intelligence) :

• De quel type de réseau s'agit-il ? asn.connection_type distingue les accès résidentiels et mobiles des centres de données ou de l'hébergement. Un paiement grand public depuis une instance cloud est un script jusqu'à preuve du contraire, et aucune empreinte ne peut vous le dire.
• La connexion est-elle anonymisée ? detection.is_vpn, is_proxy, is_tor et is_relay, plus un anonymity_level. Les mécanismes sont expliqués dans le fonctionnement de la détection de VPN et de proxy.
• Qui exploite le réseau ? L'ASN et l'organisation, ce qui rend visible un phénomène comme « quarante nouveaux comptes chez un même hébergeur ».
• Où se trouve-t-il, et est-ce cohérent avec tout le reste ? Le pays et la ville avec un geo_confidence, plus un timezone IANA lorsqu'il est connu.
• Cette adresse a-t-elle un historique ? Des indicateurs de spam, de scan et de botnet, et des inscriptions sur des listes de blocage DNS dans threat.dnsbl_sources.
• Est-elle partagée ? threat.is_cgnat signale le NAT à grande échelle, où une adresse représente en réalité des milliers de personnes, et le score de ces adresses est plafonné à 50.

Deux propriétés comptent le plus. L'IP intelligence est côté serveur et universelle : elle couvre le trafic auquel l'empreinte est aveugle. Et elle est difficile à falsifier depuis le client : une requête doit bien venir de quelque part, et un centre de données ou un serveur VPN connu apparaît comme tel. Une réserve vous concerne : évaluez la véritable IP cliente issue de votre chaîne de proxys de confiance, jamais un en-tête de transfert falsifiable.

Ce que l'IP intelligence ne peut pas faire seule

Une adresse IP ne peut pas distinguer deux clients lorsqu'ils se trouvent derrière la même adresse CGNAT, la même passerelle de bureau ou le même réseau de campus. Elle ne peut pas reconnaître le même ordinateur portable lorsqu'il passe du Wi-Fi domestique au partage de connexion d'un téléphone, et les adresses mobiles changent constamment.

La lacune la plus difficile est le proxy résidentiel. Un réseau de fraude qui loue des sorties sur de vraies connexions domestiques envoie un trafic qui ressemble à celui d'un utilisateur domestique ordinaire, et les données IP ne peuvent généralement pas le voir. Nous ne détectons pas les proxys résidentiels, et aucune requête IP ne devrait être votre seule défense contre eux. C'est précisément là que l'empreinte se rend utile : le même profil anti-détection qui réapparaît sur de nombreuses adresses « domestiques » est un schéma de la couche appareil, pas de la couche réseau. L'IP intelligence seule ne peut donc pas répondre à la question « est-ce l'appareil auquel nous faisions confiance la semaine dernière ? », celle à laquelle l'empreinte existe pour répondre.

Question par question : quelle couche y répond

Chaque couche répond aux questions auxquelles l'autre ne peut pas répondre, et le tableau rend cette répartition explicite.

Lisez les colonnes ensemble : dans presque chaque ligne où une couche dit « non », l'autre dit « oui ».

Même empreinte de confiance, deux réseaux : ce que nous avons vu le 20 octobre 2026

La couche réseau transforme une même empreinte de confiance en block ou en allow, selon sa provenance. Imaginez un navigateur auquel vous faites confiance depuis des mois, arrivant une fois depuis chacune des adresses ci-dessous. Le 20 octobre 2026, nous avons interrogé la sortie iCloud Private Relay 104.28.46.99 à 04 h 34 UTC et le serveur Mullvad 185.213.155.73 à 04 h 35 UTC, sans clé d'API. Les résultats évoluent à mesure que les plages changent.

Le serveur Mullvad de Francfort a renvoyé ceci, version abrégée, valeurs non modifiées :

La sortie de relais sur le réseau de Cloudflare a renvoyé ceci :

L'adresse Mullvad obtient 100, le maximum, et detection_methods explique pourquoi. Elle figure sur la liste de serveurs publiée par Mullvad lui-même, d'où proviennent vpn_provider: "Mullvad" et vpn_confidence: 95, et cette liste la marque comme serveur WireGuard. Une empreinte de confiance qui arrive de là correspond à la contradiction « appareil connu sur un réseau anonymisé » : renforcez donc la vérification même si l'historique de l'appareil est irréprochable. L'adresse Private Relay obtient 9 avec relay_ip pour seule méthode. Le relais d'Apple est une fonction de confidentialité grand public, pas un proxy, et le score plafonne les adresses de relais à 60 : une IP Private Relay ne peut donc jamais atteindre block. Une empreinte de confiance de longue date derrière elle représente un trafic à peu près aussi sûr que possible.

Deux autres requêtes de la même série complètent le tableau :

Un simple serveur cloud qui obtient 10 rappelle utilement que l'hébergement seul n'est pas une fraude. Une empreinte de confiance qui arrive d'une machine cloud mérite une question, pas un blocage.

Deux détails comptent pour la vérification du fuseau horaire. Le serveur Mullvad indique Europe/Berlin : une horloge de navigateur réglée sur New York sur cette adresse est donc une contradiction nette. Le geo.timezone du serveur Linode est revenu à "none" : sur cette adresse, la comparaison des fuseaux horaires n'a rien à comparer. Et la sortie de relais se géolocalise à Luanda, en Angola, alors que la propre liste de sortie d'Apple plaçait cette plage à Lusaka, en Zambie, lors de notre vérification du 12 octobre. Une horloge de navigateur en désaccord avec la localisation d'un relais est normale et ne doit pas compter comme un indice de proxy.

Les verdicts réseau expirent : enregistrez l'heure de la requête

Un verdict IP est une mesure prise à un instant donné, et notre propre échantillon l'a prouvé. La version précédente de cet article utilisait 102.129.235.17 comme exemple de VPN. Le 5 octobre 2026, puis de nouveau le 16 octobre, elle renvoyait un fraud_score de 92, block, avec known_vpn_server, openvpn_open et ipsec_open. Le 20 octobre à 04 h 34, puis de nouveau à 04 h 35 UTC, elle renvoyait un fraud_score de 0, allow, is_vpn: false et un detection_methods vide. Nous n'avons pas établi si l'adresse a quitté un réseau VPN ou si notre scan a cessé de la voir.

Dans un cas comme dans l'autre, enregistrez l'heure de la requête, le score et les méthodes à côté de l'identifiant d'empreinte, et réévaluez l'IP lors de la prochaine action sensible plutôt que de vous fier au verdict du mois dernier. Une empreinte dérive en quelques jours, et le verdict de cette IP est passé de block à allow en quatre jours.

Mieux ensemble : comment les combiner

Faire fonctionner les deux couches est payant là où elles divergent, et six règles transforment cela en décisions.

Traquez les contradictions. Une empreinte à laquelle vous faites confiance depuis des mois qui arrive soudain par un VPN de centre de données sur un autre continent, c'est un détournement de session, un partage de compte ou un proxy devant un bot. Une toute nouvelle empreinte sur la même IP résidentielle qu'utilisait hier un appareil de confiance est presque toujours un nouveau téléphone dans le foyer. La même empreinte avec un déplacement impossible entre deux IP en une heure, c'est une session volée ou une sortie louée.

Comparez l'horloge du navigateur à celle du réseau. L'empreinte indique le fuseau horaire du navigateur ; l'IP intelligence indique celui du réseau. L'heure de New York sur une IP Europe/Berlin est l'un des plus anciens indices de proxy, et il ne coûte qu'une comparaison de chaînes. Ignorez cette vérification lorsque timezone vaut "none" ou que l'adresse est un relais.

Utilisez le réseau pour lever les collisions d'empreintes. Deux empreintes identiques (même téléphone, même OS, mêmes réglages par défaut) correspondent à deux personnes différentes lorsque leurs IP se trouvent sur des réseaux résidentiels différents dans des villes différentes. Une empreinte « modifiée » qui continue d'arriver depuis le même /64 IPv6 et le même ASN est probablement la même personne après une mise à jour du navigateur.

Laissez chaque couche couvrir le trafic invisible de l'autre. Prenez l'empreinte des sessions de navigateur où JavaScript s'exécute, et évaluez l'IP sur tout le reste.

Regroupez sur les deux, de façon indépendante. Pour le multi-comptes et l'abus de promotions, une empreinte partagée et un réseau partagé sont deux familles d'indices indépendantes. Une seule clé partagée, c'est un foyer ou un bloc CGNAT ; deux clés partagées indépendantes, c'est une hypothèse de réseau organisé qui mérite examen.

Évaluez, puis renforcez. Intégrez l'empreinte comme signal de continuité (« appareil connu » réduit le risque, « appareil connu comme malveillant » l'augmente) et l'IP comme contexte. Agissez ensuite dans les quatre tranches que le score utilise déjà, comme dans les seuils de score de fraude par action : allow à 25 ou moins, review jusqu'à 50, step_up jusqu'à 75 et block au-delà de 75. Lorsqu'une contradiction tombe dans review et qu'un analyste doit examiner le cas à la main, suivez la procédure par incident décrite dans comment enquêter sur une adresse IP.

Une checklist de mise en œuvre

Six étapes de construction transforment ces règles en un rapprochement opérationnel.

1. Capturez l'empreinte lors de la connexion, de l'inscription, du paiement et du versement, et consignez son identifiant avec la requête.
2. Interrogez la véritable IP cliente côté serveur et conservez les indicateurs detection, l'ASN, geo.timezone, is_cgnat, fraud_score et detection_methods.
3. Stockez les deux avec la session et le compte, horodatés, afin de pouvoir comparer la paire d'aujourd'hui à celle du mois dernier.
4. Écrivez d'abord les règles de contradiction : appareil connu sur un réseau VPN, Tor ou de centre de données, incohérence de fuseau horaire, déplacement impossible, nouvel appareil sur un réseau de confiance.
5. Atténuez sur les adresses CGNAT et d'opérateurs mobiles. Une empreinte modifiée sur un réseau familier n'est pas un signal d'alerte en soi.
6. Documentez la raison pour laquelle vous utilisez l'empreinte et confirmez votre position en matière de consentement pour les régions que vous desservez.

La moitié IP en une seule requête

Tout ce dont la moitié IP a besoin revient d'une seule requête GET, et le score de fraude explicable de 0 à 100 est fourni avec recommended_action et les méthodes qui se sont déclenchées. Il applique aussi des signaux à décharge : un FAI résidentiel retire 17 points et un robot d'exploration vérifié 28,5. Tous les champs sont disponibles dans l'offre gratuite, à raison de 1 500 requêtes par jour, et vous pouvez interroger n'importe quelle IP sans clé d'API avant d'écrire le rapprochement avec votre table d'empreintes.

Cessez de vous demander quelle couche acheter

Cette association se retrouve dans tout ce cluster, des réseaux de multi-comptes à l'abus de coupons, et c'est ainsi que vous continuez à détecter le trafic anonymisé sans bloquer les vrais clients, car une empreinte de confiance derrière Private Relay à 9 mérite une approche plus légère qu'une empreinte toute neuve sur un VPN à 100. Les raisons derrière chaque score montrent quels signaux réseau l'ont fait évoluer. Ne choisissez donc pas une couche. Demandez-vous à quelles questions vous devez répondre, et vous constaterez qu'il vous faut les deux.

Questions fréquentes

Qu'est-ce que l'empreinte d'appareil ?

L'empreinte d'appareil (device fingerprinting, souvent empreinte de navigateur) collecte des dizaines d'attributs qu'un navigateur expose, comme le user agent, la taille de l'écran, les polices installées, le fuseau horaire, la langue, des détails matériels et la façon dont l'appareil effectue le rendu canvas, WebGL et audio, puis les hache pour obtenir un identifiant. Comme elle ne nécessite aucun cookie, elle peut reconnaître un navigateur qui revient d'une session à l'autre et relier plusieurs comptes à un même appareil. Elle s'exécute côté client : elle ne voit donc que le trafic où son script s'exécute.

L'empreinte d'appareil est-elle précise ?

Moins que ne le laissaient entendre les premières études. Une analyse de 2018 portant sur 2 067 942 empreintes issues de l'un des 15 premiers sites web français a montré que seules 33,6 % étaient uniques, et 18,5 % sur mobile, contre plus de 80 % dans des études antérieures menées sur des volontaires soucieux de leur vie privée. Les empreintes dérivent aussi : l'étude FP-STALKER a constaté qu'elles changent toutes les quelques heures à quelques jours, même si sa méthode de rapprochement suivait encore les navigateurs pendant 54,48 jours en moyenne. Traitez une empreinte comme un signal de reconnaissance probabiliste, pas comme une identité stable.

L'IP intelligence peut-elle remplacer l'empreinte d'appareil ?

Non, et l'inverse est également vrai. L'IP intelligence voit le réseau : type de connexion, origine hébergement ou résidentielle, usage de VPN, de proxy, de Tor et de relais, ASN, géolocalisation et historique d'abus. Elle fonctionne côté serveur dès la toute première requête et sur le trafic d'API où aucun script ne s'exécute. Mais elle ne peut pas distinguer deux foyers derrière une même adresse de NAT à grande échelle (CGNAT), et le trafic passant par un proxy résidentiel ressemble à celui d'un utilisateur domestique ordinaire. L'empreinte comble ces lacunes, et l'IP intelligence couvre les angles morts de l'empreinte.

Quelle est la meilleure façon de combiner l'empreinte d'appareil et les signaux IP ?

Traitez l'empreinte comme un signal de continuité (avons-nous déjà vu ce navigateur ?) et l'IP comme un signal de contexte et de risque (sur quel réseau se trouve-t-il, et est-il anonymisé ?), puis cherchez les contradictions. Une empreinte connue qui arrive d'un VPN de centre de données sur un autre continent correspond à un schéma de détournement ou de proxy ; une nouvelle empreinte sur la même IP résidentielle de confiance est généralement un nouvel appareil du foyer. Comparez le fuseau horaire déclaré par le navigateur avec celui de l'IP, et utilisez les deux comme clés de regroupement indépendantes pour traquer le multi-comptes.

L'empreinte d'appareil est-elle légale ?

Dans l'UE et au Royaume-Uni, elle est réglementée comme un traçage. Le groupe de travail Article 29 a conclu dans son avis 9/2014 que la règle de consentement de la directive ePrivacy pour l'accès aux informations stockées sur l'appareil d'un utilisateur s'applique à l'empreinte, avec des exemptions étroites pour ce qui est strictement nécessaire à la fourniture d'un service demandé par l'utilisateur. La prévention de la fraude repose sur une base plus solide que la publicité, mais l'exposition réglementaire est réelle : le 19 décembre 2024, l'ICO britannique a qualifié d'« irresponsable » la décision de Google d'autoriser l'empreinte à des fins publicitaires. Recourez à l'empreinte de façon délibérée, documentez la finalité et demandez un avis juridique pour votre juridiction.