Score de fraude IP : signification, plages de score et comment le vérifier

Un score, quatre IP réelles et leurs raisons

Quatre types de réseaux se placent à quatre endroits différents de l'échelle, et scoring.detection_methods nomme chaque signal qui les y a placés. Nous avons interrogé ces adresses publiques le 16 octobre 2026 avec le même appel d'API sans clé que tout le monde peut faire :

Chaque signal apporte un nombre de points et une confiance. Le score est la somme des points multipliés par la confiance, arrondie et maintenue entre 0 et 100. Vous pouvez donc reconstituer chaque ligne ci-dessus à partir de sa liste de méthodes :

• Le nœud de sortie Tor : 100, block. tor_exit (45 points à 0,99), known_spammer (40 à 0,9) et datacenter_blocklisted (30 à 0,75) totalisent déjà 103. Le quatrième signal ne fait que dépasser encore davantage le plafond.
• L'adresse VPN : 46, review. known_vpn_server (40 à 0,9) plus datacenter_ip (20 à 0,5) donnent exactement 46. L'API la nomme « Mullvad (31173 Services) » d'après le réseau sur lequel elle se trouve, bien qu'elle ne figure pas aujourd'hui sur la liste de serveurs publiée par Mullvad. Un VPN identifié ne suffit pas à produire un score élevé. Rien sur ce serveur n'était inscrit sur une liste de blocage et aucun protocole VPN ouvert n'a été relevé, il s'arrête donc à review.
• Le relais : 9, allow. relay_ip ajoute 10 points à 0,85, ce qui s'arrondit à 9. Private Relay masque l'adresse d'un utilisateur Apple pour protéger sa vie privée, et les adresses de relais sont plafonnées à 60 : elles ne peuvent donc jamais atteindre block. Nous expliquons comment détecter le trafic Private Relay et WARP et pourquoi le laisser passer.
• Le serveur cloud : 10, allow. datacenter_ip seul représente 20 points à 0,5. L'hébergement est une raison de regarder de plus près, pas une raison de bloquer, car les API, les outils de surveillance de disponibilité et les passerelles de bureau fonctionnent tous depuis des datacenters.

Chaque raison et son poids figurent dans notre liste des raisons, champ par champ.

Ces requêtes nous ont appris deux choses que le tableau des plages ne montre pas. D'abord, le nœud de sortie Tor et le VPN masquent tous deux leurs utilisateurs, mais 54 points les séparent, parce que le nœud de sortie Tor porte aussi un historique de spam et de listes de blocage. Le même fournisseur peut aussi basculer dans l'autre sens : le serveur de Francfort listé par Mullvad, 185.213.155.73, a obtenu 100 le même jour, parce que son entrée dans la liste de Mullvad l'identifie comme serveur WireGuard (wireguard_open), et cette étiquette de protocole transforme aussi le signal d'hébergement en signal plus fort de datacenter avec VPN. Ensuite, l'une des quatre raisons du nœud de sortie Tor relève d'une lacune de notre côté, pas du nœud. no_ptr_datacenter indique que l'adresse n'a pas de DNS inverse, mais dig -x 185.220.101.1 renvoie aujourd'hui un nom d'hôte de nœud de sortie Tor. Il manque cet enregistrement dans notre base de recherche, et nous l'avons consigné pour correction. Le verdict ne change pas, puisque les trois autres signaux dépassent déjà 100. C'est tout de même la raison pour laquelle nous conseillons à nos clients d'écrire leurs règles sur les signaux auxquels ils font confiance, pas sur le total brut.

Qu'est-ce qu'un bon score de fraude IP ?

Un bon score est de 25 ou moins : aucune preuve de risque significative, et l'API renvoie allow. Nos quatre plages correspondent directement à des actions :

Deux mises en garde évitent la plupart des erreurs avant qu'elles ne se produisent :

• Lisez un score selon l'échelle de son propre fournisseur. La documentation d'IPQualityScore qualifie 75 et plus de « suspicious, but not necessarily fraudulent » (suspect, mais pas nécessairement frauduleux) et recommande de signaler ou de bloquer à partir de 90. Notre plage block commence à 76. Un 76 chez chacun de nous n'a pas le même sens : ne transposez donc jamais un seuil tel quel d'un fournisseur à l'autre.
• Le bon seuil dépend de l'action à protéger. Une connexion peut tolérer un seuil de blocage plus élevé qu'un paiement, car redemander un mot de passe coûte quelques secondes alors qu'une commande frauduleuse sans présence de la carte coûte une rétrofacturation (le guide de réduction des rétrofacturations traite cet aspect). Nous détaillons les seuils de blocage pour la connexion, l'inscription et le paiement action par action.

Ce qui fait monter ou baisser le chiffre

Le score répond à une seule question précise : quelle quantité de preuves de risque entoure le réseau d'où vient cette requête ? Il ne sait jamais qui se trouve derrière le clavier. Il connaît des éléments comme ceux-ci :

Les deux dernières lignes distinguent un scoring soigné d'un scoring grossier. Un modèle qui ne fait qu'ajouter des points finit par signaler tous les opérateurs mobiles et toutes les connexions partagées du monde. Le nôtre combine 36 raisons pondérées et soustrait aussi : une raison de FAI résidentiel retire 17 points (moins 20 à 0,85 de confiance) et un robot d'exploration vérifié 28,5 (moins 30 à 0,95). Les adresses de relais sont plafonnées à 60, et les adresses CGNAT sans preuve de menace propre à 50. Le poids de chaque raison, et la manière de la lire dans une réponse, se trouvent dans les raisons du score de risque, champ par champ, afin que cette page reste centrée sur ce que le chiffre signifie pour vous.

Pourquoi le score de fraude de mon IP est-il élevé ?

Un score élevé sur votre propre connexion vient généralement du réseau sur lequel vous êtes, pas de quelque chose que vous avez fait : un VPN ou un proxy, une adresse recyclée d'un abonné abusif, une adresse CGNAT partagée que quelqu'un d'autre a fait inscrire sur une liste, ou une inscription récente de la plage de votre FAI sur une liste de blocage. Une adresse que nous reconnaissons comme CGNAT est plafonnée à 50, sauf si elle porte ses propres preuves de VPN, de proxy, de Tor, de botnet ou d'abus : une adresse partagée peut donc être examinée, mais jamais bloquée sur la seule base de l'IP. Si un site vous a dit que vous ressembliez à un VPN au lieu d'afficher un score, voici pourquoi votre IP est signalée comme VPN ou proxy et ce que vous pouvez faire.

Comment faire baisser un score élevé

Vous ne pouvez pas contester le chiffre lui-même. Il évolue lorsque les preuves sous-jacentes changent, et les étapes suivantes les changent :

1. Désactivez le VPN ou le proxy et reconnectez-vous depuis votre ligne habituelle chez votre FAI. C'est la baisse la plus importante et la plus rapide.
2. Obtenez une nouvelle adresse : renouvelez votre bail DHCP ou redémarrez votre box. Chez de nombreux FAI, cela vous fait quitter une adresse signalée.
3. Analysez vos appareils. Si un appareil du réseau est infecté par un botnet, les signalements reviendront tant qu'il n'aura pas été nettoyé.
4. Demandez à votre FAI une autre attribution si votre plage est inscrite de façon chronique.
5. Pour les entreprises : envoyez le trafic transactionnel depuis une infrastructure dédiée et correctement configurée, avec un DNS inverse propre, et non depuis des plages d'hébergement partagé.

Laissez ensuite du temps. Notre étape de sondage VPN et proxy s'exécute au plus toutes les 12 heures et revérifie les résultats de plus de 7 jours, les listes Tor et de relais ainsi que les listes de blocage DNS sont relues toutes les 6 heures, et la base de recherche est reconstruite chaque jour : lorsqu'une adresse sort de ces preuves, son chiffre suit à la reconstruction suivante.

Vérifier un score par API

Pour une vérification ponctuelle, l'outil gratuit indiqué en haut de cette page affiche le chiffre de 0 à 100, l'action recommandée et les signaux qui le composent. En production, le même verdict provient d'un seul appel, et vous pouvez l'essayer sans clé avec une limite de débit faible. Voici la réponse réelle, abrégée, pour l'adresse du réseau Mullvad du tableau ci-dessus :

Le nom du fournisseur provient de notre table des réseaux connus pour héberger des serveurs VPN, c'est pourquoi vpn_confidence vaut 85 et non 95, la valeur qu'obtient une adresse figurant sur la propre liste de serveurs de Mullvad. Nous expliquons comment nous identifions le fournisseur VPN derrière une IP et pourquoi le code doit comparer les noms par préfixe.

Cette structure de réponse sert aussi de liste de contrôle pour juger n'importe quel fournisseur : un chiffre exploitable, une action recommandée que vous pouvez relier à une politique, une valeur de confiance et, surtout, les preuves nommées derrière le verdict. Un chiffre brut sans detection_methods est impossible à auditer lorsqu'un vrai client demande pourquoi il a été bloqué.

Calculez le score aux points de décision plutôt qu'à chaque affichage de page. À la connexion, le score est un premier filtre contre le credential stuffing et la prise de contrôle de compte. À l'inscription, il aide à stopper les fausses inscriptions selon le type d'IP et à repérer les comptes multiples d'un même opérateur ainsi que l'abus de codes promo et de parrainage. Au paiement et au retrait, c'est une couche d'une pile de détection de la fraude au paiement. Les mêmes signaux réseau aident aussi à repérer la fraude au clic par adresse IP sur les campagnes payantes. Associez la couche IP à des signaux d'appareil et de comportement pour une couverture complète, car l'empreinte d'appareil et le renseignement IP ne voient pas les mêmes choses. Notre guide de prévention de la fraude montre où le score s'intègre dans chaque parcours, et le fonctionnement de la détection VPN et proxy explique d'où viennent les signaux les plus pondérés.

Questions fréquentes

Un score de fraude élevé signifie-t-il qu'une fraude a été commise ?

Non. Le score mesure le réseau d'où provient une requête (anonymiseurs, historique d'abus, type d'infrastructure), pas l'intention de la personne qui l'utilise. Un chiffre élevé signifie que l'adresse mérite un examen ou une vérification, pas que son utilisateur est un fraudeur. C'est pourquoi les systèmes matures associent le score à une vérification renforcée plutôt qu'à des blocages stricts et silencieux.

Utiliser un VPN fait-il monter mon score ?

En général, oui. Le signal de VPN connu ajoute à lui seul 40 points avec une confiance de 0,9, ce qui place l'adresse dans la zone review. Une adresse du réseau de Mullvad que nous avons interrogée le 16 octobre 2026 a obtenu 46. Les scores montent jusqu'à block lorsque d'autres preuves s'y ajoutent, comme un port de protocole VPN ouvert ou une inscription sur une liste de blocage. Désactiver le VPN est le moyen le plus rapide de présenter une adresse moins risquée.

Comment vérifier le score de risque d'une adresse IP ?

Collez l'adresse dans un outil de vérification gratuit pour voir son score de 0 à 100 et les signaux qui le composent, ou appelez une API de renseignement IP à l'inscription, à la connexion ou au paiement. Quel que soit le fournisseur, préférez-en un qui renvoie les preuves contributives. Un chiffre brut que vous ne pouvez pas auditer est difficile à exploiter et impossible à expliquer à un client bloqué.