Types de proxys : centre de données, FAI, résidentiel et mobile comparés

« Proxy » est un seul mot qui en remplace au moins quatre. Un serveur cloud loué qui relaie le trafic d'un scraper et la télévision connectée d'un inconnu qui relaie des tentatives de credential stuffing sont tous deux des proxys, mais ils ne coûtent pas la même chose à un attaquant, ne se cachent pas derrière le même niveau de dommage collatéral et appellent des réponses différentes de votre part. Voici la taxonomie pratique sur les deux axes qui comptent, avec les vraies requêtes que nous avons effectuées le 20 octobre 2026.

Premier axe : l'origine de l'IP de sortie

L'axe de l'origine change votre décision, car il détermine l'apparence de l'adresse dans le registre et le nombre d'innocents qu'un blocage toucherait.

Proxys de centre de données

La sortie est un serveur chez un fournisseur de cloud ou d'hébergement. L'adresse se trouve dans un espace dont l'ASN est classé comme hébergement, et ce réseau n'a jamais été conçu pour transporter du trafic grand public.

Les proxys de centre de données sont bon marché, rapides et vendus en gros blocs, ce qui explique qu'ils soient les plus faciles à repérer. Une connexion ou un paiement grand public provenant d'une plage de centre de données ou d'hébergement mérite un second regard, car les vrais clients font rarement leurs achats depuis un serveur cloud. Notre vérification d'hébergement s'appuie sur 853 ASN d'hébergement sélectionnés, ainsi que sur les plages publiées de 10 fournisseurs cloud, dont AWS, Google Cloud et Azure.

L'exception légitime est le trafic professionnel. Les sorties de VPN d'entreprise, les passerelles de sécurité et les produits SASE d'entreprise sortent légitimement depuis un espace d'hébergement. C'est une vraie catégorie de faux positifs dans les produits B2B, et c'est pourquoi une adresse d'hébergement seule obtient un score dans la tranche allow plutôt que block, comme le montre la requête ci-dessous.

Proxys FAI (résidentiels statiques)

Les proxys FAI sont l'hybride dont la plupart des gens n'ont jamais entendu parler. L'adresse IP est enregistrée au nom d'un FAI grand public, mais la machine qui y répond se trouve dans un centre de données. Les opérateurs acquièrent ou louent de l'espace d'adressage de FAI grand public et l'annoncent depuis une infrastructure d'hébergement.

Le résultat est une contradiction délibérée : la vitesse et la disponibilité d'un centre de données, sous des enregistrements WHOIS de FAI grand public. Une vérification qui ne lit que le registre voit un câblo-opérateur et passe à autre chose. Les éléments réellement utiles sont comportementaux : un protocole de proxy ou de VPN qui répond sur l'adresse, ou une plage où chaque hôte se comporte comme un serveur. C'est pourquoi la détection de proxy empile plusieurs signaux indépendants au lieu de se fier à un seul champ du registre. La limite : un proxy FAI discret, sans service ouvert, ressemble à ce que dit son registre.

Proxys résidentiels

La sortie est une vraie connexion grand public dans un vrai foyer. L'adresse appartient à un FAI légitime, se géolocalise dans une banlieue plausible et ressemble exactement à celle d'un client, parce que c'en est une. Celle de quelqu'un d'autre.

Les proxys résidentiels sont chers, généralement vendus à la bande passante plutôt qu'à l'adresse, et ils sont l'outil par défaut des abus sérieux parce qu'ils neutralisent le signal d'hébergement. GeoIPHub ne détecte pas les proxys résidentiels. Depuis la couche IP, une ligne domestique qui relaie du trafic de proxy et la même ligne qui diffuse un film se ressemblent. Ce qui aide, c'est tout ce qui entoure l'IP, comme l'expliquent pourquoi tant de proxys résidentiels apparaissent dans votre trafic et le guide côté fraude.

Proxys mobiles

La sortie est une vraie connexion cellulaire sur un vrai opérateur. C'est le cas le plus difficile, et la difficulté tient davantage au dommage collatéral qu'à l'invisibilité.

Les réseaux mobiles se trouvent derrière du NAT à grande échelle (RFC 6888, avril 2013) : une seule adresse publique peut donc représenter simultanément de nombreux abonnés sans lien entre eux. Bloquez l'adresse, et vous les bloquez tous. Une requête IP peut vous dire que l'adresse appartient à un opérateur mobile. Elle ne peut pas vous dire si l'un des téléphones derrière elle revend sa connexion. La bonne réponse est la vérification, pas le rejet, et le détail champ par champ se trouve dans comment détecter les proxys mobiles.

Les quatre comparés

Lisez les deux dernières colonnes ensemble. Les proxys de centre de données sont faciles à repérer et sans risque à bloquer. Les adresses mobiles sont faciles à rattacher à un opérateur et dangereuses à bloquer. Les sorties résidentielles sont difficiles à repérer et délicates à bloquer. Un simple booléen « is_proxy » écrase tout cela, c'est pourquoi le type de proxy doit guider votre réponse.

Un serveur loué obtient allow, un VPN sondé obtient block

Une adresse d'hébergement seule n'atteint pas block, alors qu'une poignée de main VPN confirmée l'atteint. Le 20 octobre 2026, nous avons interrogé 45.33.32.156 à 04 h 34 UTC et 185.213.155.73 à 04 h 35 UTC, sans clé, avec curl. La première est scanme.nmap.org, le serveur de test public de Nmap chez Linode, et ce n'est pas un proxy : c'est l'apparence de n'importe quel serveur loué avant qu'il ne fasse quoi que ce soit. La seconde est un serveur VPN Mullvad à Francfort. Version abrégée, valeurs non modifiées :

Les deux adresses sont des serveurs loués dans des ASN d'hébergement, et toutes deux renvoient is_hosting: true. Le serveur Linode s'arrête là : une seule méthode, datacenter_ip, un score de 10 et allow, car louer un serveur n'est pas une fraude. Le serveur Mullvad ajoute trois raisons de plus. Il figure sur la liste de serveurs publiée par Mullvad lui-même (known_vpn_server, avec vpn_confidence: 95, la valeur attribuée à une correspondance sur la propre liste d'un fournisseur), cette liste le marque comme serveur WireGuard (wireguard_open), et les signaux d'hébergement et de VPN se combinent (datacenter_with_vpn_proxy). Le score atteint 100 et block.

Les quatre actions correspondent à des tranches fixes, vous pouvez donc lire n'importe quel score de la même façon :

Deux autres adresses qui masquent l'utilisateur sans faire partie des quatre types

Les nœuds de sortie Tor et iCloud Private Relay d'Apple masquent aussi la personne qui se trouve derrière, et tous deux reviennent dans les discussions sur les proxys. Nous les avons interrogés au cours de la même session :

Le relais sert des clients Apple payants, et le score plafonne les adresses de relais à 60 : elles n'atteignent donc jamais block. Le nœud de sortie Tor provient de la liste publiée des nœuds de sortie du Tor Project, que nous chargeons chaque jour. Une réserve sur cette ligne : no_ptr_datacenter s'est déclenché alors que le DNS inverse de l'adresse se résout aujourd'hui, un écart dans nos enregistrements PTR stockés que nous avons consigné. Tor a son propre guide sur la détection du trafic Tor par l'IP.

Second axe : comment le proxy communique

L'axe du protocole détermine le trafic qu'un proxy peut transporter, et il est indépendant de l'emplacement de la sortie. De nombreux articles sur les « types de proxys » présentent « proxy HTTP » et « proxy résidentiel » comme des alternatives. Ils répondent à des questions différentes : un proxy résidentiel parle un protocole, et SOCKS5 est un protocole qui peut fonctionner sur n'importe lequel des quatre.

Les proxys HTTP comprennent HTTP. Le client envoie une requête complète au proxy, qui peut la lire, la mettre en cache, réécrire les en-têtes et la filtrer. Un proxy mal configuré ajoute des en-têtes Via et X-Forwarded-For qui le trahissent.

Les tunnels HTTPS utilisent la méthode CONNECT (RFC 9110), qui demande au proxy d'ouvrir un tunnel TCP brut et de cesser toute interprétation. Le proxy devient un tuyau, TLS fonctionne de bout en bout à travers lui, et le proxy voit les destinations mais pas le contenu.

SOCKS5 (RFC 1928, mars 1996) se situe sous la couche application. Il relaie TCP et, contrairement à ses prédécesseurs, UDP, avec prise en charge de l'authentification, des noms de domaine et d'IPv6. Il n'inspecte jamais le contenu et n'ajoute jamais d'en-têtes.

Les attaquants apprécient SOCKS5 parce qu'il est discret. Les défenseurs peuvent le tester. Notre scanner sonde 25 ports avec de vraies poignées de main protocolaires sur 8 protocoles de VPN et de proxy, dont SOCKS5, SOCKS4, HTTP CONNECT et OpenVPN. L'étape de sondage s'exécute au plus toutes les 12 heures et revérifie les résultats positifs antérieurs une fois qu'ils ont 7 jours. Elle n'a pas de sonde WireGuard : le wireguard_open de la requête Mullvad provient de la liste de serveurs de Mullvad elle-même, qui marque ce serveur comme WireGuard. Le balayage parcourt les réseaux d'hébergement et les plages de serveurs des fournisseurs de VPN, et vérifie aussi les adresses listées par les flux de proxys publics. Il ne parcourt pas l'espace des FAI grand public : un proxy FAI sur des adresses enregistrées comme domestiques n'obtient donc un résultat de sondage que si un flux public l'a signalé auparavant.

La limite est physique. Une sonde ne peut confirmer qu'un proxy qui accepte les connexions entrantes. Un téléphone ou un boîtier TV enrôlé dans un réseau résidentiel via une application se trouve derrière le routeur du foyer : une sonde venue de l'extérieur n'a personne à qui parler.

Direct, inverse et transparent

Les proxys directs (forward) agissent pour le client, et ce sont eux qui font l'objet de cet article. Les proxys inverses (reverse) agissent pour le serveur, comme le font tous les CDN et répartiteurs de charge. Les proxys transparents interceptent le trafic sans configuration côté client, comme le portail captif d'un hôtel. Seul le type direct compte pour la fraude.

D'où vient réellement l'offre résidentielle

Les réseaux de proxys résidentiels ont besoin de vrais foyers, et les vrais foyers se portent rarement volontaires. C'est pourquoi « il suffit de bloquer les proxys résidentiels » est une consigne naïve.

La première étude universitaire sérieuse, Resident Evil (IEEE Symposium on Security and Privacy, 2019), a infiltré ces services et détecté environ 6 millions d'IP de proxys résidentiels dans plus de 230 pays et chez plus de 52 000 FAI. Malgré les affirmations des fournisseurs sur des participants consentants, beaucoup fonctionnaient sur des hôtes probablement compromis, y compris des appareils IoT.

Le FBI a détaillé les canaux de recrutement dans un avis public du 12 mars 2026. Il en cite cinq : les SDK que les services de proxy paient les développeurs d'applications pour intégrer, les VPN gratuits dont l'enrôlement est enfoui dans les conditions d'utilisation, les appareils IoT compromis, les malwares cachés dans des jeux gratuits et des contenus piratés, et les applications de revenus passifs qui rémunèrent les utilisateurs pour leur bande passante. La liste des appareils mérite d'être lue deux fois. Elle comprend des appareils de streaming TV, des clés de streaming, des boîtiers Android TV, des cadres photo numériques, des smartphones, des tablettes, des routeurs, des projecteurs numériques et des systèmes d'infodivertissement automobiles du marché secondaire.

L'échelle atteinte est documentée. Le botnet 911 S5, démantelé lors d'une opération annoncée par le département de la Justice des États-Unis le 29 mai 2024, était associé à plus de 19 millions d'adresses IP uniques, dont 613 841 aux États-Unis.

Ainsi, lorsqu'un proxy résidentiel frappe votre page de connexion, l'adresse appartient généralement à quelqu'un qui n'en a aucune idée. C'est l'argument contre les blocages permanents d'adresses domestiques, et en faveur d'une gestion du trafic anonymisé sans bloquer les vrais clients.

Pourquoi une liste de mauvaises adresses perd face à l'offre résidentielle

Une liste de blocage suppose qu'une mauvaise adresse revient, et l'offre résidentielle tourne avant que cela n'arrive. Deux mesures récentes le montrent.

GreyNoise a analysé environ 4 milliards de sessions entre le 29 novembre 2025 et le 27 février 2026 et a indiqué que 39 % des IP uniques ciblant la périphérie du réseau provenaient de connexions internet domestiques, alors que ces adresses ne produisaient que 22 % des sessions. L'écart est le résultat clé : 78 % des IP résidentielles n'apparaissaient que dans une ou deux sessions sur les 90 jours. Une liste de réputation ne peut pas signaler une adresse qui a disparu avant sa deuxième requête.

Le volume va dans le même sens. Infoblox a indiqué le 9 juin 2026 que les requêtes DNS mensuelles vers des domaines de proxys résidentiels étaient passées de près de 400 milliards à plus de 500 milliards, soit une hausse d'environ 25 %. L'entreprise a aussi constaté que plus de 65 % de ses clients Threat Defense Cloud avaient interrogé des domaines liés à des réseaux de proxys résidentiels.

L'IP intelligence fonctionne toujours sur ce qu'est une adresse : hébergement, VPN, Tor, relais, opérateur. Une liste statique de mauvaises adresses domestiques, non.

Ce que la couche IP peut et ne peut pas montrer pour les proxys résidentiels et mobiles

La couche IP peut rattacher une adresse à un type de réseau. Elle ne peut pas voir ce que fait un appareil sur ce réseau. Pour les deux types les plus difficiles, il reste une courte liste de faits exploitables :

• Les adresses de FAI domestiques bénéficient du doute, jusqu'à ce qu'elles portent des éléments de proxy. Une ligne domestique que nous reconnaissons à son DNS inverse résidentiel se voit retirer 17 points pour le FAI et 16 pour le DNS inverse. Dès que la même adresse porte des éléments de proxy, de VPN ou de Tor, la réduction liée au FAI est remplacée par une raison residential_with_threat qui ajoute 21,25 points.
• Les adresses d'opérateurs mobiles bénéficient d'une réduction plus faible. Une adresse d'opérateur mobile se voit retirer 12 points, et un DNS inverse qui ressemble à un pool mobile en retire 7.
• Les adresses partagées sont plafonnées. Les adresses de NAT à grande échelle sans éléments propres de proxy, de VPN, de Tor, de botnet ou d'abus ne peuvent pas dépasser un score de 50 : sur la seule base de l'IP, elles atteignent donc au plus review.
• Un port de proxy ouvert est un élément probant, mais rarement disponible ici. Nos sondes couvrent SOCKS5, SOCKS4 et HTTP CONNECT, mais elles n'atteignent une adresse enregistrée comme domestique que lorsqu'un flux de proxys public la liste. Un service à l'écoute sur cette adresse ne dit rien d'un éventuel réseau de proxys résidentiels.

Tout le reste doit venir de votre côté : la vélocité par compte, un nouvel appareil sur un ancien compte, un pays de facturation qui contredit la session. Pour suivre une adresse suspecte de bout en bout, suivez la procédure d'investigation d'IP par incident.

Adapter votre réponse aux types de proxys

L'intérêt de la taxonomie est une réponse graduée au lieu d'une règle unique et brutale. Utilisez scoring.recommended_action par défaut et ajustez selon le type :

• Centre de données sur une action grand public. Une simple adresse d'hébergement obtient un score dans la tranche allow, comme la requête Linode avec 10. Ajoutez votre propre contexte : bloquez-la ou isolez-la sur les connexions et paiements grand public si votre produit le justifie, et prévoyez une exception pour les sorties d'entreprise connues en B2B.
• FAI / résidentiel statique. Traitez-le comme un centre de données dès qu'un élément contredit le registre. Une méthode de sondage dans detection_methods le ferait, mais notre balayage n'atteint l'espace des FAI grand public qu'à travers les flux de proxys publics : la contradiction vient donc généralement de vos propres données. Le registre seul vous dira qu'il est résidentiel.
• Résidentiel. Vous ne saurez généralement pas qu'il s'agit d'un proxy. Escaladez sur la base d'éléments concordants issus de vos propres données, et préférez une vérification renforcée au rejet, car le foyer est probablement une victime.
• Mobile derrière du CGNAT. Ne bloquez jamais l'adresse seule. Assouplissez les limites de vélocité par IP partagée, vérifiez l'utilisateur et appuyez-vous sur les signaux de compte et d'appareil.
• VPN et Tor. Un VPN sondé ou listé peut atteindre block, comme le serveur Mullvad, mais un VPN seul n'est pas une fraude. Vous préférerez peut-être step_up pour les connexions via VPN et réserver block à Tor et aux signaux cumulés.

La règle sous-jacente aux cinq : le type de proxy détermine le poids du signal réseau, et quelque chose d'autre doit porter le reste.

Identifiez le type de proxy avant de choisir une réponse

La méthodologie documente la façon dont chaque signal ci-dessus est collecté. Tous les champs sont disponibles dans l'offre gratuite, à raison de 1 500 requêtes par jour, et la présentation de la prévention de la fraude montre comment le score alimente une décision. Pour vérifier une adresse dès maintenant, passez-la dans le test de détection de VPN ou la vérification d'IP de centre de données, et lisez quelles detection_methods se sont déclenchées avant de décider à quel type de proxy vous avez affaire.

Questions fréquentes

Quels sont les principaux types de proxys ?

Les proxys se classent selon deux axes indépendants. Selon l'origine de l'IP de sortie, il en existe quatre : centre de données (serveurs cloud ou d'hébergement loués), FAI ou résidentiel statique (espace d'adressage de FAI grand public hébergé sur du matériel de centre de données), résidentiel (vraies connexions grand public dans de vrais foyers) et mobile (vraies connexions cellulaires derrière le NAT de l'opérateur). Selon la manière dont le proxy communique, il existe trois protocoles courants : les proxys HTTP, les tunnels HTTPS via la méthode CONNECT, et SOCKS5. Le premier axe détermine ce qu'une requête IP peut voir et le coût du proxy. Le second détermine le trafic qu'il peut transporter.

Quelle est la différence entre un proxy de centre de données et un proxy résidentiel ?

Un proxy de centre de données sort par un serveur loué chez un fournisseur de cloud ou d'hébergement : l'adresse se trouve dans un espace d'ASN classé comme hébergement, et une requête IP le montre clairement. Un proxy résidentiel sort par une vraie connexion grand public dans un vrai foyer, souvent enrôlée via le SDK d'une application, un VPN gratuit, un proxyware ou un malware : l'adresse appartient à un FAI légitime et ressemble exactement à celle d'un client. À partir de l'IP seule, on ne peut généralement pas distinguer une sortie de proxy résidentiel du foyer titulaire de la ligne, ce qui explique qu'il coûte plus cher aux attaquants et qu'il soit l'outil par défaut des abus sérieux.

Qu'est-ce qu'un proxy FAI ?

Un proxy FAI, parfois vendu comme proxy résidentiel statique, est l'hybride : l'adresse IP est enregistrée au nom d'un FAI grand public, mais la machine qui y répond se trouve dans un centre de données. Les opérateurs achètent ou louent de l'espace d'adressage de FAI grand public et l'annoncent depuis une infrastructure d'hébergement. Une vérification dans le registre voit une adresse résidentielle ; l'élément utile est une contradiction, comme un protocole de proxy qui répond sur cette adresse.

Les proxys mobiles sont-ils plus difficiles à gérer que les proxys résidentiels ?

Oui, et la raison en est le dommage collatéral. Les proxys mobiles sortent par de vraies connexions cellulaires derrière du NAT à grande échelle (CGNAT) : une seule adresse peut donc représenter simultanément de nombreux abonnés sans lien entre eux. Une requête IP peut vous dire que l'adresse appartient à un opérateur mobile, mais pas si l'une des personnes derrière elle fait tourner un proxy. Bloquer l'adresse pénalise tous ceux qui la partagent : une adresse mobile doit donc déclencher une vérification renforcée plutôt qu'un blocage strict.

SOCKS5 est-il meilleur qu'un proxy HTTP ?

Ils résolvent des problèmes différents. Un proxy HTTP comprend HTTP et peut lire et réécrire les requêtes, ce qui le rend utile pour la mise en cache et le filtrage, mais le limite au trafic web. SOCKS5, défini dans la RFC 1928, opère sous la couche application et se contente de relayer TCP et UDP : il transporte donc n'importe quel protocole et n'inspecte jamais le contenu. Les attaquants préfèrent généralement SOCKS5 parce qu'il laisse fuiter moins d'en-têtes identifiants.