Prévention de la fraudePourquoi y a-t-il autant de proxies résidentiels dans mon trafic ?
Les proxies résidentiels sont bon marché, abondants et presque invisibles aux contrôles IP basiques. Pourquoi ils inondent votre trafic, d'où ils viennent et que faire.
La plupart des outils antifraude bloquent raisonnablement bien les IP de datacenter. Dès qu'un attaquant passe par AWS ou DigitalOcean, quelque chose le repère. Les proxies résidentiels existent précisément pour contourner cette défense, et c'est la catégorie que la détection de VPN et de proxy en couches a le plus de mal à voir. Si vous en voyez à grande échelle dans votre trafic, vous voyez à quoi ressemble une attaque techniquement sophistiquée lorsqu'elle vise des systèmes qui ne vérifient que les IP de datacenter.
Ce qu'est réellement un réseau de proxies résidentiels
Un réseau de proxies résidentiels est un pool de vraies connexions internet domestiques louées à la minute. Quand quelqu'un l'utilise, son trafic sort par une IP domestique qu'un FAI grand public comme Comcast a attribuée à un vrai foyer, au lieu de sa propre IP. Pour n'importe quel serveur de destination, la requête semble provenir de ce foyer.
Les IP du pool proviennent de l'une de deux sources :
Issues de botnets (sans consentement) : un malware installé sur l'appareil d'une victime fait transiter le trafic de tiers par la connexion de la victime, qui n'en sait rien. L'IP de son foyer est vendue sur une place de marché de proxies entre 5 et 15 $ par Go, pendant qu'elle paie la facture de bande passante. C'est illégal dans la plupart des juridictions.
Issues de SDK (avec un consentement enfoui) : un SDK logiciel est intégré à des applications gratuites : VPN, jeux, utilitaires, extensions de navigateur. Les conditions d'utilisation, noyées dans des milliers de mots, contiennent une clause autorisant l'opérateur à utiliser votre bande passante. L'utilisateur a accepté, techniquement, mais sans comprendre à quoi il consentait. Honeygain, IPRoyal Pawns et des services similaires fonctionnent ainsi.
Du point de vue de la détection, les deux produisent des IP de sortie fonctionnellement identiques : de vraies adresses de FAI résidentiels qui passent tous les contrôles naïfs. C'est ce qui les distingue de l'extrémité datacenter de la taxonomie complète des types de proxies. Les mêmes chaînes d'approvisionnement s'étendent désormais aux réseaux des opérateurs mobiles, où les proxies mobiles louent des IP de sortie 4G/5G sur lesquelles il est encore plus difficile d'agir.
Pourquoi les contrôles basiques les ratent
Comprendre pourquoi vous voyez des proxies résidentiels aide à comprendre pourquoi ils apparaissent dans la sortie de votre filtre antifraude :
| Type de contrôle | Pourquoi il rate les proxies résidentiels |
|---|---|
| Blocage des ASN de datacenter | Les proxies résidentiels utilisent des ASN de FAI (Comcast, Vodafone, etc.) |
| Liste de blocage d'IP | Les IP de sortie tournent en permanence ; les listes sont périmées en quelques heures |
| Sonde de protocole VPN | Aucun logiciel serveur ne tourne sur l'appareil de sortie |
| Analyse rDNS | Renvoie un schéma de nom d'hôte de FAI typique |
| Contrôle de géolocalisation | Renvoie une ville légitime et une plage d'adresses résidentielles |
Les seules méthodes de détection fiables reposent sur des signaux que les proxies résidentiels ne peuvent pas falsifier : la preuve comportementale que l'IP est utilisée simultanément ou successivement par de nombreuses sessions différentes (forte réutilisation), sa présence dans des bases d'annonces de réseaux de proxies, et des incohérences entre l'empreinte résidentielle de l'IP et le profil d'appareil ou de comportement de la session. L'essentiel se joue au niveau de la session. Une requête IP seule, y compris la détection de VPN et de proxy de GeoIPHub, ne peut déduire le statut de proxy résidentiel que de façon grossière à partir des données d'ASN.
L'ampleur des réseaux de proxies résidentiels
Les chiffres dépassent ce que la plupart des équipes antifraude imaginent :
- Bright Data (le plus grand réseau de proxies résidentiels par taille déclarée) revendique plus de 72 millions d'IP résidentielles dans son pool
- Oxylabs revendique plus de 100 millions d'IP résidentielles
- Smartproxy, SOAX et NetNut revendiquent chacun des dizaines de millions
Ce sont les chiffres déclarés par des fournisseurs commerciaux légitimes (ou semi-légitimes). Les réseaux issus de botnets ne publient pas la taille de leur pool, mais Lumen/Black Lotus Labs a estimé à plus de 190 000 le nombre de nœuds résidentiels compromis actifs dans une seule opération de botnet-as-a-proxy en 2024.
La taille totale des pools, tous fournisseurs confondus, commerciaux et criminels, dépasse probablement 200 millions d'IP. Voilà pourquoi le volume dans votre trafic n'a rien de surprenant une fois la détection en place.
À quoi ressemble le trafic de proxies résidentiels dans vos logs
Avant la détection, le trafic de proxies résidentiels est invisible. Après, des schémas apparaissent :
Forte diversité d'IP dans les campagnes de bots : chaque requête d'une attaque de credential stuffing provient d'une IP résidentielle différente. Le volume par IP reste à 1 à 3 requêtes, bien en dessous des limites de débit. Le signal, c'est le schéma entre sessions, pas le volume par IP.
Dispersion géographique : les pools de proxies résidentiels couvrent des centaines de pays. Une campagne qui les utilise affichera des requêtes provenant de plus de 40 pays en quelques minutes, un schéma qui ne correspond pas à la distribution du trafic organique.
Anomalies de timing : les campagnes automatisées passant par des proxies résidentiels présentent souvent un rythme de requêtes trop régulier (des intervalles inférieurs à la seconde entre connexions) ou trop irrégulier (des rafales incompatibles avec une vitesse de navigation humaine).
Incohérence appareil/IP : une session qui se présente comme un appareil mobile dans l'Iowa rural arrive depuis une IP résidentielle Comcast à Houston. La géolocalisation est cohérente avec un foyer, mais incohérente avec l'appareil déclaré ou le comportement de la session.
Vérifier une IP : une vraie requête
Avant de qualifier une adresse de proxy résidentiel, recherchez-la. Voici une vraie réponse de l'API GeoIPHub pour 104.28.46.99, réduite aux champs utiles pour cette question :
curl https://api.geoiphub.com/v1/lookup/104.28.46.99 \
-H "x-api-key: YOUR_API_KEY"
{
"ip": "104.28.46.99",
"asn": {
"asn": 13335,
"org": "CLOUDFLARENET - Cloudflare, Inc.",
"user_type": "consumer_privacy_network"
},
"detection": {
"is_proxy": false,
"is_vpn": false,
"is_relay": true,
"is_residential_proxy": false,
"relay_provider": "iCloud Private Relay",
"anonymity_level": "medium"
},
"scoring": {
"fraud_score": 9,
"recommended_action": "allow",
"detection_methods": ["relay_ip"]
}
}
Cette adresse n'est pas du tout un proxy résidentiel. C'est une sortie iCloud Private Relay, ce qui signifie que la personne derrière est presque certainement une cliente ou un client Apple payant qui a activé une fonction de confidentialité. L'API le dit directement (is_relay: true, relay_provider: "iCloud Private Relay") et lui attribue un score de 9, avec une recommandation d'autoriser.
C'est le piège des tableaux de bord « trop de proxies résidentiels ». Le trafic de relais, le NAT des opérateurs mobiles et les vraies sorties de proxies peuvent se ressembler si vous vérifiez seulement « est-ce une IP grand public venant d'un endroit inattendu ». Lisez detection_methods pour voir quel signal s'est déclenché, et prenez is_residential_proxy pour ce qu'il est : une déduction grossière fondée sur l'ASN, pas une observation directe des réseaux de proxies. Combinez-le avec les schémas de session décrits plus haut avant de bloquer qui que ce soit.
Comment réagir
Dans la plupart des parcours, la détection de proxy résidentiel doit alimenter un score de risque plutôt qu'un blocage strict. La réponse recommandée dépend du contexte :
| Parcours | Proxy résidentiel détecté | Action recommandée |
|---|---|---|
| Paiement grand public | Seul, sans autre signal | Vérification légère (e-mail ou SMS) |
| Paiement grand public | Avec un historique d'abus ou plus d'un signal | Vérification forte ou mise en attente pour examen |
| Connexion au compte | Seul | MFA renforcée, ne pas bloquer |
| Connexion au compte | Avec un voyage impossible ou une incohérence d'appareil | Bloquer la session, signaler le compte |
| Accès API (non authentifié) | Toute détection | Limiter le débit de façon agressive |
| Clic publicitaire / envoi de formulaire | Toute détection | Marquer comme invalide, ne pas facturer la campagne |
Le principe clé : un proxy résidentiel est un signal fort, mais rarement un verdict complet. Un utilisateur légitime soucieux de sa vie privée peut utiliser un service de proxy résidentiel. Un chargé d'études de marché légitime le fait à coup sûr. Réservez les blocages stricts aux cas où le proxy résidentiel coïncide avec d'autres signaux : score de réutilisation élevé, historique d'abus, anomalies comportementales ou détections multiples dans la même session.
Pourquoi le volume augmente
Si vos outils révèlent des volumes élevés de proxies résidentiels, ce n'est pas le signe que la détection se déclenche trop. C'est le signe que :
- Les attaquants sont passés des proxies de datacenter (détectables) aux proxies résidentiels (plus difficiles à détecter)
- Votre détection a rattrapé l'endroit où se trouve le trafic d'attaque
- Le marché commercial des proxies résidentiels a grandi au point que ces réseaux sont assez bon marché pour des abus de faible valeur
Si vos outils précédents affichaient de faibles taux de proxies résidentiels, c'est probablement qu'ils ne les détectaient pas. Ils n'ont jamais été absents. Une détection précise révèle le volume réel de la surface d'attaque.
Les annonceurs ressentent ce changement plus durement que quiconque, car les mêmes IP résidentielles louées qui déjouent une règle de connexion déjouent aussi la liste d'exclusion d'IP d'une plateforme publicitaire. C'est pourquoi détecter la fraude au clic par adresse IP doit être un problème de scoring plutôt que de blocage.
Pour aller plus loin
- Détection de la fraude par proxy résidentiel : le guide complet : les mécanismes de détection en détail
- Prise de contrôle de compte et credential stuffing : comment les proxies résidentiels permettent le credential stuffing à grande échelle
- Qu'est-ce que la réputation IP ? : comment l'historique de proxy résidentiel alimente le scoring de réputation
Questions fréquentes
Qu'est-ce qu'un proxy résidentiel ?
Un proxy résidentiel fait transiter le trafic par une adresse IP appartenant à une vraie connexion internet domestique, attribuée à un foyer par un FAI grand public comme Comcast ou Vodafone. Comme l'IP de sortie ressemble à celle d'un utilisateur résidentiel ordinaire, elle contourne les contrôles qui bloquent les IP de datacenter. Les réseaux de proxies résidentiels sont construits soit à partir d'appareils infectés par des malwares (détournés sans consentement), soit à partir d'applications proxy pair-à-pair où les utilisateurs échangent leur bande passante contre autre chose (un VPN « gratuit », un jeu, etc.).
Pourquoi des proxies résidentiels apparaissent-ils dans un trafic d'apparence légitime ?
Parce qu'ils sont conçus pour paraître légitimes. L'IP est une vraie adresse résidentielle : les contrôles d'ASN passent, la géolocalisation renvoie un vrai quartier, et les règles antifraude basiques qui bloquent les IP de datacenter ne se déclenchent pas. Les proxies résidentiels sont l'outil de prédilection quand un attaquant doit contourner des contrôles fondés sur l'IP à grande échelle (credential stuffing, fraude publicitaire, scraping, carding), justement parce qu'ils se fondent dans la masse.
Comment les réseaux de proxies résidentiels obtiennent-ils leurs IP ?
Deux sources principales. D'abord, les botnets de malwares : des appareils infectés font transiter en silence le trafic de l'attaquant par la connexion domestique de la victime, qui n'en sait rien. Ensuite, les réseaux pair-à-pair consentis : des opérateurs de SDK intègrent une fonction proxy dans des applications (VPN, outils de partage de fichiers, jeux) et les utilisateurs acceptent sans le savoir de partager leur bande passante en échange du service gratuit. Honeygain, Peer2Profit et des services similaires fonctionnent ainsi en toute légalité ; les botnets de malwares font la même chose illégalement.
Toutes les détections de proxy résidentiel sont-elles malveillantes ?
Non. Il existe des services de proxy résidentiel légitimes pour les études de marché, la vérification publicitaire et les tests d'accessibilité. Une petite part du trafic de proxies résidentiels provient de ces usages professionnels. En revanche, dans les produits grand public comme les paiements e-commerce, les connexions à des comptes financiers et les plateformes de contenu, l'usage d'un proxy résidentiel n'a presque aucune explication légitime de la part d'un vrai client. La bonne réponse consiste à le traiter comme un signal de risque élevé, pas comme un blocage automatique.
Pourquoi ne puis-je pas simplement bloquer toutes les IP de proxies résidentiels ?
Parce que les IP tournent en permanence et appartiennent à de vrais foyers. Bloquer aujourd'hui une IP résidentielle utilisée comme proxy pourrait bloquer un vrai client demain, voire au même moment, puisque le CGNAT et les routeurs partagés font que plusieurs personnes utilisent la même IP. La bonne approche consiste à combiner la détection de proxy résidentiel avec d'autres signaux de session et à escalader vers une vérification (MFA renforcée, vérification par e-mail) plutôt qu'un blocage strict dans la plupart des parcours.
En quoi la détection de proxy résidentiel diffère-t-elle de la détection de VPN ?
La détection de VPN est relativement simple : les serveurs VPN exécutent un logiciel serveur, ont des ASN de datacenter et répondent aux sondes de protocole. Les proxies résidentiels sont l'inverse : l'IP de sortie est résidentielle, le FAI est un fournisseur grand public et il n'y a aucun logiciel serveur à sonder. La détection exige des signaux comportementaux : l'IP qui apparaît dans les annonces de réseaux de proxies, des schémas de trafic anormaux, une forte réutilisation sur plusieurs sessions, ou une incohérence entre les caractéristiques du foyer associé à l'IP et le comportement de la session.
L'équipe derrière l'API GeoIPHub
Rédigé par l'équipe GeoIPHub, les personnes qui développent l'API de renseignement IP GeoIPHub et son scanner. Les brouillons sont préparés avec l'aide de l'IA et relus par l'équipe ; les exemples d'API sont de vraies requêtes sur l'API en production, sauf mention « illustratif ».
Renseignement IP
