Meilleure API de détection VPN : comparer les méthodes

La meilleure API de détection VPN est celle dont la méthode correspond à votre niveau de risque et dont vous comprenez les limites, car aucune API ne peut identifier tous les VPN : la détection repose soit sur des listes d'adresses de sortie connues, soit sur le réseau qui possède une adresse, soit sur le comportement observé, et chacune de ces approches laisse passer quelque chose.

Les trois principales méthodes de détection

Listes d'IP et de nœuds de sortie. Le fournisseur collecte les adresses connues comme appartenant à des services VPN, des relais Tor et des proxys ouverts, et vérifie si une requête en provient. Tor publie sa liste de relais, la détection de Tor est donc relativement fiable. Les adresses des VPN commerciaux sont recueillies auprès de nombreuses sources et changent souvent : la couverture est une cible mouvante.

ASN et attribution réseau. Chaque adresse appartient à un système autonome dont l'organisation est enregistrée. De nombreux serveurs de sortie VPN se trouvent dans des réseaux d'hébergement ou de datacenters, et non chez des FAI grand public. Si le réseau propriétaire vend principalement de l'hébergement, une adresse qui s'y trouve est plus susceptible d'être un VPN, un proxy ou un serveur qu'une personne chez elle. Cela permet de repérer de nouvelles adresses de sortie qu'aucune liste n'a encore vues, mais aussi de signaler des serveurs légitimes, des passerelles d'entreprise et des applications hébergées dans le cloud.

Analyse comportementale. Au lieu d'examiner l'adresse, elle examine la session : déplacement impossible entre deux connexions, fuseau horaire et langue en désaccord avec le pays de l'IP, nombreux comptes depuis une même adresse, ou schémas de latence. Elle peut repérer un utilisateur de VPN qu'aucune liste ne contient, mais elle nécessite un flux de vos propres événements, produit des faux positifs chez les voyageurs fréquents et ne peut généralement pas être réalisée à partir d'une seule adresse dans un appel d'API sans état.

Ce que renvoie ipto, et ce qu'il ne renvoie pas

La détection d'ipto combine des données de flux de menaces avec l'attribution ASN. La recherche IP renvoie les indicateurs is_vpn, is_tor, is_abuser et is_datacenter, ainsi que l'ASN et l'organisation pour que vous puissiez comprendre pourquoi. Le vérificateur VPN, Tor et proxy affiche le même résultat avec les éléments de preuve et les listes qui ont correspondu. Les flux sont actualisés toutes les 6 heures, et les jeux de données IP et ASN quotidiennement. Ces mêmes flux peuvent être parcourus sur la page des flux de menaces.

Des limites honnêtes s'appliquent. ipto ne détecte pas les proxys résidentiels, qui transitent par de simples connexions domestiques et ressemblent à du trafic de FAI ordinaire. Il n'effectue pas d'analyse comportementale. Et un résultat négatif signifie « non connu comme VPN », et non « certainement pas un VPN ». Tout fournisseur qui revendique une couverture complète mérite du scepticisme, et vous devriez vérifier ses affirmations avec votre propre trafic.

Ce qu'il faut demander à toute API de détection VPN

• Quelles sont les sources de données et la fréquence d'actualisation ? Des flux vieux de quelques heures n'ont rien à voir avec des fichiers mensuels.
• La couverture des proxys résidentiels est-elle revendiquée, et comment est-elle démontrée ? C'est la catégorie la plus difficile, et les déclarations vagues sont un signal d'alerte.
• La réponse s'explique-t-elle ? Un simple booléen est difficile à déboguer. Le nom du réseau, l'ASN et la liste correspondante indiquent si un indicateur est plausible.
• Comment sépare-t-elle le trafic de datacenter du trafic VPN ? Un indicateur distinct de type is_datacenter permet de traiter un bot hébergé dans le cloud autrement qu'un VPN grand public.
• Quelles sont les limites de débit et le coût à votre volume ? Demandez les conditions par écrit plutôt que de vous fier à une page de comparaison.
• Peut-on la tester sans s'inscrire ? Passez un échantillon d'adresses VPN connues et d'adresses domestiques ordinaires, puis comptez vous-même les oublis et les fausses alertes.

Utiliser le signal avec discernement

Utiliser un VPN est légal et courant, pour la confidentialité, pour le travail ou sur un Wi-Fi public. Un indicateur VPN est donc une raison d'ajouter du contexte, pas de bloquer à lui seul. Combinez-le avec d'autres signaux : le vérificateur d'abus IP note la réputation par corroboration entre plusieurs flux, et le vérificateur de score de fraude fusionne les signaux d'IP, d'e-mail, de téléphone et de User-Agent en un score de 0 à 100 avec le détail de ce qui y a contribué. Une politique raisonnable pourrait afficher une étape de vérification pour les combinaisons risquées tout en laissant poursuivre un utilisateur de VPN au profil par ailleurs sain.

Les faux positifs méritent leur propre plan. Si vous restreignez du contenu par région, un client légitime sur un VPN d'entreprise échouera à la vérification : donnez-lui donc un moyen de faire appel ou de se vérifier par un autre canal. Pour approfondir l'évitement des blocages excessifs, consultez l'article associé sur la réduction des faux positifs dans la détection VPN, et la documentation de l'API pour les champs exacts de la réponse.

Réponses directes