Conformité du géoblocage : cas d’usage légitimes

La conformité du géoblocage consiste à autoriser ou refuser l’accès à un service selon le pays ou la région déduits de l’adresse IP d’un visiteur, afin de respecter une obligation légale, contractuelle ou de licence. C’est un contrôle rudimentaire mais très répandu : peu coûteux à exploiter, facile à expliquer et raisonnablement efficace au niveau du pays, pour peu que l’on comprenne ce qu’il ne peut pas voir.

La plupart des usages légitimes partent d’une règle externe qui dit « pas ici » ou « seulement là ». Le contrôle est le mécanisme d’application, pas la politique. Cette distinction compte, car un géoblocage conçu par commodité (pour arrêter une nuisance ou personnaliser du contenu) tend à bloquer de vrais clients tout en échouant à arrêter les utilisateurs déterminés. Ce qui suit couvre les cas où le géoblocage est défendable, ceux où il ne l’est pas, et comment le mettre en œuvre pour qu’il échoue proprement.

Cas d’usage légitimes

• Sanctions et contrôles à l’exportation. Les organisations qui ne doivent pas servir certaines juridictions les bloquent souvent en périphérie, comme une couche d’un programme de conformité plus large. La localisation de l’IP est un signal parmi d’autres, aux côtés du pays de facturation, des données du compte et du filtrage des clients.
• Licences de contenu. Les droits sur les médias, le sport et les logiciels sont fréquemment vendus par territoire. Une licence qui ne couvre que certains pays oblige généralement le distributeur à y restreindre la diffusion.
• Produits réglementés. Les jeux d’argent en ligne, certains produits financiers et quelques services de santé ne sont licites que dans des régions particulières ; les opérateurs limitent donc l’accès aux endroits où ils détiennent une licence.
• Résidence des données et exposition juridique. Certaines équipes renoncent à servir des marchés dont elles ne peuvent pas encore respecter les règles, plutôt que d’opérer en non-conformité.
• Taxes et tarification. Afficher la bonne devise, le bon traitement de la TVA ou les bonnes options de livraison n’est pas du blocage à proprement parler, mais utilise le même signal. Chaque réponse /v1/ip d’ipto inclut currency_code pour le pays résolu.

Dans tous les cas, conservez une trace de la règle qui a exigé le blocage et de la personne qui l’a approuvé. Lorsqu’un régulateur, un concédant de licence ou un client mécontent demande pourquoi l’accès a été refusé, vous voulez une réponse documentée plutôt qu’une mystérieuse entrée de pare-feu.

Quand le géoblocage est le mauvais outil

Il est médiocre pour la personnalisation. Le choix d’une langue ou d’une devise doit être une valeur par défaut que le visiteur peut changer, pas un mur. Il est médiocre comme contrôle de sécurité face à des attaquants déterminés, qui peuvent se déplacer vers n’importe quelle région en quelques minutes. Et il est facile de l’appliquer à l’excès au trafic anonymisant : de nombreux utilisateurs de VPN et de Tor sont des gens ordinaires qui protègent leur vie privée, et les bloquer purement et simplement coûte des clients légitimes. Pour le versant des faux positifs, voir comment réduire les faux positifs dans la détection de VPN et pourquoi les sorties Tor ne sont pas toujours une menace.

Il ne peut pas non plus être plus précis que les données sur lesquelles il repose. Le pays est généralement fiable, mais une passerelle mobile, une liaison satellite ou un réseau d’entreprise peut situer un utilisateur dans un autre pays que celui où il se trouve. Les règles au niveau de la ville et de la région demandent une prudence supplémentaire, comme expliqué dans précision au niveau du pays et de la ville.

Bien le mettre en œuvre

Décidez au niveau du pays, sauf si une réglementation exige réellement une granularité plus fine. Résolvez l’adresse côté serveur, sans jamais faire confiance à un pays transmis par le client, et mettez le résultat en cache pour la session afin qu’un visiteur ne bascule pas d’une page à l’autre. Affichez un message clair qui dit ce qui s’est passé et pourquoi, avec une voie de contact pour les personnes qui estiment être bloquées par erreur. Un 403 silencieux transforme un contrôle de conformité en charge pour le support.

Lorsque la raison du blocage est une réglementation s’appliquant aux utilisateurs de VPN qui semblent se trouver dans un lieu autorisé, demandez-vous si la règle exige vraiment que vous le détectiez. Si c’est le cas, le vérificateur de VPN, Tor et proxy indique si une adresse correspond aux données de flux de menaces d’ipto, et les champs is_vpn, is_tor et is_datacenter sont renvoyés par la recherche d’IP principale. Soyez réaliste sur la couverture, et pour un second avis sur une adresse précise, le vérificateur d’abus d’IP indique combien de flux la corroborent : les flux sont actualisés toutes les 6 heures, les indicateurs ne s’appliquent actuellement qu’aux plages IPv4, et les proxys résidentiels ne sont pas détectés ; un résultat négatif signifie donc « non connu » plutôt que « définitivement direct ». Traitez les indicateurs comme une raison d’ajouter une étape, comme demander une preuve de localisation ou appliquer un examen plus strict, plutôt que comme un bannissement automatique.

Pour comprendre ce qui se cache derrière un résultat inattendu, la recherche d’ASN nomme l’exploitant d’un réseau, ce qui distingue rapidement un hébergeur d’un FAI grand public.

Alternatives et compléments

Lorsque l’obligation concerne qui est l’utilisateur plutôt que où il se trouve, la géographie est un mauvais indicateur. Les règles d’âge sont mieux servies par une vérification d’âge au niveau du compte. Les licences territoriales peuvent être plus faciles à respecter en négociant des droits plus larges. Le filtrage des sanctions fonctionne mieux sur les données d’identité et de paiement, la localisation servant de contrôle complémentaire. Combiner des signaux, comme le pays de l’IP, le pays de facturation et l’historique du compte, produit moins de faux blocages que n’importe lequel pris isolément. Vous pouvez essayer gratuitement le volet IP : GET https://ipto.to/v1/ip ne demande aucune inscription et autorise 1 000 requêtes par jour, et la référence des champs se trouve dans la documentation de l’API.

Réponses directes