Détection des proxys résidentiels : pourquoi c’est si dur
La détection de proxys résidentiels est la tentative d’identifier le trafic acheminé par des connexions Internet domestiques ou mobiles ordinaires louées par leurs propriétaires, et c’est l’un des problèmes les plus difficiles du renseignement sur les IP. ipto ne détecte pas les proxys résidentiels. Ses indicateurs couvrent les adresses VPN, Tor, abus et datacenter, et un proxy résidentiel ressortira généralement propre ; il vaut donc la peine de comprendre pourquoi avant de concevoir une défense reposant uniquement sur les données d’IP.
Comment fonctionnent les proxys résidentiels
Un proxy de datacenter s’exécute sur un serveur d’un réseau d’hébergement ; son adresse appartient donc à un ASN d’hébergement facile à attribuer. Un proxy résidentiel est différent : l’adresse de sortie appartient à un FAI grand public et est attribuée à un vrai foyer ou à un vrai téléphone. Les fournisseurs accèdent à ces connexions grâce à des logiciels intégrés à des applications, des extensions de navigateur ou des appareils, dont le propriétaire a accepté (souvent sans y prêter beaucoup d’attention) de partager sa bande passante, ou grâce à des logiciels malveillants qui enrôlent des appareils sans consentement. Le trafic d’un client est relayé par l’appareil enrôlé que choisit le fournisseur.
Pour le site cible, la requête arrive d’une adresse appartenant à un FAI normal, dans une plage grand public normale, avec une ville plausible. Rien dans les données d’enregistrement ne la marque comme un proxy, car au niveau du réseau ce n’est pas un service de proxy. C’est une ligne d’abonné légitime qui transporte un trafic que l’abonné n’a pas initié.
Pourquoi la détection par liste échoue
La plupart de la détection de proxys fondée sur l’IP fonctionne par attribution et par listes : listes publiées de sorties VPN et Tor, plus des données d’ASN montrant qu’une adresse se trouve dans un réseau d’hébergement ou de VPN. Cette approche est efficace contre les proxys de datacenter car l’infrastructure est concentrée et stable. Les réseaux résidentiels remettent en cause chacune de ces hypothèses.
- Pas d’infrastructure stable. Les adresses de sortie sont réparties sur des milliers de FAI grand public ; il n’existe donc pas de petit ensemble d’ASN à signaler. Bloquer ces ASN bloquerait des clients ordinaires.
- Rotation constante. Un fournisseur peut attribuer un appareil différent, donc une adresse différente, pour chaque requête ou session. Toute liste est périmée avant d’être publiée.
- Adresses partagées. La même IP peut servir en même temps une vraie famille, un pool de NAT de niveau opérateur avec de nombreux utilisateurs et une session de proxy ; un verdict au niveau de l’adresse est donc ambigu, même en principe.
- Réputation propre au départ. Un appareil récemment enrôlé n’a aucun historique d’abus ; les flux de réputation n’ont donc rien à signaler tant qu’il n’a pas été mal utilisé.
La conséquence pratique est qu’une recherche comme le vérificateur de VPN, Tor et proxy d’ipto qui renvoie « non connu » vous dit que l’adresse ne figure ni dans une liste VPN ou Tor connue ni dans un réseau orienté hébergement. Elle ne vous dit pas que le trafic est humain.
Ce qui peut encore aider
L’IP elle-même portant peu de preuves, la détection se déplace vers le comportement et le contexte. Aucun de ces éléments n’est concluant seul, et tous exigent des données issues de votre propre application plutôt que d’une recherche d’IP.
- Schémas comportementaux : cadence des requêtes, ordre de navigation, chargements de ressources manquants, temps de remplissage de formulaire identiques et durées de session qui ne ressemblent pas à celles de personnes.
- Cohérence du client : un User-Agent analysé qui contredit d’autres en-têtes, les paramètres de langue ou les caractéristiques TLS. Le parseur de User-Agent est un moyen rapide de vérifier si le navigateur et l’OS déclarés sont cohérents entre eux.
- Vélocité entre comptes : de nombreuses inscriptions, connexions ou paiements répartis sur de nombreuses adresses distinctes, chacune individuellement discrète.
- Contexte réseau : la recherche d’ASN vous indique dans quel FAI se trouve une adresse, ce qui aide à voir qu’une rafale de trafic est répartie de façon inhabituellement large entre les fournisseurs, sans pouvoir prouver un proxy.
- Risque combiné : les signaux d’IP, d’e-mail et de téléphone ensemble, comme le fournit le vérificateur de score de fraude, détectent les cas où l’adresse paraît correcte mais pas les informations d’identité.
Concevoir autour de cette lacune
Traitez le renseignement sur les IP comme une couche parmi d’autres, et soyez explicite sur ce qu’elle couvre. La recherche d’IP d’ipto renvoie is_vpn, is_tor, is_abuser et is_datacenter, et ses flux de menaces sont actualisés toutes les 6 heures, ce qui est utile pour la grande part d’automatisation indésirable qui s’exécute depuis des réseaux d’hébergement. Pour le reste, appuyez-vous sur des limites de débit par compte et par action, une vérification renforcée pour les opérations sensibles et des parcours de défi anti-bot qui évaluent le client plutôt que l’adresse.
Méfiez-vous de quiconque promet une identification certaine des proxys résidentiels à partir de la seule adresse IP. L’adresse étant une véritable ligne d’abonné, la position honnête est probabiliste : certains fournisseurs et éditeurs affirment déduire l’usage d’un proxy de l’analyse du trafic ou de données au niveau de l’appareil, mais aucune liste d’IP publique ne peut l’établir. Le contexte connexe sur la construction des listes de VPN se trouve dans comment fonctionne la détection de VPN.