Pourquoi votre adresse IP est signalée
La « pureté d’IP » est le nom informel de la réputation IP : le jugement que les serveurs de messagerie, les sites web et les systèmes antifraude portent sur une adresse IP avant de décider ce qu’ils vont lui autoriser. Il n’existe ni score unique de pureté, ni autorité centrale pour le délivrer. À la place, des dizaines de listes et de bases de données indépendantes tiennent chacune leur propre registre — quelles adresses ont envoyé du spam, lesquelles appartiennent à des centres de données, lesquelles sortent du réseau Tor — et chaque service que vous visitez consulte la combinaison à laquelle il fait confiance. Cet article explique qui tient ces registres, pourquoi un utilisateur parfaitement ordinaire peut hériter d’une adresse signalée, ce que mesurent vraiment les indicateurs courants, et ce que vous pouvez et ne pouvez pas faire face à une mauvaise réputation que vous n’avez pas méritée. Vous pouvez voir votre propre adresse comme ces systèmes la voient grâce au contrôle de pureté IP.
Il n’existe pas de score unique de pureté
L’expression « pureté d’IP » évoque une mesure de laboratoire : un chiffre, objectivement vrai, identique partout. La réalité est plus désordonnée. La réputation est fragmentée entre des systèmes construits pour des tâches différentes. Les listes de blocage basées sur le DNS (DNSBL) existent pour aider les serveurs de messagerie à décider s’ils acceptent une connexion. Les bases de géolocalisation et de renseignement IP classent le type de réseau auquel appartient une adresse — résidentiel, mobile, centre de données, proxy. Les flux d’abus recensent les adresses vues dans des attaques. Le projet Tor publie sa propre liste de relais de sortie. Chaque source répond à une question différente, se met à jour à son propre rythme et contredit les autres dès que leurs données diffèrent.
Tout « score » affiché par un outil de vérification est donc un résumé d’un sous-ensemble choisi de sources à un instant donné — y compris le score de ce site. Deux outils peuvent donner des verdicts différents pour la même adresse sans que l’un ou l’autre ait tort, parce qu’ils ont consulté des listes différentes. La façon honnête de lire un résultat de pureté est de le voir comme un ensemble de signaux distincts, chacun avec sa propre source et ses propres limites, et non comme une note unique. C’est la forme des preuves que cet article parcourt, signal par signal.
Pourquoi une IP innocente se retrouve signalée
La raison la plus fréquente n’a rien à voir avec vous : les adresses sont partagées et recyclées. De nombreux FAI placent des centaines ou des milliers de foyers derrière une seule adresse IPv4 publique grâce au NAT de niveau opérateur (CGNAT), de sorte qu’un voisin abusif empoisonne l’adresse partagée pour tous ceux qui se trouvent derrière elle. Les adresses dynamiques sont réattribuées en permanence, et la réputation suit l’adresse, pas la personne — l’IP que vous avez reçue ce matin appartenait peut-être à une opération de spam la semaine dernière. Les plages des centres de données sont recyclées entre locataires de la même façon, et une plage autrefois louée à un client abusif garde sa tache longtemps après le départ de ce client. Le problème des voisins est assez fréquent pour mériter sa propre histoire : quand vos voisins font blacklister votre IP.
Les sorties partagées étendent le même effet encore plus loin. Un service de VPN ou de proxy canalise des milliers d’utilisateurs à travers une poignée d’adresses de sortie, de sorte que l’abus de quelques-uns marque la sortie et que chaque utilisateur derrière elle hérite des CAPTCHA, des blocages et de la suspicion. Le comportement automatisé provenant d’une plage — scraping agressif, bourrage d’identifiants, scan de vulnérabilités — reçoit le même traitement. Et certaines inscriptions n’ont rien à voir avec l’abus : les listes de politique signalent délibérément les plages résidentielles et dynamiques qui ne devraient pas envoyer de courrier directement sur Internet, quel que soit leur comportement. Un indicateur enregistre l’apparence d’une adresse vue de l’extérieur, pas ce qu’a fait son utilisateur actuel.
Ce que mesurent vraiment les indicateurs proxy, hébergement et mobile
Ces trois indicateurs proviennent de bases de renseignement IP, et ils classent le type de connexion, pas votre comportement. « Hébergement » signifie que l’adresse se situe dans une plage enregistrée au nom d’un centre de données ou d’un hébergeur. « Proxy » signifie que la base pense que l’adresse est un proxy, un VPN ou une sortie Tor. « Mobile » signifie que l’adresse appartient à une plage d’un opérateur de téléphonie mobile. La classification est assemblée à partir des registres d’attribution, du réseau propriétaire, des motifs de nommage du DNS inverse, du trafic observé et des signalements d’utilisateurs — un patchwork d’heuristiques, qui devient en outre obsolète à mesure que les adresses sont réattribuées.
Les faux positifs sont routiniers, et l’exemple le plus clair est une adresse célèbre : le résolveur DNS public de Google, 8.8.8.8, renvoie des indicateurs proxy et hébergement, parce que c’est un service anycast fonctionnant sur une infrastructure de centre de données — exactement ce que repèrent les heuristiques —, alors que ce n’est pas un VPN et que personne ne l’« utilise » pour se cacher. Les points de sortie d’entreprise, les réseaux universitaires, iCloud Private Relay et le NAT de niveau opérateur déclenchent les mêmes indicateurs pour la même raison. Un indicateur est un indice de base de données, jamais un verdict, et c’est pourquoi le contrôle de pureté IP affiche chaque signal séparément, avec sa source, au lieu de les cacher derrière un seul chiffre.
DNSBL : ce que signifie une inscription, et comment fonctionne le retrait
Une liste de blocage basée sur le DNS publie ses inscriptions sous forme d’enregistrements DNS, ce qui rend leur consultation rapide et universelle : inversez les octets de l’IP, ajoutez le nom de la zone et interrogez. Pas de réponse (NXDOMAIN) signifie non inscrit ; une réponse dans la plage 127.0.0.x signifie inscrit, et le code exact indique pourquoi — une source de spam, un hôte compromis, ou une inscription de politique pour une plage qui ne devrait pas envoyer de courrier. Les serveurs de messagerie effectuent cette vérification à l’arrivée d’une connexion et décident eux-mêmes quoi faire : rejeter, différer, ou accepter et filtrer plus sévèrement. Les listes ont des poids très différents : une inscription à Spamhaus ZEN peut faire refuser le courrier par des milliers de réseaux destinataires à la fois, alors qu’une inscription sur une liste disparue ou obscure peut n’importer à personne.
Le retrait commence par la cause, pas par le formulaire. Réparez l’appareil compromis, fermez le relais ouvert, arrêtez l’envoi de spam — puis demandez le retrait à l’opérateur de cette liste, selon la procédure propre à cet opérateur. Certaines inscriptions expirent automatiquement ; d’autres nécessitent un examen manuel ; les inscriptions de politique pour les plages résidentielles dynamiques restent généralement en place, parce que la plage ne devrait vraiment pas envoyer de courrier directement — ces utilisateurs devraient plutôt passer par le relais de leur FAI ou un service de messagerie. La version pas à pas, liste par liste, se trouve dans comment sortir d’une liste noire DNS. Un avertissement : aucun opérateur réputé ne fait payer le retrait, donc quiconque vend un « retrait garanti » vend quelque chose que l’opérateur donne gratuitement.
Une sortie Tor n’est pas un utilisateur Tor
Le trafic Tor atteint l’Internet ouvert via des relais de sortie bénévoles, et chaque site visité par ce trafic voit l’adresse du relais de sortie, pas celle de l’utilisateur. Le projet Tor publie la liste massive des sorties — les adresses des relais actuellement autorisés à sortir — précisément pour que les services puissent les reconnaître. Une adresse de cette liste ne dit rien de la personne derrière une connexion donnée : des milliers d’utilisateurs partagent chaque sortie, pour toutes sortes d’usages, du journalisme et de la recherche jusqu’à l’abus, et l’adresse de sortie ne peut pas les distinguer.
Cette indistinction est la raison pour laquelle de nombreux sites traitent les adresses de sortie avec des frictions supplémentaires plutôt qu’avec confiance : plus de CAPTCHA, un accès en lecture seule, parfois des blocages purs et simples. Le site n’accuse aucun utilisateur en particulier ; il note la sortie dans son ensemble, parce qu’il n’a aucun moyen de noter les utilisateurs derrière elle. La liste elle-même est un instantané qui change constamment à mesure que les relais rejoignent le réseau, le quittent ou changent de politique — une adresse peut y apparaître et en disparaître en quelques heures — et l’export massif ne couvre qu’IPv4. Si votre propre adresse y figure alors que vous n’exploitez aucun relais, l’explication habituelle est le recyclage : l’adresse était une sortie sous un précédent titulaire.
Ce que vous pouvez — et ne pouvez pas — faire face à une IP signalée
Commencez par les gestes simples. Redémarrer un routeur fait généralement tourner une adresse dynamique, ce qui vous donne une nouvelle adresse avec un historique différent — même si la nouvelle peut apporter le sien. Demandez à votre FAI une nouvelle adresse ou, si vous exploitez un serveur, une IP statique : les adresses statiques sont plus faciles à faire retirer des listes et plus faciles à garder propres, parce que leur réputation n’appartient qu’à vous. Si une liste précise vous recense, corrigez la cause et demandez le retrait à cet opérateur. Cessez d’envoyer du courrier directement depuis une connexion résidentielle — passez par le relais de votre FAI ou un fournisseur de messagerie. Et si un service vous bloque pendant que vous utilisez un VPN, changer de serveur de sortie, ou vous déconnecter pour ce service, suffit généralement.
Ce que vous ne pouvez pas faire, c’est acheter une réputation propre, ni contraindre une plateforme privée à lever votre signalement — sa voie de recours est la seule voie, et son score interne n’est pas publié. Et « propre » ne garantit pas la confiance : un résultat propre signifie seulement qu’aucun signal défavorable connu ne s’est déclenché, et les services jugent le comportement séparément — l’historique de votre compte, vos schémas de requêtes et tout ce que votre navigateur révèle —, raison pour laquelle ce que les sites web savent de vous regarde au-delà de l’adresse. La réputation se loue, elle ne s’achète pas : elle suit l’adresse, elle évolue à mesure que les listes se mettent à jour, et la meilleure défense à long terme est une adresse dont l’historique est court, silencieux et à vous.