Questions fréquentes (FAQ)

CleanIP classe les types d'IP selon la cohérence de l'attribution, la finalité du réseau et le risque d'anonymat. Voici les types courants :

Les couleurs indiquent seulement une tendance de risque, pas une conclusion absolue. Le jugement final dépend toujours de l'historique d'abus, de la réputation de l'ASN et du contexte d'usage précis.

Une méthode courante consiste à examiner le type de titulaire de l'ASN. Cependant, cela montre seulement que l'IP appartient à un FAI, pas qu'elle sert réellement à une connexion résidentielle. Par exemple, en Chine, la plupart des IP de serveurs en datacenter traditionnels sont enregistrées au nom des trois grands opérateurs (China Telecom, China Unicom, China Mobile), puisque ce sont des FAI, alors que ces IP servent en réalité à des serveurs en datacenter.

CleanIP combine le type d'ASN, le nom de l'organisation, le DNS inverse, les ports ouverts, les bannières de service, les signaux proxy/VPN et le comportement historique pour trancher. Cela permet de distinguer deux cas faciles à confondre : les IP de serveurs en datacenter enregistrées au nom d'un opérateur, et les points de sortie de proxys résidentiels déguisés en connexions résidentielles.

IP native désigne une IP dont le pays d'enregistrement de la plage correspond au pays de géolocalisation sélectionné. Si les deux pays diffèrent, l'IP est dite broadcast. Le pays d'enregistrement de la plage est celui des fichiers de délégation quotidiens des cinq RIR, c.-à-d. le pays du titulaire auquel le RIR a attribué le bloc : c'est le même critère que le pays d'enregistrement de MaxMind et des autres grandes bases de données. Ce n'est que lorsque le fichier de délégation ne donne qu'un code de région que nous nous rabattons sur whois et RDAP. Le pays inetnum du whois est renseigné par le titulaire lui-même et ne détermine pas le verdict. Un pays d'enregistrement de l'ASN différent fait l'objet d'un avertissement inter-régions distinct et ne modifie jamais ce verdict. Les réseaux résidentiels comme ceux des datacenters peuvent utiliser des IP natives.

Certains fournisseurs IDC mondiaux et multinationaux (comme AWS, GCP et Azure) achètent de grands blocs d'IP pour en simplifier la gestion et les annoncent dans plusieurs pays. Ce type d'IP est appelé IP broadcast.

Une IP marquée comme native appartient généralement à une connexion résidentielle ou à un fournisseur IDC local. Une IP affichée comme broadcast n'appartient généralement ni à une connexion résidentielle ni à un fournisseur IDC local.

CleanIP détermine si une IP est native d'après son lieu d'enregistrement. Si le pays d'enregistrement correspond au pays de l'adresse géolocalisée, elle est affichée comme « IP native » ; sinon, comme « IP broadcast ». Le tableau « Historique d'enregistrement » ci-dessous permet de consulter le lieu d'enregistrement de l'IP et son historique.

Trois raisons typiques, par ordre de fréquence :

1. IP broadcast : le pays d'enregistrement de l'IP diffère du pays de son adresse géolocalisée. C'est courant avec les IDC multinationaux, les fournisseurs cloud, les nœuds d'opérateurs à l'étranger ou les annonces depuis des datacenters. CleanIP le signale par le badge jaune IP broadcast.
2. Infrastructure publique : les DNS publics, les CDN ou les nœuds des plateformes cloud mondiales peuvent utiliser les mêmes blocs d'adresses dans plusieurs régions ; les bases de géolocalisation peuvent donc indiquer des pays ou des villes différents selon l'emplacement de la sonde et le point de vue du routage.
3. Retard des bases géo : après un changement de titulaire d'un bloc d'IP, les fournisseurs de géolocalisation se mettent à jour à des rythmes différents (les bases commerciales sont généralement mises à jour chaque semaine, certaines sources gratuites chaque mois ou moins souvent). Les écarts tendent à se résorber avec le temps ; les données périmées d'une minorité de sources ne peuvent être repérées que par recoupement.

CleanIP compare côte à côte les données de géolocalisation, d'ASN et de titulaire du réseau issues de plusieurs sources. Plus elles concordent, plus la fiabilité est élevée ; en cas d'écart net, CleanIP signale en priorité les causes probables, comme une IP broadcast, une infrastructure publique ou le retard d'une base de données.

CleanIP fournit deux scores indépendants qui vont en sens opposés ; ne les confondez pas :

Pour la plupart des IP, les deux scores sont corrélés négativement (un score de pureté élevé va généralement de pair avec un score de risque plus faible), mais ils ne sont pas exactement complémentaires. Leur calcul diffère : la pureté est un score de qualité composite, tandis que le score de risque est davantage orienté vers les menaces et les décisions de blocage.

Le score de pureté (0–100, plus il est élevé, plus l'IP est propre) est une combinaison pondérée de 6 dimensions :

• Confiance dans l'identité (20 %) : cohérence entre le pays d'enregistrement de la plage d'IP et son pays de géolocalisation, validation RPKI et appartenance éventuelle à une infrastructure publique connue
• Anonymisation et contournement (25 %) : détection de proxy / VPN / Tor / proxy résidentiel (plus le masquage est poussé, plus la pénalité est forte)
• Historique d'abus (20 %) : nombre et ancienneté des signalements d'abus, recoupés entre plusieurs sources de données
• Présence sur listes noires (15 %) : 21 sources DNSBL, bases de données de honeypots (HTTPBL) et listes d'IP compromises connues
• Comportement d'attaque (10 %) : nombre d'attaques observées sur l'ensemble du réseau, qui reflète des scans actifs ou des tentatives de force brute
• Réputation locale (10 %) : évaluation de réputation propre à CleanIP et événements de menace des 30 derniers jours

Correspondance des notes:

Le score ne repose pas sur un seul champ ; c'est un jugement composite issu de six dimensions combinées : identité, anonymat, abus, listes noires, attaques et réputation locale.

Le score de risque est un score distinct, indépendant de la pureté (0–100, plus il est élevé, plus l'IP est dangereuse, soit le sens inverse de la pureté). Il sert spécifiquement aux décisions antifraude des services : faut-il bloquer l'IP ou la mettre sur liste noire ?

Les données antifraude proviennent de la surveillance par honeypots, des signalements d'abus, des listes noires DNSBL, de l'analyse comportementale et d'autres sources multidimensionnelles. La valeur de risque d'une IP diminue avec le temps, à mesure que les enregistrements antifraude vieillissent.

Remarque : le grand chiffre de la page d'accueil est le score de pureté, et non le score de risque. Plus la pureté est élevée, mieux c'est ; plus le score de risque est élevé, plus c'est dangereux.

Le score de risque n'est pas directement lié au fait qu'une IP soit résidentielle ou non. Si une IP résidentielle a déjà servi à des scans, des attaques par force brute, du crawling ou des attaques sortantes, son score de risque peut être élevé. À l'inverse, même une IP de datacenter peut avoir un score de risque faible si aucun comportement malveillant n'a été enregistré.

Raisons courantes d'un score élevé sur une connexion résidentielle :

• • Contamination historique — un ancien utilisateur a fait passer du trafic de proxy, de crawling ou d'attaque par cette IP, et les sources de données en ont gardé la trace
• • Marquage du préfixe entier — une IP malveillante se trouve ailleurs dans le même bloc /24, et les sources de données ont marqué tout le bloc
• • Appareil compromis — un objet connecté (IoT) du foyer a été compromis et a rejoint un botnet
• • Client de proxy résidentiel — un logiciel de proxy résidentiel comme ProxyScrape ou 911 tourne sur le réseau

La classification de CleanIP au niveau des blocs d'IP est assez précise. Mais l'usage des adresses IP n'est pas figé : un grand nombre d'IP changent de mains chaque jour. La précision globale des données est d'environ 95 %.

Pour savoir si une IP a récemment changé de mains, regardez la date de « première apparition » dans les données ASN. Si les données de cette IP sont récentes, son titulaire ou son statut a peut-être changé.

L'évaluation de sécurité des plateformes estime la probabilité que cette IP déclenche une vérification, des restrictions ou un blocage selon les usages. Elle tient compte du type d'IP, du risque d'anonymat, de la cohérence géographique, de l'historique d'abus et de la tolérance de chaque plateforme. Les évaluations se répartissent en trois niveaux :

• Sûr : généralement adapté à un usage durable, avec une faible probabilité de déclencher une vérification supplémentaire
• Risque : peut déclencher occasionnellement une vérification ou des restrictions
• Blocage : forte probabilité d'être restreint ou banni

L'évaluation de sécurité des plateformes n'est pas une garantie. L'historique du compte, l'empreinte de l'appareil, le moyen de paiement, la région et le comportement d'accès influencent tous la décision finale des systèmes antifraude.

Les plateformes n'ont pas toutes la même sévérité en matière de contrôle des risques :

• Tolérantes (YouTube, X/Twitter, Facebook, e-commerce, jeux vidéo) : surveillent surtout Tor, les proxys publics et les abus graves
• Strictes (Netflix, Disney+, TikTok) : bloquent activement les IP de datacenter et les VPN
• Niveau paiement : plus sensibles aux services d'anonymisation, aux IP de datacenter, aux incohérences géographiques et aux appareils inhabituels
• Plateformes d'IA : assez sensibles aux proxys et aux IP de datacenter

L'empreinte du navigateur (browser fingerprinting) consiste à collecter une série d'attributs du navigateur et de l'appareil (version du navigateur, système d'exploitation, résolution d'écran, polices installées, fuseau horaire, rendu Canvas/WebGL, etc.) et à les combiner en un identifiant quasi unique, qui permet de reconnaître ou de pister un même appareil sans avoir besoin de cookies.

Signaux d'empreinte courants : User-Agent, résolution d'écran / profondeur de couleur, fuseau horaire / langue, rendu Canvas/WebGL, différences de mesure des polices, empreinte audio, nombre de cœurs logiques (hardware concurrency), etc. Même si vous effacez vos cookies ou utilisez une fenêtre de navigation privée, l'empreinte permet encore de vous reconnaître.

Une fuite WebRTC se produit lorsque le processus de connexion WebRTC du navigateur (échange de candidats ICE) expose involontairement votre adresse IP locale ou votre IP publique réelle : même avec un VPN ou un proxy, un site visité peut alors voir votre IP réelle.

• Chrome : installez l'extension « WebRTC Network Limiter » (publiée par Google) ou « WebRTC Leak Prevent »
• FirefoxOuvrez about:config puis définissez media.peerconnection.enabled sur false

L'empreinte JA3 est une empreinte de hachage générée en analysant les champs du message Client Hello envoyé par le client lors de la poignée de main TLS (version SSL, suites de chiffrement, extensions, courbes elliptiques, etc.), qui identifie de façon unique l'implémentation du client. Les navigateurs et applications utilisent des combinaisons de paramètres TLS différentes pour établir des connexions HTTPS, et ces différences forment une sorte d'« empreinte de la couche réseau ».

JA4 est une version améliorée de JA3 qui corrige sa sensibilité aux changements d'ordre, ce qui permet de mieux distinguer des implémentations légèrement modifiées.

« Double FAI » signifie seulement que le titulaire de l'IP est un FAI, et non que l'IP sert réellement à une connexion résidentielle. Par exemple, l'IP 110.242.68.66 renvoyée par ping baidu.com appartient à China Unicom, avec un ASN de type FAI, mais il s'agit en réalité d'une IP de serveur de Baidu.

Le moteur de détection de serveurs de CleanIP s'appuie sur le DNS inverse, le scan de ports, l'analyse des bannières et d'autres techniques pour repérer les véritables IP de serveur au sein des réseaux de FAI, pour une classification plus précise.

CleanIP combine des flux commerciaux de renseignement IP, des données réseau publiques, des bases de données de routage, des listes noires DNS et ses propres données comportementales. Chaque source couvre des dimensions différentes :

• Géolocalisation et titulaire de l'ASN
• Détection de proxy, VPN, Tor et proxy résidentiel
• Signalements d'abus et inscriptions sur listes noires
• Trafic des ASN et profilage réseau
• Routage BGP et historique d'enregistrement
• Ports ouverts et empreintes de service
• Honeypots maison et surveillance comportementale
• Base de marques et d'infrastructures publiques maintenue manuellement

Lorsque les sources divergent, CleanIP privilégie une conclusion explicable et laisse ouvert un canal d'avis des utilisateurs pour corriger les cas anormaux.

« Utilisateurs partagés » est une estimation du nombre d'utilisateurs distincts associés à une adresse IP, fondée sur la surveillance et l'analyse de données massives à l'échelle d'Internet. Une IP partagée par de nombreux utilisateurs indique généralement une IP de proxy public ou de VPN.

Le NAT étant très répandu en Chine continentale, un grand nombre d'utilisateurs finaux accèdent à Internet via la même IP publique, ce qui est un comportement réseau normal. C'est pourquoi le système n'affiche pas par défaut l'indicateur d'utilisateurs partagés pour les adresses IP de Chine continentale.

Les adresses IP résidentielles restent généralement enregistrées sous un ASN et une organisation fixes, et changent rarement. Quand l'ASN ou l'organisation titulaire d'une IP change fréquemment dans son historique, son rattachement est instable : on parle couramment d'IP « peu propre ».

Les tableaux d'historique ASN et d'historique d'entreprise permettent de voir clairement tous les changements de l'IP, ce qui aide à évaluer sa stabilité.

Le module de collecte de données de CleanIP identifie les IP appartenant aux CDN courants (Cloudflare, Akamai, Tencent Cloud CDN, Alibaba Cloud CDN, etc.). Si vous utilisez un proxy inverse sur votre serveur et que le domaine relayé passe par un CDN, l'IP de votre serveur peut être identifiée comme une IP de CDN.

CleanIP effectue un scan de connexion TCP sur 26 ports courants de l'IP cible. En plus de découvrir les ports ouverts, il réalise :

• Récupération de bannières : identification du logiciel et de la version exacts qui tournent sur les ports ouverts
• Correspondance CPE : association des logiciels identifiés à des identifiants CPE normalisés
• Déduction d'étiquettes : déduction du type d'IP à partir des combinaisons de ports et des données CPE (p. ex. CDN, base de données, IoT)
• Correspondance de vulnérabilités CVE : comparaison des versions logicielles identifiées avec les bases de vulnérabilités CVE connues

CPE (Common Platform Enumeration) est un schéma normalisé de dénomination des logiciels ; par exemple, cpe:/a:nginx:nginx:1.24.0 désigne Nginx 1.24.0.

CVE (Common Vulnerabilities and Exposures) est l'identifiant standard des vulnérabilités de sécurité connues ; par exemple, CVE-2024-6387 est une vulnérabilité d'exécution de code à distance dans OpenSSH. CleanIP compare automatiquement les versions logicielles scannées aux CVE connues de gravité élevée.