Comment fonctionne ce test
Deux modes. Champ vide, le détecteur examine votre propre connexion : adresse d’origine, en-têtes ajoutés par le navigateur ou le proxy, valeurs collectées par le script côté navigateur. Avec une adresse dans le champ, il n’examine que cette adresse, avec les signaux qui décrivent un réseau et non une personne. Pour tester un proxy, faites les deux : son adresse de sortie, puis une recharge champ vide en passant par lui.
Douze signaux sont notés, chacun avec un statut (OK, À vérifier, Échec ou Note), une déduction de points et une phrase de preuve ; le score part de 100. Les signaux réseau (hébergeur, Tor, réseau VPN connu, Spamhaus DROP, listes noires) viennent des données de routage publiques, de listes téléchargées chaque jour et de 8 requêtes DNSBL. Les signaux requête (en-têtes de proxy, automatisation, langue) viennent de la requête HTTP elle-même. Les signaux navigateur (fuseau horaire, WebRTC, résolveur DNS, IPv6) sont collectés par le script et renvoyés pour comparaison avec les données de l’IP ; ces lignes indiquent « Non lancé » en attendant.
Pays et fuseau de l’IP viennent de la base DB-IP Lite, actualisée chaque mois ; le type de réseau, de la table de routage publique et de nos règles. Rien n’est envoyé à un tiers. Le score d’anonymat présente le même moteur sous forme d’anneau avec liste de correctifs.
Comment lire votre résultat
Tranches de score : sain à 80 et plus, prudence de 50 à 79, risqué sous 50. La vue ligne par ligne est plus utile, car un proxy échoue en général sur une ou deux lignes précises.
| Signal | Points | Échec quand |
|---|---|---|
| Centre de données ou hébergeur | -25 | Plage de centre de données, ou nom de réseau évoquant l’hébergement |
| Nœud de sortie Tor | -40 | Adresse dans la liste de sortie Tor du jour |
| Réseau VPN ou proxy connu | -20 | Nom de réseau d’un service VPN ou proxy commercial |
| Plage Spamhaus DROP | -20 | Adresse dans une plage listée DROP |
| Listes noires | -5 par liste, jusqu’à -20 | Adresse sur 1 ou plus des 8 DNSBL |
| Fuseau horaire et localisation IP | -10 | Fuseau absent du pays de l’IP, décalage différent |
| Langue du navigateur et pays | -5 | Première langue inhabituelle pour le pays, et pas l’anglais |
| IP publique WebRTC | -15 | Adresse publique WebRTC différente de l’adresse de connexion |
| Localisation du résolveur DNS | -15 | Requêtes DNS résolues depuis un autre pays que l’IP |
| Adresse IPv6 | -15 | IPv4 en tunnel, mais IPv6 joignable localisée dans un autre pays |
| En-têtes de proxy | -10 | Via, X-Forwarded-For, Forwarded ou similaire présent |
| Signaux d’automatisation | -20 | Webdriver ou mode headless signalé, ou user agent d’outil |
Un VPN ou proxy bien configuré n’échoue sur rien, sauf la ligne réseau quand la sortie est en centre de données : 25 points perdus d’emblée, et 20 de plus si le nom du réseau VPN est reconnaissable. Le choix de la sortie compte donc plus que tout réglage de navigateur.
Suis-je derrière un VPN ? Regardez l’adresse, le réseau et la localisation sous le score. Votre propre FAI et votre ville : aucun tunnel actif pour ce navigateur, même si l’application dit « connecté ». Un hébergeur ou une marque VPN et le pays du serveur choisi : le VPN transporte votre trafic web.
Mon VPN fonctionne-t-il ? Trois lignes de fuite. IP publique WebRTC doit être OK ou égale à l’adresse de connexion ; une autre adresse publique est la vôtre. Localisation du résolveur DNS doit nommer le pays de la sortie ; le résolveur de votre FAI signifie que vos requêtes DNS contournent le tunnel. Adresse IPv6 doit indiquer aucune IPv6, ou une IPv6 dans le pays de la sortie ; une IPv6 dans votre vrai pays signifie que le tunnel ne transporte que l’IPv4.
Comment corriger
Les deux premières lignes concernent l’adresse et ne se corrigent pas dans le navigateur ; les autres sont des réglages.
- Centre de données, réseau VPN, Tor, DROP, listes noires. Changez de sortie : proxy résidentiel ou mobile, ou serveur VPN sortant sur un réseau grand public ; revérifiez avec le vérificateur d’IP. Pour Tor ou DROP, pas de contournement.
- Fuseau horaire. Réglez l’horloge sur le fuseau de la sortie. Windows : Paramètres, Heure et langue, Date et heure ; macOS : Réglages Système, Général, Date et heure ; Android : Paramètres, Système, Date et heure ; iOS : Réglages, Général, Date et heure ; partout, fuseau automatique désactivé. Navigateurs antidétection : fuseau du profil déduit du proxy.
- IP publique WebRTC. Activez la protection WebRTC du client VPN ou de l’extension, ou coupez WebRTC ; étapes par navigateur sur le test de fuite WebRTC. En antidétection, mode « remplacer » ou « altéré », pas « désactivé », rare et remarquable.
- Résolveur DNS. Dans le client VPN, envoyez le DNS par le tunnel. Pour un proxy, faites aussi passer le DNS par le proxy (DNS distant en SOCKS5) et ne laissez pas un DNS chiffré pointer vers votre pays. Le test de fuite DNS montre les résolveurs utilisés.
- Adresse IPv6. Activez l’IPv6 dans le client VPN pour le tunneliser, ou désactivez-le sur la carte réseau pendant la connexion. Étapes par système sur le test IPv6.
- En-têtes de proxy. C’est le logiciel du proxy qui les ajoute. Passez en mode élite ou haute anonymité, ou changez de fournisseur. Vérifiez sur la page en-têtes HTTP.
- Langue du navigateur. Ajoutez la langue du pays de sortie, ou laissez l’anglais en premier, qui passe toujours.
- Automatisation. Connectez-vous depuis un profil normal, ni piloté ni headless ; une automatisation légitime ne passera pas, ici comme sur les sites stricts.
Si le compte utilise la double authentification, préparez le code dans le même profil avant de vous connecter ; un code TOTP de 2fagen.com fonctionne comme toute application d’authentification.
Limites de ce test
- Le classement réseau repose sur des règles : plages de centres de données, mots-clés dans le nom du réseau, listes Tor et DROP. Un hébergeur au nom fade peut passer, un FAI au nom malheureux échouer ; la preuve est imprimée sur chaque ligne.
- Nous détectons les catégories pour lesquelles nous avons des données. Les bases antifraude commerciales recensent des pools de proxys résidentiels et des adresses abusives non publics ; OK ici ne signifie pas qu’elles n’ont rien.
- Les lignes navigateur exigent JavaScript ; sans lui, seuls les groupes réseau et requête sont notés.
- La règle de fuseau est volontairement indulgente : tout fuseau utilisé dans le pays de l’IP, ou au même décalage actuel, passe. Un site peut être plus strict.
- La règle de langue est faible : beaucoup naviguent en anglais ; nous ne retirons que 5 points.
- Une adresse tierce n’est jugée que sur les signaux réseau, faute de session de navigateur.
- Aucun test ne prouve l’anonymat. Le score décrit votre connexion face à 12 vérifications publiées ; il ne dit rien des comptes, cookies ou données de paiement qui vous identifient indépendamment de l’adresse.
Comment les sites web détectent proxys et VPN
L’essentiel de la détection utilise les faits publics de cette page. Le réseau qui annonce une adresse est public, comme les listes de centres de données, de sorties Tor et de blocs loués par les VPN ; une adresse d’hébergeur est traitée comme un serveur par défaut. Puis les en-têtes : X-Forwarded-For avec votre vraie adresse, ou Via. Puis les contrôles de cohérence entre adresse et navigateur : fuseau horaire et langues comparés au pays de l’IP, WebRTC qui révèle une adresse hors du tunnel, fuite DNS visible des sites qui exploitent leurs propres serveurs de noms. Certains sites vont plus loin : latence comparée à la distance impliquée par l’IP, caractéristiques TCP et TLS différentes entre un téléphone et une passerelle VPN, nombre de comptes apparus depuis la même adresse. L’entrée détection de VPN du glossaire détaille chaque méthode.
Sorties résidentielles, mobiles et en centre de données
La ligne réseau dépend du type de sortie. Une IP de centre de données appartient à un hébergeur : bon marché, rapide, stable, et la plus facile à signaler. Une IP résidentielle est attribuée par un FAI à une ligne domestique ; un proxy résidentiel hérite de sa réputation, bonne tant que peu de clients la partagent. Une IP mobile appartient à un opérateur et est partagée par de nombreux téléphones derrière du CGNAT, d’où la réticence des sites à la bloquer. Pour les services stricts, seules les sorties mobiles et résidentielles dans le pays du compte passent la ligne réseau ; le reste consiste à ne pas gâcher cet avantage par une fuite.
Proxys transparents, anonymes et élite
Un proxy transparent transmet votre vraie adresse dans X-Forwarded-For ou Forwarded. Un proxy anonyme la retire mais ajoute Via ou similaire : la destination sait qu’un proxy intervient. Un proxy élite n’ajoute rien ; la destination voit une requête ordinaire venant de l’adresse du proxy. La ligne en-têtes de proxy distingue les trois. Un proxy résidentiel peut être transparent : type de réseau et en-têtes sont indépendants, et les deux doivent être corrects.