CGNAT : pourquoi une adresse IP ne correspond pas à un utilisateur

Beaucoup de règles anti-abus reposent encore sur une hypothèse qui n’est plus vraie depuis longtemps : une adresse IP permettrait d’identifier un utilisateur. Le carrier-grade NAT, ou CGNAT, est l’une des principales raisons pour lesquelles ce raccourci ne tient plus.

Qu’est-ce que le CGNAT ?

Les adresses IPv4 sont arrivées à saturation. Plutôt que d’acheter des blocs d’adresses devenus rares pour chaque abonné, les opérateurs mobiles et de nombreux fournisseurs d’accès fixes placent leurs clients derrière un pool partagé d’adresses publiques, avec une traduction des ports en sortie. Une seule adresse publique peut ainsi représenter des centaines, voire des milliers de foyers ou de smartphones en même temps.

Vu depuis votre serveur, tout ce trafic ressemble à un seul et même client.

Ce que cela casse

Le blocage. Vous bannissez une adresse IP après une tentative de brute force ? Vous risquez de bloquer tout un quartier connecté au même réseau mobile. Pendant ce temps, l’attaquant se reconnecte, récupère une nouvelle adresse du pool en quelques secondes, et reprend son attaque.

Le rate limiting. Une limite de 10 requêtes par minute et par IP peut sembler confortable pour une personne. Elle devient ridiculement restrictive si 2 000 abonnés partagent la même sortie. Aux heures de pointe, vous allez ralentir des utilisateurs légitimes sans même vous en rendre compte : ils partiront, tout simplement.

L’attribution. « Deux comptes depuis la même IP » est un indice très faible de multi-compte sur un réseau d’opérateur. Sur une ligne fibre résidentielle, cela peut vouloir dire quelque chose. Derrière du CGNAT, cela ne signifie presque rien.

L’analytics. Les mesures de visiteurs uniques basées sur l’adresse IP sont sous-estimées sur mobile, et surestimées sur les réseaux qui renouvellent fréquemment les adresses. Dans les deux cas, l’erreur reste généralement invisible dans les tableaux de bord.

Comment reconnaître du CGNAT

Quelques signaux doivent vous mettre en alerte :

• Un type de connexion identifié comme mobile, ou un ASN appartenant à un opérateur mobile.
• Une très forte diversité de requêtes depuis une même adresse : nombreux user agents, nombreux comptes, nombreuses localisations.
• Des adresses issues de l’espace de transition partagé (100.64.0.0/10) présentes dans les headers forwarded.

Une recherche d’IP intelligence vous donne directement les deux premiers éléments, ce qui suffit souvent à adapter la politique appliquée au moment de la requête.

Que faire à la place ?

• Adapter les limites selon la classe de réseau. Les connexions résidentielles peuvent supporter une limite par IP assez stricte. Les plages mobiles et professionnelles doivent bénéficier de seuils beaucoup plus larges, compensés par des limites plus strictes par compte et par appareil.
• Descendre d’un niveau pour l’identité. Quand c’est possible, appliquez le rate limiting sur l’ID de compte, la session ou un signal lié à l’appareil. L’IP doit servir de clé secondaire, pas de clé principale.
• Privilégier les challenges aux blocages. Un challenge crée une friction sur un réseau partagé ; un blocage le punit collectivement.
• Réduire fortement la durée de vie des sanctions. Si vous devez bloquer une adresse partagée, raisonnez en minutes, pas en jours. L’attaquant sera parti bien avant l’expiration de votre bannissement.
• Surveiller l’ampleur des dommages collatéraux. Si un seul blocage risque d’affecter plus qu’une poignée de comptes actifs, c’est un signe clair que l’adresse est partagée — et que le blocage n’est pas le bon outil.

Le principe de fond

Une adresse IP décrit un chemin réseau, pas une personne. C’est un signal de risque puissant, mais un très mauvais identifiant. Les systèmes qui respectent cette distinction bloquent beaucoup plus d’abus pour beaucoup moins de faux positifs que ceux qui l’ignorent. Et même si l’adoption d’IPv6 réintroduit en partie une adressabilité par abonné, le problème ne disparaîtra pas tant que le trafic mobile continuera de croître.