Géoblocage : restreindre sans bloquer vos clients

# Géoblocage : restreindre sans bloquer vos clients

Le géoblocage échoue souvent dans deux directions : il laisse passer des utilisateurs déterminés à contourner les règles, tout en bloquant des voyageurs parfaitement légitimes. Avec une approche par couches, ces deux écueils peuvent être largement évités.

Distinguer les trois raisons de bloquer

• Licences. Les droits de diffusion sont territoriaux. Il faut donc pouvoir justifier une décision par pays, et traiter les sorties VPN comme une localisation inconnue plutôt que comme le pays du nœud de sortie.
• Sanctions et conformité. Ici, l’enjeu est juridique, avec une obligation de traçabilité. Chaque décision doit être accompagnée des signaux qui l’ont motivée.
• Abus. Le pays, à lui seul, est un signal faible. Ce sont surtout la classification et le score de risque qui doivent porter la décision.

Mélanger ces trois logiques finit par produire des règles que plus personne ne sait expliquer six mois plus tard.

La règle par couches

if classification in (tor, hosting, vpn) -> location is untrusted, apply policy for unknown else if country in blocked_list -> deny with a clear message else if risk_score > threshold -> challenge, do not deny else -> allow

Le point clé consiste à considérer le trafic anonymisé comme une localisation inconnue, et non comme le pays dans lequel se trouve le nœud de sortie. Sinon, un utilisateur situé dans un marché restreint n’a qu’à choisir une sortie autorisée pour passer entre les mailles du filet.

Rédiger le message d’erreur comme un humain

« Ce contenu n’est pas disponible dans votre région », accompagné d’un lien vers le support, transforme une frustration en ticket que vos équipes peuvent traiter. Une page 403 vide, elle, se transforme vite en chargeback et en mauvais avis.

Traiter explicitement le cas des voyageurs

Un compte ancien qui apparaît soudainement depuis un autre pays est souvent en vacances, pas forcément compromis. Il faut pondérer l’historique du compte davantage que l’IP du moment : renforcer l’authentification plutôt que refuser l’accès, puis mémoriser le résultat pour éviter de déclencher la même règle tous les jours pendant le voyage.

Auditer ce qui a été décidé

Conservez la décision et les signaux qui l’ont produite — pays, classification, score de risque, identifiant de règle — plutôt que la recherche brute. Vous obtenez une piste d’audit, un moyen d’ajuster vos seuils, et vous évitez d’accumuler inutilement des données de localisation sur vos utilisateurs.

Revoir la liste chaque trimestre

Les listes de blocage vieillissent mal. Des marchés s’ouvrent, des licences changent, et une règle ajoutée pour une campagne ponctuelle peut continuer à coûter du chiffre d’affaires pendant des années. Inscrivez cette revue dans le calendrier.