Lire un résultat d’IP lookup : le guide de terrain pour les équipes support

Les agents support sont ceux qui consultent vraiment des résultats d’IP lookup toute la journée, souvent avec un client mécontent en attente de réponse. Voici le guide de terrain que nous leur mettons entre les mains.

Commencez par le type de connexion, pas par le score

Le score est une synthèse. Le type de connexion, lui, décrit la nature du réseau. Procédez dans cet ordre :

• Residential — une ligne d’accès grand public fournie par un FAI. Dans l’immense majorité des cas, il s’agit d’un utilisateur réel, sauf si l’adresse est connue comme point de sortie de proxy résidentiel.
• Mobile — un réseau d’opérateur mobile derrière du NAT à grande échelle. Des milliers d’abonnés peuvent partager la même adresse IP : le raisonnement “par IP” y est donc fragile.
• Business — une plage d’entreprise. Elle peut être partagée par tout un bureau ; attendez-vous à voir plusieurs utilisateurs derrière une seule adresse.
• Hosting / datacenter — un serveur, pas une connexion domestique. Quelque chose relaie, collecte, scrape ou automatise le trafic.

Si un client conteste un blocage et que le type est résidentiel, il est probable que vos règles aient été trop strictes. S’il s’agit d’un réseau d’hébergement, demandez-lui par quoi il se connecte exactement.

Regardez ensuite l’organisation et l’ASN

L’ASN indique qui opère le réseau. "AS13335 Cloudflare" ne se comporte pas du tout comme un petit revendeur d’hébergement avec un long historique d’abus, même si les deux relèvent de plages datacenter. Le nom de l’organisation suffit souvent à trancher un ticket en quelques secondes : passerelle VPN d’entreprise, université, fournisseur de confidentialité bien connu, etc.

Traitez la géolocalisation comme une estimation

La précision au niveau du pays est généralement bonne. Celle au niveau de la ville l’est beaucoup moins. La géolocalisation IP repose sur des données d’enregistrement et des mesures réseau ; un client situé dans une ville peut tout à fait apparaître dans une autre, à cent kilomètres de là — en particulier sur mobile. Ne dites jamais à un client : "notre système dit que vous êtes à X, donc vous mentez". Dites plutôt que son trafic réseau transite par X.

Comprenez ce que signifient les indicateurs

• Proxy — le trafic est relayé. Cela peut être une passerelle d’entreprise parfaitement légitime, ou un outil utilisé pour de l’abus.
• VPN — un service de confidentialité commercial. C’est extrêmement courant chez des utilisateurs ordinaires et honnêtes.
• TOR — l’adresse figure sur une liste publique de nœuds de sortie. L’intention d’anonymat est forte, mais TOR est aussi utilisé par des journalistes, des chercheurs et des profils à risque.

Un indicateur VPN, à lui seul, ne prouve pas une fraude. Des millions de personnes gardent un VPN activé en permanence parce que leur navigateur ou leur antivirus en intègre un.

Une échelle d’escalade utilisable

• Residential, score faible, un seul contrôle échoué → très probablement un faux positif. Rétablissez l’accès.
• VPN ou business, score moyen → demandez au client de réessayer sans VPN, ou vérifiez son identité par e-mail.
• Hosting ou TOR, score élevé, avec d’autres signaux associés (nouveau compte, pays de facturation incohérent, tentatives rapides et répétées) → maintenez la restriction et transmettez à la file fraude.
• Tout blocage touchant un compte payant ancien → débloquez d’abord, enquêtez ensuite. Le coût d’une mauvaise décision n’est pas symétrique.

Notez la raison de votre décision

Lorsque vous clôturez un ticket, consignez le verdict observé et la décision prise. En quelques semaines, ces notes deviennent le meilleur jeu de données possible pour ajuster vos seuils : ce sont des cas réels, étiquetés par des humains, issus de votre propre trafic. Cela vaut bien mieux que n’importe quel seuil générique recommandé.