Comment détecter les bots grâce à l'adresse IP

Pour détecter les bots par adresse IP, vérifiez l'IP du client sur les endpoints sensibles et regardez de quel type de réseau elle provient. L'essentiel du trafic automatisé arrive de réseaux d'hébergement et de centres de données, de proxys, de VPN ou de Tor : ces catégories de réseau et la réputation de l'IP forment donc le premier filtre. Les robots qui se présentent comme Googlebot ou GPTBot se vérifient avec les plages d'IP publiées par leurs opérateurs, et tout le reste reçoit un score.

Pourquoi l'IP est un signal de bot si fiable

Faire tourner une opération de bots digne de ce nom implique d'envoyer beaucoup de requêtes. Pour éviter les limitations de débit basiques, les opérateurs passent par des proxys, des VPN, Tor ou des serveurs cloud. Chacune de ces options laisse une empreinte au niveau de l'IP :

• IP de datacenter / hébergement: les bots adorent le cloud bon marché.
• Proxys: en particulier les proxys résidentiels rotatifs qui imitent de vrais utilisateurs.
• VPN: pour masquer l'origine et contourner les règles géographiques simples.
• Nœuds de sortie Tor: pour un anonymat total.

Une requête provenant de l'une de ces sources n'est pas automatiquement un bot, mais elle est automatiquement plus suspecte qu'une requête venant d'une connexion résidentielle stable.

Le cas le plus net apparaît dans les statistiques : un pic d'« utilisateurs » venus de Chine ou de Singapour, sans aucun engagement, presque tous issus de réseaux cloud. Voir le trafic bot de Chine et de Singapour.

Les signaux IP qui démasquent les bots

1. Origine d'hébergement. Un trafic provenant d'un ASN cloud ou d'hébergement qui se fait passer pour un visiteur ordinaire est le signe classique d'un bot. Les données ASN le révèlent.
2. Type de proxy. Les proxys résidentiels sont l'indicateur le plus fort d'une évasion délibérée, voir qu'est-ce qu'un proxy résidentiel.
3. Utilisation d'un VPN. Courant pour le credential stuffing et le multi-comptage.
4. Tor. Anonymisation complète ; à traiter avec prudence sur les endpoints sensibles.
5. Réputation. Des abus antérieurs depuis l'IP ou sa plage augmentent le risque.

Transformer les signaux en décision

Plutôt que de réagir à chaque signal séparément, regroupez-les en un score. Un score de fraude IP combine les signaux proxy, VPN, Tor, hébergement et réputation en une seule valeur de 0 à 100, ce qui permet une règle aussi simple que :

• score < 30 → autoriser
• 30–70 → défi (CAPTCHA, vérification)

• 70 → bloquer ou envoyer en revue

Cela garde la logique simple dans votre application, pendant que le travail lourd se fait dans la recherche.

Une configuration pratique

Une défense anti-bot basée sur l'IP solide ressemble à ceci :

1. Sur les endpoints sensibles (connexion, inscription, paiement, recherche, API), interrogez l'IP du client via l'API de détection de proxy.
2. Mettez sur liste blanche les bons bots connus (robots des moteurs de recherche et votre propre supervision) grâce à leurs plages publiées.
3. Notez tout le reste et appliquez une friction proportionnelle au score.
4. Ajoutez le comportement comme couche supplémentaire pour les cas difficiles : vitesse des requêtes, en-têtes manquants, timing d'interaction impossible.

Ne comptez pas uniquement sur l'IP pour les bots les plus tenaces

Les bots les plus avancés achètent des IP résidentielles fraîches et imitent le comportement humain. Les signaux IP augmentent quand même leur coût et interceptent la majorité, mais associez-les à une analyse comportementale pour une défense en profondeur. L'IP est le filtre initial le moins cher et le plus rapide, pas toute la stratégie.

En résumé

La plupart des bots se trahissent au niveau réseau en passant par des proxys, des VPN, Tor ou des IP d'hébergement. Vérifiez l'IP du client sur les endpoints sensibles, regroupez les signaux en un score, puis bloquez ou lancez un défi selon ce score, avant d'ajouter des signaux comportementaux pour la minorité la plus sophistiquée.