Comment vérifier la localisation réelle d'un utilisateur (malgré les VPN et proxys)
La géolocalisation IP est facile à falsifier avec un VPN ou un proxy. Découvrez comment vérifier la localisation réelle d'un utilisateur en combinant géolocalisation et détection d'anonymiseurs.
De nombreuses décisions dépendent de l'endroit où se trouve réellement un utilisateur : licences, fiscalité, conformité, règles antifraude. Le problème, c'est que le signal le plus simple, la géolocalisation IP, est aussi le plus simple à falsifier. Voici comment vérifier une localisation à laquelle vous pouvez réellement faire confiance.
Pourquoi la géolocalisation brute ne suffit pas
La géolocalisation IP est précise au niveau du pays, jusqu'à ce que quelqu'un place un VPN ou un proxy en travers du chemin. La localisation que vous voyez appartient alors au serveur de l'anonymiseur, pas à l'utilisateur. Puisque déplacer votre localisation apparente est justement le but d'un VPN, vous ne pouvez pas faire confiance à la géolocalisation sans d'abord vérifier si elle est masquée.
Vérifiez si une localisation est masquée par un VPN
La vérification en deux étapes
- Recherchez la localisation avec la géolocalisation IP : pays, région, fournisseur d'accès.
- Recherchez les anonymiseurs avec l'API de détection VPN et l'API de détection de proxy. Si l'IP correspond à un VPN, un proxy ou un nœud de sortie Tor, la localisation n'est pas fiable.
Seule une localisation sans anonymiseur détecté doit être considérée comme la localisation réelle de l'utilisateur, et même dans ce cas, privilégiez le niveau pays au niveau ville.
Matrice de décision
| Géolocalisation | Anonymiseur ? | Verdict |
|---|---|---|
| Pays X | Aucun | Pays X fiable |
| Pays X | VPN/proxy/Tor | Non fiable : localisation probablement masquée |
| Signaux incohérents | Quelconque | Enquêter / challenger |
Où cela compte
- Licences et contenu : faire respecter les droits régionaux ; les VPN sont le principal outil de contournement. Voir comment restreindre géographiquement un contenu.
- Conformité / KYC : confirmer que le pays déclaré par un utilisateur n'est pas masqué.
- Règles antifraude : une localisation masquée sur un paiement est un signal de risque qu'il vaut la peine d'évaluer avec un score de fraude IP.
Gérer les localisations masquées
Il ne faut pas forcément bloquer : la décision dépend du contexte. Pour du contenu, vous pouvez bloquer le contournement. Pour des inscriptions ou des paiements, challengez ou vérifiez. Consignez toujours l'indicateur d'anonymiseur à des fins d'audit.
En résumé
Pour vérifier la localisation réelle d'un utilisateur, ne faites jamais confiance à la géolocalisation seule : détectez d'abord si un VPN ou un proxy la masque. Une localisation propre (non anonymisée) au niveau du pays est fiable ; une localisation masquée doit être considérée comme non fiable et intégrée à vos règles antifraude ou de conformité.