Tapez « où se trouve mon adresse IP » dans un moteur de recherche et vous obtiendrez une page qui indique votre ville. Parfois, c'est exact. Parfois, il y a une erreur de cent miles. De temps en temps, cela indique une ville dans un pays où vous n'êtes jamais allé.
C'est justement cette incohérence qui est intéressante, car elle révèle un détail que l'on a tendance à oublier : la géolocalisation par adresse IP n'est qu'une des sept méthodes au moins qu'un site web peut utiliser pour déterminer où vous vous trouvez, et c'est loin d'être la plus précise. Certaines des autres méthodes offrent une précision de l'ordre de quelques mètres. La plupart d'entre elles ne sont absolument pas affectées par l'utilisation d'un VPN.
Cela a de l’importance dans les deux sens. Si vous essayez de contrôler ce que les sites voient, vous devez savoir quels signaux votre outil couvre réellement. Si vous testez le comportement de votre propre site dans différents pays, vous devez savoir quels signaux modifier pour obtenir un test réaliste.
Nous sommes Geonode, un fournisseur de proxys résidentiels ; considérez donc les sections consacrées aux proxys avec le scepticisme qui s’impose — et notez que nous sommes très clairs quant à nos limites, car un proxy ne traite qu’environ deux des sept méthodes ci-dessous et laisse les autres intactes. C’est dans cette lacune que la plupart des configurations échouent discrètement.
La géolocalisation par adresse IP et ses limites
La méthode que tout le monde connaît, mais qui est aussi la plus mal comprise.
Comment ça marche
Chaque connexion comporte une adresse IP source. C'est inévitable : sans elle, rien ne pourrait être renvoyé.
Les adresses IP sont attribuées par blocs aux organisations, et ces attributions sont rendues publiques par les registres Internet régionaux. Un bloc attribué à un FAI portugais est vraisemblablement utilisé au Portugal. Les bases de données commerciales de géolocalisation partent de là et affinent leurs résultats à l’aide de données supplémentaires : informations de routage, mesures de latence du réseau, enregistrements publiés par les FAI et corrections soumises par les utilisateurs.
Un site recherche votre adresse dans l’une de ces bases de données et obtient un pays, une région, une ville et des coordonnées.
Quelle est sa précision réelle ?
La fiabilité diminue fortement à mesure que la précision augmente :
| Niveau | Fiabilité typique |
|---|
| Pays | Élevée — généralement correcte |
| Région ou département | Bonne sur les grands marchés, plus faible ailleurs |
| Ville | Variable — souvent la mauvaise ville dans la bonne zone |
| Coordonnées | Souvent sans signification |
Les coordonnées méritent une méfiance particulière. Lorsqu’une base de données connaît le pays mais pas la ville, certaines renvoient le centre géographique du pays à titre indicatif. C’est pourquoi certaines localités rurales ont historiquement fait l’objet d’une attention disproportionnée et mal ciblée : elles se trouvaient par hasard au centre de gravité national qu’une base de données largement utilisée renvoyait par défaut. Ces coordonnées n’ont jamais désigné une maison en particulier. Elles signifiaient simplement « quelque part dans ce pays ».
La règle à retenir : la géolocalisation par adresse IP est fiable pour déterminer le pays, mais peu fiable pour toute précision supplémentaire. Les sites qui l’utilisent pour l’octroi de licences de contenu ou la sélection de la devise l’utilisent à bon escient. Les sites qui prétendent localiser votre rue avec précision exagèrent ce que les données permettent de déterminer.
Pourquoi les bases de données IP se trompent
Comprendre les modes de défaillance permet d’expliquer la plupart des résultats étranges que l’on observe.
NAT des opérateurs mobiles. Les réseaux cellulaires acheminent un nombre considérable d’abonnés via des pools d’adresses partagés, souvent ancrés au niveau de passerelles régionales. Votre téléphone peut sembler se trouver dans une ville située à des centaines de kilomètres de là, car c'est là que se trouve la passerelle de l'opérateur. La géolocalisation IP mobile est nettement moins fiable que celle des lignes fixes.
Réseaux d'entreprise. Une entreprise qui achemine le trafic de tous ses bureaux via un point de sortie central fait apparaître chaque employé au siège social, quel que soit le pays dans lequel il se trouve réellement.
Délai de réattribution. Les blocs d’adresses sont transférés entre les organisations et les régions. Les bases de données se mettent à jour selon leurs propres calendriers ; ainsi, un bloc ayant été déplacé d’un pays à un autre peut faire l’objet d’une localisation erronée pendant des mois.
FAI par satellite et en milieu rural. Emplacement des stations au sol plutôt que celui des abonnés.
VPN et proxys. De par leur conception, c’est l’emplacement de l’intermédiaire qui s’affiche.
Incohérences entre bases de données. Les différents fournisseurs disposent de données divergentes. Cela est facile à vérifier : consultez votre propre adresse sur trois services de recherche et vous obtiendrez souvent trois villes différentes. Aucun d’entre eux ne ment ; ils émettent simplement des hypothèses à partir de données d’entrée différentes.
Ce dernier point est d’ordre pratique. Si les sites de recherche ne s’accordent pas sur votre cas, ils ne s’accordent sur celui de personne, et tout système reposant sur la précision des adresses IP au niveau de la ville est construit sur du sable.
Géolocalisation via le navigateur
C'est la méthode la plus précise, et son fonctionnement est totalement différent.
La demande d'autorisation
Lorsqu'un site vous demande votre position et que le navigateur affiche une fenêtre de demande d'autorisation, il sollicite l'API de géolocalisation. Si vous l'autorisez, votre appareil détermine sa propre position et transmet ses coordonnées.
Sur un téléphone, cela signifie le GPS, précis à quelques mètres près à l’extérieur. Sur un ordinateur portable, cela signifie généralement le positionnement par Wi-Fi : l’appareil détecte les réseaux sans fil à proximité et recherche leurs identifiants dans une base de données répertoriant les emplacements connus de ces réseaux. La précision est souvent de l’ordre de quelques dizaines de mètres dans les zones peuplées — une forte densité de réseaux Wi-Fi permet un positionnement précis.
Ce que cela implique pour les proxys
Un proxy ou un VPN n’a absolument aucun rôle à jouer ici.
La localisation provient des capteurs de votre appareil lui-même, et non de votre chemin d’accès au réseau. Acheminez votre trafic via un serveur situé à Singapour, accordez l’autorisation, et le site connaîtra vos coordonnées réelles dans votre ville réelle. Les deux systèmes n’interagissent absolument pas.
C’est la façon la plus courante dont une configuration soignée se trahit : quelqu’un configure correctement un proxy, puis clique par habitude sur « Autoriser » lorsqu’une demande de localisation s’affiche.
La défense
L’autorisation est le point de contrôle, et elle vous appartient entièrement. Refusez-la, ou configurez votre navigateur pour qu’il bloque par défaut les demandes de localisation et n’accorde l’autorisation que pour les sites où vous le souhaitez réellement — les cartes et les services de livraison en étant des exemples évidents.
Aucun site ne peut lire vos coordonnées sans cette autorisation. La demande d’autorisation n’est pas une simple formalité ; c’est tout le modèle de sécurité, et c’est un bon modèle.
Les signaux que l'on oublie
Entre la méthode approximative et la méthode précise se trouve un ensemble de signaux auxquels on pense rarement, tous accessibles sans aucune autorisation.
Fuseau horaire
JavaScript peut lire directement le fuseau horaire de votre système. « America/Sao_Paulo » est nettement plus précis qu’un simple pays : il désigne une région.
C’est là une contradiction classique. Une connexion provenant d’une adresse IP brésilienne indiquant « Europe/Kyiv » ne correspond pas à un utilisateur brésilien. Les systèmes de détection vérifient spécifiquement cette association, car elle est peu coûteuse à tester et permet de repérer immédiatement les configurations naïves.
Paramètres linguistiques
Votre navigateur envoie un en-tête « Accept-Language » à chaque requête, répertoriant vos langues préférées par ordre de priorité. Les paramètres régionaux de votre système sont lisibles séparément depuis JavaScript.
Un navigateur en allemand sur une adresse IP japonaise est possible — les gens voyagent, émigrent — mais c’est suffisamment inhabituel pour être remarqué, et combiné à d’autres incohérences, cela devient un indice déterminant.
Wi-Fi et environnement réseau
Ce point a été abordé plus haut dans la section sur la géolocalisation par navigateur, mais mérite d’être traité séparément : les réseaux Wi-Fi visibles par votre appareil constituent un signal de localisation totalement indépendant de votre adresse IP. Cette fonctionnalité nécessite une autorisation, ce qui explique pourquoi la géolocalisation des ordinateurs portables fonctionne à l’intérieur, là où le GPS ne le fait pas.
WebRTC
Le WebRTC est destiné aux connexions peer-to-peer et, historiquement, pouvait révéler les adresses du réseau local et, dans certaines configurations, votre véritable adresse publique, même derrière un proxy. Les navigateurs ont considérablement renforcé la sécurité à ce niveau, mais il reste utile de tester les fuites, car lorsqu’une faille se produit, elle est totale : une seule requête remet tout en cause.
Devise, unités et formats
Le format de date, le format des nombres, les unités de mesure et la devise par défaut découlent tous des paramètres régionaux et restreignent tous le champ des possibilités.
Conclusion
Aucun de ces éléments ne nécessite de demande d’autorisation. Tous sont lisibles dès le chargement de la page. Et un proxy ne modifie aucun d’entre eux : ils proviennent de la configuration de votre appareil, et non de votre chemin d’accès réseau.
Un proxy dont le fuseau horaire et la langue ne correspondent pas est une contradiction qui se remarque plus rapidement que le fait de ne pas utiliser de proxy du tout.
Signaux comportementaux et liés au compte
La couche qui n’est affectée par aucune configuration technique.
Votre compte. Si vous êtes connecté, la plateforme connaît toutes les informations qu’elle a jamais recueillies à votre sujet — y compris tous les lieux depuis lesquels vous vous êtes déjà connecté. Une seule session depuis un pays différent, alors que l’historique s’étend sur plusieurs mois, constitue une anomalie, et non un déguisement.
Modes de paiement. Pays d’émission de la carte, adresse de facturation et signaux de fraude propres au prestataire de paiement. C’est pourquoi les restrictions géographiques liées au streaming et au commerce en ligne résistent aux VPN : c’est l’étape du paiement qui constitue le contrôle déterminant.
Adresses de livraison. Cela va de soi, et c’est déterminant.
Horaires d’activité. Votre activité est liée à un fuseau horaire. Une personne prétendant se trouver à Tokyo mais dont l’activité suit les horaires de travail européens révèle quelque chose sur elle-même qu’aucun en-tête ne peut contrôler.
Réseau social. Avec qui vous interagissez et où se trouvent ces personnes.
Cohérence historique. Les plateformes conservent l’historique de localisation. Les sauts soudains entre des pays éloignés sont exactement ce que recherche la détection de fraude.
Cette catégorie mérite d’être clairement soulignée : pour un compte connecté, les outils au niveau du réseau sont pratiquement sans intérêt. La plateforme ne se demande pas d’où proviennent vos paquets. Elle examine tout ce qu’elle sait sur le compte, et vos paquets ne constituent qu’une petite partie des informations prises en compte.
Ce qu'un proxy modifie réellement
Voici un aperçu en toute transparence. Sept paramètres, et ce qu'un proxy modifie pour chacun d'entre eux.
| Paramètre | Le proxy le modifie-t-il ? |
|---|
| Géolocalisation par adresse IP | Oui — c'est toute sa fonction |
| Blocages d'accès régionaux | Oui — le site voit l'emplacement du proxy |
| Fuseau horaire | Non — à configurer soi-même |
| En-têtes de langue | Non — à configurer soi-même |
| API de géolocalisation du navigateur | Non — refusez l’autorisation |
| Fuites WebRTC | Uniquement si configuré pour cela |
| Historique du compte et des paiements | Non |
Deux lignes sur sept, plus une qui dépend de la configuration.
À quoi cela sert-il ?
Ces deux lignes sont réellement utiles pour des tâches spécifiques.
Tester votre propre site depuis d’autres pays. C’est le cas d’utilisation légitime le plus évident. Si votre site propose des contenus, des devises ou des prix différents selon les régions, vous devez voir ce que voit un utilisateur de cette région. Un proxy résidentiel situé dans le pays cible vous permet justement de le faire.
Vérification publicitaire. S'assurer que les campagnes s'affichent correctement auprès du public visé.
Surveillance des prix et de la disponibilité. Les prix dans le commerce de détail et le secteur du voyage varient selon les régions, et pour les comparer, il faut donner l'impression de se trouver dans chacune d'entre elles.
Vérification des SERP. Les résultats de recherche diffèrent selon la localisation ; vérifier les classements pour un marché donné implique d'effectuer la recherche depuis ce marché.
Harmoniser le reste
Si vous souhaitez obtenir une image cohérente plutôt qu’une simple adresse IP différente :
- Réglez le fuseau horaire du navigateur pour qu’il corresponde au pays du proxy
- Réglez
Accept-Language et les paramètres régionaux du système en conséquence
- Refusez les demandes d’autorisation de géolocalisation
- Testez explicitement les fuites WebRTC
- Utilisez un profil de navigateur vierge, sans cookies existants
Si vous négligez l’une de ces étapes, vous créerez une contradiction plutôt qu’un camouflage. C’est pire que de ne rien faire, car les systèmes de détection sont précisément conçus pour repérer les contradictions.
Coût
Pour les tests et la surveillance, les volumes sont modestes : une page HTML pèse entre 50 et 200 Ko. Geonode propose des tarifs à partir de 0,79 $/Go avec 1 To gratuit pour les nouveaux comptes, le prix tombant à 0,50 $/Go à partir de 100 Go. Les tarifs du marché varient entre 0,79 $ et 7,00 $ par Go ; il est donc utile de vérifier ce que vous payez si vous utilisez un fournisseur se situant dans la fourchette haute.
Vérifier votre propre configuration
Quelle que soit la raison pour laquelle cela vous intéresse, mieux vaut vérifier que supposer. Chaque vérification ne prend que quelques secondes.
Recherchez-vous dans plusieurs bases de données. Utilisez trois services de recherche d’adresse IP différents et comparez les résultats. Les divergences entre eux vous indiquent le degré de fiabilité que vous pouvez accorder à chacun d’entre eux — généralement moins que ce que l’on imagine.
Comparez votre fuseau horaire à votre adresse IP. Ouvrez la console du navigateur et exécutez la commande Intl.DateTimeFormat().resolvedOptions().timeZone. Si le résultat contredit votre pays apparent, vous êtes confronté à l’incohérence la plus courante.
Vérifiez vos en-têtes de langue. N’importe quelle page d’inspection des en-têtes affiche les Accept-Languages que vous envoyez.
Testez les fuites WebRTC. Des pages dédiées au test de fuites vous indiqueront si votre adresse réelle est exposée derrière un proxy ou un VPN.
Vérifiez vos autorisations de géolocalisation. Dans les paramètres du navigateur, vérifiez à quels sites vous avez accordé l’accès à votre position. La plupart des utilisateurs trouvent des entrées qu’ils ne se souviennent pas avoir approuvées.
Vérifiez le DNS. Les requêtes DNS peuvent contourner un proxy et révéler l'emplacement de votre résolveur. Les outils de test de fuites couvrent également cet aspect.
L'exécution de ces six vérifications prend environ deux minutes et permet de détecter la plupart des failles de configuration qui passent inaperçues.
Le côté légitime de la question
La détection de la localisation n’est pas, par défaut, une pratique malveillante, et la plupart de ses utilisations sont tout à fait courantes.
Licences de contenu. Les droits médiatiques sont vendus par territoire, et les plateformes sont contractuellement tenues de faire respecter cette règle. Il s’agit d’une contrainte juridique, et non d’une préférence technique.
Devise et fiscalité. Afficher les prix dans la devise locale et appliquer le taux de TVA correct nécessite de connaître le pays.
Prévention de la fraude. Une carte utilisée dans un pays et une connexion depuis un autre constituent un signal concret, et les vérifications de localisation permettent d’éviter un nombre significatif de fraudes.
Conformité réglementaire. Les réglementations en matière de protection des données, de jeux d’argent et de finance varient selon les juridictions, et les services doivent appliquer les règles appropriées.
Personnalisation légitime. Horaires d’ouverture des magasins locaux, délais de livraison estimés, langues régionales.
Où se situe la limite
Les conditions générales d’utilisation restent applicables. Le contournement des restrictions régionales constitue souvent une violation de celles-ci. Tester son propre site est une chose, contourner une restriction de licence sur le site d’un tiers en est une autre.
La fraude reste de la fraude. Falsifier sa localisation pour obtenir quelque chose auquel on n’a pas droit n’est pas une question technique.
La législation sur la protection des données s’applique aux données de localisation en tant que données à caractère personnel ; leur collecte et leur traitement nécessitent une base légale.
Les allégations de précision méritent d’être examinées de près. Tout produit prétendant offrir une précision au niveau de la rue à partir d’une simple adresse IP exagère ce que les données sous-jacentes permettent de confirmer. Cela a de l’importance si des décisions sont prises sur cette base.
Questions fréquentes
Quelle est la précision de la localisation par adresse IP ?
Elle est généralement correcte au niveau du pays, nettement moins précise au niveau de la ville, et souvent sans signification en termes de coordonnées. Lorsqu'une base de données connaît le pays mais pas la ville, certaines renvoient le centre géographique du pays — ce qui explique pourquoi certaines recherches semblent pointer vers un endroit rural spécifique qui n'a rien à voir avec qui que ce soit.
Les sites web peuvent-ils voir mon adresse exacte à partir de mon adresse IP ?
Non. Les données IP ne permettent pas une précision au niveau de la rue. Un site peut obtenir des coordonnées précises via l’API de géolocalisation du navigateur, mais uniquement si vous lui en donnez l’autorisation lorsque vous y êtes invité. Cette invite est le point de contrôle.
Un VPN masque-t-il ma localisation ?
Il modifie les informations que votre adresse IP révèle à votre sujet, ce qui permet de contourner les vérifications basées sur l’IP et les blocages régionaux. Il ne modifie pas votre fuseau horaire, vos paramètres linguistiques, la géolocalisation de votre navigateur, ni aucune autre information dont une plateforme dispose concernant votre compte. Il s’agit là de signaux distincts qui sont divulgués indépendamment les uns des autres.
Pourquoi différents sites de recherche d’adresse IP affichent-ils des villes différentes ?
Parce qu’ils utilisent des bases de données différentes, constituées à partir de sources variées et mises à jour selon des calendriers différents. Aucune n’est faisant autorité. Ces divergences constituent un indicateur honnête du niveau de précision réel de cette méthode.
Pourquoi mon adresse IP indique-t-elle une ville erronée ?
Généralement, cela est dû au routage de l’opérateur mobile (votre trafic sort par une passerelle régionale), à la sortie d’un VPN d’entreprise, à un bloc d’adresses réattribué plus rapidement que les bases de données n’ont pu être mises à jour, ou à un FAI satellite ou rural dont la station au sol se trouve ailleurs.
Les sites peuvent-ils détecter ma localisation si je refuse l’autorisation ?
Ils peuvent tout de même l’estimer à partir de votre adresse IP, de votre fuseau horaire et de vos paramètres linguistiques — de manière approximative. Ils ne peuvent pas obtenir de coordonnées de précision GPS sans l’autorisation que vous leur avez refusée.
Quel est le moyen le plus fiable de contrôler ce que voient les sites ?
Veillez à ce que tous les signaux concordent : un proxy situé dans le pays cible, un fuseau horaire correspondant, des paramètres linguistiques adaptés, l’autorisation de géolocalisation refusée et l’absence de fuite WebRTC. Si l’un de ces éléments n’est pas cohérent, cela annule l’efficacité des autres.
En conclusion
Les sites web disposent d’au moins sept méthodes pour déterminer votre emplacement, et celles-ci ne se valent pas.
La géolocalisation par adresse IP est celle que tout le monde connaît, mais c’est aussi la moins précise : fiable pour le pays, peu fiable pour la ville, et souvent sans intérêt pour les coordonnées.
La géolocalisation par navigateur est la plus précise, au mètre près, et entièrement soumise à une demande d’autorisation sur laquelle aucun proxy n’a d’influence.
Le fuseau horaire, la langue et les paramètres régionaux sont divulgués en permanence, ne nécessitent aucune autorisation et constituent la source la plus courante de contradiction dans la configuration d’un proxy.
L’historique du compte, des paiements et du comportement se situe totalement en dehors de la configuration réseau. Pour un compte connecté, ce sont ces éléments qui déterminent réellement la réponse.
Un proxy couvre deux de ces sept critères. Ce n’est pas négligeable : pour tester le comportement de votre site sur un autre marché, ou pour vérifier les résultats de recherche et les tarifs par région, c’est exactement l’outil qu’il vous faut. Mais il ne s’agit que de deux éléments sur sept, et c’est en le considérant comme un contrôle général de la localisation que l’on aboutit à des configurations qui diffusent une contradiction au lieu d’une identité plausible.
Si vous voulez que les signaux concordent, définissez le fuseau horaire, sélectionnez la langue, désactivez la demande de localisation et vérifiez qu’il n’y a pas de fuites. Deux minutes de vérification vous en apprendront davantage que toutes les suppositions du monde.
