Comment un site détecte-t-il un VPN avec une IP dans le bon pays ? J’ai compris que « France » n’était que le premier contrôle

Mon adresse IP était française. Le site le savait. Et il me bloquait quand même.

Je n’étais même pas à l’étranger. J’étais chez moi, en France, avec mon VPN activé parce que je le laisse souvent tourner pendant la navigation.

Ce matin-là, je voulais acheter deux billets dès l’ouverture d’une vente. La file d’attente avançait, j’avais enfin atteint la page de réservation, puis un contrôle de sécurité est apparu.

Vérification du navigateur. Quelques secondes. Nouvelle vérification. Puis retour au début. J’ai immédiatement pensé à une erreur de géolocalisation. J’ai ouvert un vérificateur d’IP. France. Ville française. Fuseau cohérent. J’ai changé pour un autre serveur français. Toujours France.

Le site m’a de nouveau demandé de prouver que j’étais humain. C’est là que ma question a changé. Je ne cherchais plus à savoir où mon IP était située. Je voulais comprendre ce que le site voyait d’autre dans cette IP.

Une adresse peut être française et porter quand même l’étiquette « VPN »

J’avais toujours imaginé la détection géographique comme une sorte de contrôle à l’entrée. Le site reçoit une adresse IP. Il consulte une base. France : bon pays. Belgique : autre localisation. États-Unis : encore autre chose.

Cette vérification existe bien. Mais elle n’est qu’une colonne parmi d’autres.

MaxMind, par exemple, distingue la géolocalisation d’une adresse de son caractère potentiellement anonyme. Une même IP peut être associée à la France tout en étant identifiée séparément comme appartenant à un VPN, un hébergeur, un proxy public, Tor ou certains réseaux de proxy résidentiel.

Voilà ce que mon petit drapeau français ne me disait pas. L’adresse pouvait raconter simultanément : pays : France et type de réseau : infrastructure VPN ou hébergée. Il n’y avait aucune contradiction.

Le site n’avait pas besoin de retrouver ma véritable adresse IP pour se méfier de celle qu’il recevait. Même une plage qui ne porte pas clairement le nom d’un fournisseur VPN peut être reconnue comme infrastructure d’hébergement.

J’avais donc passé plusieurs minutes à vérifier une information correcte. Elle était simplement insuffisante. Mon IP était française.

Mais « française » ne voulait pas dire « résidentielle », « habituelle » ou « jamais utilisée comme sortie VPN ».

Et cela expliquait déjà pourquoi changer de serveur français ne réglait pas forcément le problème.

Le pays disait où se trouvait l’IP ; sa réputation racontait son histoire

J’ai tout de même essayé une troisième sortie. Cette fois, le contrôle a disparu. La page de réservation s’est ouverte. J’ai cru avoir gagné. Deux écrans plus loin, nouvelle vérification.

C’est là qu’une deuxième différence est devenue évidente : deux serveurs situés dans le même pays peuvent avoir des histoires très différentes.

Un VPN peut faire sortir beaucoup d’utilisateurs par la même adresse ou la même plage. Moi, je voyais simplement : France. Le site pouvait voir une adresse qui venait de servir à une quantité inhabituelle de sessions.

Les outils antifraude de MaxMind documentent notamment des contrôles de velocity : lorsqu’une même IP apparaît rapidement avec de nombreux comptes, e-mails, adresses de facturation ou autres identités, cela peut peser dans l’évaluation du risque. Ils prennent aussi en compte la réputation récente d’une adresse.

La distinction m’a paru beaucoup plus utile que « VPN détecté ou pas ».

La géolocalisation décrit l’endroit. La réputation décrit le voisinage.

On peut être à la bonne adresse et continuer à faire tiquer le portier parce que trop de monde utilise la même entrée.

Une discussion publique d’août 2026 décrivait précisément cette frustration : des utilisateurs de Proton VPN expliquaient devoir tester plusieurs serveurs parce que certains sites bloquaient ou vérifiaient davantage certaines sorties, alors même que le pays sélectionné était correct.

Je comprenais enfin pourquoi passer de « France » à « France » pouvait changer quelque chose.

Mais pas encore pourquoi certaines vérifications semblaient s’acharner.

Le site ne regarde pas forcément uniquement l’adresse IP

C’est la partie que j’avais le plus sous-estimée. Dans ma tête, détecter un VPN signifiait : prendre l’IP ; la chercher dans une liste ; bloquer si elle appartient à un fournisseur VPN. En réalité, un système anti-abus peut regarder bien davantage que l’adresse.

Cloudflare documente par exemple des vérifications JavaScript dans le navigateur et des empreintes JA4 dérivées de la manière dont un client établit certaines connexions TLS. Ces signaux peuvent contribuer à distinguer une navigation ordinaire de comportements automatisés ou inhabituels.

Cloudflare indique également qu’un VPN, un proxy ou une IP de mauvaise réputation peut provoquer davantage de challenges.

Autrement dit, ce n’est pas forcément un détecteur qui regarde mon ordinateur et annonce :

« WireGuard trouvé ».

Le site voit surtout ce qui arrive à sa porte : l’adresse de sortie, le réseau auquel elle appartient, sa réputation, puis différents éléments de contexte liés à la visite.

Le navigateur. La cohérence de la session. La langue. Les informations que je fournis.

Les outils antifraude de MaxMind peuvent eux aussi combiner l’IP avec des données liées au navigateur, à la session et à l’appareil.

À ce stade, la situation ressemblait moins à un simple contrôle de passeport qu’à un contrôle d’aéroport.

Le pays inscrit sur le document compte.

Mais ce n’est pas la seule chose regardée.

Et je cessais peu à peu de croire que ma seule mission consistait à trouver une nouvelle IP française.

J’ai aussi arrêté de demander à l’obfuscation de résoudre le mauvais problème

Mon VPN habituel proposait un mode obfusqué. Le raisonnement semblait évident : le site détecte mon VPN, donc je dois mieux cacher le VPN. J’ai activé le mode. L’adresse était toujours française. Le contrôle était toujours là. Cette fois, la raison était plus facile à voir.

L’obfuscation aide surtout lorsque le réseau entre mon appareil et le serveur VPN essaie de reconnaître ou de maltraiter le tunnel : Wi-Fi restrictif, filtrage de certains protocoles, réseau peu coopératif.

Mais le site de billetterie se trouvait après le serveur VPN.

Il recevait la sortie.

Si cette adresse était déjà classée comme infrastructure d’hébergement ou traînait une mauvaise réputation, rendre le chemin jusqu’à elle plus discret ne changeait pas ce que le site trouvait à l’arrivée.

C’était la distinction qui me manquait :

cacher le tunnel au réseau et présenter une sortie acceptable au site sont deux problèmes différents.

Mon tunnel fonctionnait déjà.

C’était l’arrivée qui posait problème.

J’ai arrêté de jouer à la roulette des serveurs français

Je pouvais continuer. France numéro 18. Puis 27. Puis 41. Nouvelle IP. Navigation privée. Retour dans la file d’attente. À chaque tentative, je surveillais davantage ma place dans la file que mes billets. Ce n’était plus un diagnostic. C’était une loterie.

J’ai alors rouvert OnlydogVPN, que j’avais gardé comme deuxième option.

Cette fois, je n’ai pas commencé par parcourir une longue carte de serveurs ni par choisir un protocole.

J’ai sélectionné le mode correspondant à ce que j’essayais réellement de faire et laissé l’application choisir sa route.

Puis j’ai fermé complètement le navigateur. Nouvelle session. Retour sur le site. La file m’a reconnu. La page de réservation s’est ouverte. J’ai sélectionné les deux places. Étape suivante. Pas de boucle. Coordonnées. Paiement. Validation.

Le mail de confirmation est arrivé quelques secondes plus tard.

C’est là que j’ai arrêté de regarder le vérificateur d’IP.

La sortie choisie par le service avait été acceptée là où les précédentes me renvoyaient de challenge en challenge.

Je ne pouvais pas voir le moteur antifraude du site et attribuer ce changement à un signal précis. Mais, pour moi, la différence importante était beaucoup plus simple :

mes billets étaient achetés.

Et je n’avais pas passé vingt minutes supplémentaires à faire défiler manuellement des sorties françaises en espérant tomber sur la bonne.

C’est précisément là que l’approche orientée vers l’usage m’a paru plus intelligente. Je lui indiquais ce que je voulais faire. Je n’avais plus à transformer l’achat de deux billets en exercice de gestion d’infrastructure.

Je ne cherchais plus un VPN « indétectable »

Après ça, la promesse d’un VPN « indétectable » m’aurait presque paru moins convaincante.

Ce que je voulais n’était pas une cape d’invisibilité.

Je voulais éviter que le choix de la sortie devienne mon problème chaque fois qu’un site commençait à se méfier d’une adresse.

Les réputations d’IP évoluent. Les plages changent. Les systèmes antifraude aussi.

La vraie différence, pour moi, était donc ailleurs : combien de cette mécanique devais-je gérer moi-même avant de pouvoir simplement utiliser le site ?

Le service plus petit garde un compromis évident : il propose moins de régions et possède moins de recul public que les grands fournisseurs historiques.

Si j’avais besoin de sélectionner précisément une ville ou de construire une configuration réseau très spécifique, ce choix plus restreint compterait.

Pour mes deux billets, il comptait beaucoup moins.

Je n’avais pas besoin de cinquante serveurs français alignés sur une carte.

J’avais besoin qu’après avoir choisi ce que je voulais faire, la connexion m’emmène jusqu’au paiement au lieu de me renvoyer une nouvelle énigme technique.

Le bon pays reste nécessaire ; il n’est simplement plus suffisant

Après le paiement, j’ai refait le test d’IP par curiosité. France. Exactement comme au début. Le résultat qui m’avait rassuré une heure plus tôt n’avait pas changé. C’était ma lecture du résultat qui avait changé.

Un site peut parfaitement constater qu’une IP appartient au bon pays tout en voyant qu’elle provient d’un VPN, d’un hébergeur ou d’une plage dont la réputation attire davantage de vérifications.

Il peut ensuite croiser cela avec le navigateur, la session et d’autres signaux.

C’est pourquoi deux sorties françaises peuvent produire des expériences complètement différentes.

Et pourquoi changer de protocole n’est pas toujours la réponse.

Si mon tunnel n’arrive même pas à traverser un réseau restrictif, je regarderais le transport et l’obfuscation.

Si le site me situe dans le mauvais pays, je regarderais la géolocalisation.

Mais si le vérificateur affiche déjà France alors que le site continue à me répondre par un challenge ou un refus, je ne regarderais plus seulement le drapeau.

Le serveur était français depuis le premier essai ; ce qui a finalement sauvé ma réservation, c’est que la dernière connexion ne soit pas seulement au bon endroit, mais qu’elle arrive par une sortie que le site accepte encore — sans me demander de la trouver moi-même.