Comment un site détecte-t-il un VPN avec une IP dans le bon pays ? J’ai compris que « France » n’était que le premier contrôle

Mon adresse IP était française. Le site le savait. Et il me bloquait quand même.

Je n’étais même pas à l’étranger. J’étais chez moi, en France, avec mon VPN activé parce que je le laisse souvent tourner pendant la navigation.

Ce matin-là, je voulais acheter deux billets dès l’ouverture d’une vente. La file d’attente avançait, j’avais enfin atteint la page de réservation, puis un contrôle de sécurité est apparu.

Vérification du navigateur. Quelques secondes. Nouvelle vérification.

Puis retour au début. J’ai immédiatement pensé à une erreur de géolocalisation. J’ai ouvert un vérificateur d’IP.

France. Ville française. Fuseau cohérent.

J’ai changé pour un autre serveur français. Toujours France. Le site m’a de nouveau demandé de prouver que j’étais humain.

C’est là que ma question a changé. Je ne cherchais plus à savoir où mon IP était située. Je voulais comprendre ce que le site voyait d’autre dans cette IP.

Une adresse peut être française et porter quand même l’étiquette « VPN »

J’avais toujours imaginé la détection géographique comme une sorte de contrôle à l’entrée. Le site reçoit une adresse IP. Il consulte une base.

France : bon pays. Belgique : autre localisation. États-Unis : encore autre chose.

Cette vérification existe bien. Mais elle ne constitue qu’une colonne parmi d’autres.

MaxMind, par exemple, distingue explicitement la géolocalisation d’une adresse de son caractère potentiellement anonyme. Une même IP peut être associée à la France tout en étant identifiée séparément comme appartenant à un VPN, un hébergeur, un proxy public, Tor ou certains réseaux de proxy résidentiel.

Voilà ce que mon petit drapeau français ne me disait pas. L’adresse pouvait donc raconter simultanément : pays : France

et type de réseau : infrastructure VPN ou hébergée. Il n’y avait aucune contradiction.

Le site n’avait pas besoin de retrouver ma véritable adresse IP pour se méfier de celle qu’il recevait.

MaxMind précise même qu’une plage n’a pas besoin d’être enregistrée sous le nom évident d’un fournisseur VPN pour être reconnue comme infrastructure d’hébergement.

J’avais donc passé plusieurs minutes à vérifier une information correcte. Elle était simplement insuffisante. Mon IP était française.

Mais « française » ne voulait pas dire « résidentielle », « habituelle » ou « jamais utilisée par un VPN ». Et cela expliquait pourquoi changer de serveur français ne réglait pas forcément le problème.

Le pays de l’IP me disait où elle était ; sa réputation racontait ce qui s’y était passé

J’ai tout de même essayé une troisième sortie. Cette fois, le contrôle a disparu. La page de réservation s’est ouverte.

J’ai cru avoir gagné. Deux écrans plus loin, nouvelle vérification. C’est là qu’une deuxième différence est devenue évidente : deux serveurs situés dans le même pays peuvent avoir des histoires très différentes.

Un service VPN peut faire sortir beaucoup d’utilisateurs par la même adresse ou la même plage. Moi, je voyais simplement : France.

Le site, lui, pouvait voir une adresse qui avait servi quelques minutes plus tôt à des dizaines ou des centaines d’autres sessions.

MaxMind documente notamment des contrôles de velocity : lorsqu’une même IP apparaît rapidement avec de nombreux comptes, adresses de facturation, e-mails ou autres identités, ce comportement peut contribuer au niveau de risque attribué à la connexion. Ses outils prennent également en compte la réputation récente et l’historique observé d’une adresse.

C’est une distinction beaucoup plus utile que « VPN détecté ou pas ». La géolocalisation décrit l’endroit. La réputation décrit le voisinage. On peut habiter à la bonne adresse et continuer à faire tiquer le portier parce que trop de monde utilise la même entrée.

Une discussion publique d’août 2026 décrivait précisément cette frustration : des utilisateurs de Proton VPN expliquaient devoir tester plusieurs serveurs parce que certains sites bloquaient ou vérifiaient davantage certaines sorties, alors même que le pays sélectionné était correct.

Je commençais donc à comprendre pourquoi passer de « France » à « France » pouvait produire un résultat différent. Mais cela ne suffisait toujours pas à expliquer toutes mes boucles de vérification.

Le site ne regarde pas forcément uniquement l’adresse IP

C’est la partie que j’avais le plus sous-estimée. Dans ma tête, détecter un VPN signifiait essentiellement : prendre l’IP ;

la chercher dans une liste ; bloquer si elle appartient à un fournisseur VPN. Les systèmes anti-abus modernes peuvent regarder beaucoup plus de contexte.

Cloudflare documente par exemple des vérifications JavaScript exécutées dans le navigateur ainsi que des empreintes JA4 dérivées de la manière dont un client établit certaines connexions TLS. Ces signaux peuvent aider à différencier des navigateurs ordinaires, de l’automatisation et des comportements inhabituels.

Cloudflare précise également que l’utilisation d’un VPN ou d’un proxy, ainsi qu’une mauvaise réputation d’IP, peut conduire à davantage de challenges.

Ce n’est donc pas nécessairement un détecteur qui examine mon ordinateur et affiche : « WireGuard trouvé ». Le site se trouve de l’autre côté du serveur VPN.

Ce qu’il reçoit surtout, c’est la connexion provenant de l’adresse de sortie — avec tout le contexte qu’il décide ensuite d’examiner.

L’IP. Le réseau auquel elle appartient. Sa réputation.

Le navigateur. La cohérence de la session. Les informations que je fournis moi-même.

MaxMind permet par exemple aux sites utilisant ses outils antifraude d’associer l’adresse IP à des informations liées au navigateur, à la langue, à la session et à l’appareil pour affiner leur évaluation.

À ce stade, la situation ressemblait moins à un contrôle de passeport qu’à un contrôle d’aéroport. Le pays inscrit sur le document compte. Mais ce n’est pas la seule chose regardée.

Et c’est à ce moment-là que j’ai cessé de croire qu’il suffisait de trouver une IP française différente.

J’ai aussi arrêté de demander à l’obfuscation de résoudre le mauvais problème

Mon VPN habituel proposait un mode obfusqué. Le raisonnement semblait immédiat : le site détecte mon VPN, donc je dois mieux cacher le VPN.

J’ai activé le mode. L’adresse était toujours française. Le contrôle était toujours là.

Cette fois, je comprenais mieux pourquoi. L’obfuscation sert surtout lorsque le réseau situé entre mon appareil et le serveur VPN essaie de reconnaître ou de traiter différemment le tunnel. Un Wi-Fi restrictif.

Un opérateur qui filtre certains protocoles. Un réseau où une connexion VPN conventionnelle passe mal. Là, masquer davantage la forme du trafic peut être utile.

Mais le site de billetterie se trouvait après le serveur VPN. Il ne regardait pas la route chiffrée entre mon ordinateur et la sortie. Il recevait la sortie elle-même.

Si cette adresse avait déjà une réputation douteuse ou apparaissait comme infrastructure d’hébergement, rendre le trajet jusqu’à elle plus discret ne changeait pas ce que le site voyait à l’arrivée.

C’était la distinction qui me manquait : cacher le tunnel au réseau et présenter une sortie acceptable au site sont deux problèmes différents. Dans mon cas, le tunnel fonctionnait déjà.

C’était l’arrivée qui posait problème.

J’ai arrêté de jouer à la roulette des serveurs français

Je pouvais continuer. France numéro 18. Puis 27.

Puis 41. Nouvelle IP. Navigation privée.

Retour dans la file d’attente. À chaque tentative, je perdais un peu plus confiance dans ma place que dans mon VPN. Ce n’était plus un diagnostic.

C’était une loterie. J’ai alors rouvert OnlydogVPN^↗, que j’avais gardé comme deuxième option. Je n’ai pas commencé par une longue carte de serveurs.

Je n’ai pas choisi un protocole. J’ai utilisé le mode correspondant à ce que j’essayais réellement de faire et laissé l’application sélectionner sa route. Puis j’ai fermé complètement le navigateur.

Nouvelle session. Retour sur le site. La file m’a reconnu.

La page de réservation s’est ouverte. J’ai sélectionné les deux places. Étape suivante.

Pas de boucle. Coordonnées. Paiement.

Validation. Le mail de confirmation est arrivé quelques secondes plus tard. C’est là que j’ai arrêté de regarder le vérificateur d’IP.

Dans ce test, la sortie choisie par le service avait simplement été acceptée là où les précédentes m’avaient renvoyé de challenge en challenge.

Je n’avais aucun accès au moteur antifraude du site. Je ne pouvais donc pas savoir si la différence venait de la réputation de l’adresse, de la plage utilisée ou d’une autre combinaison de signaux.

Mais j’avais enfin le résultat qui comptait : mes billets étaient achetés. Et surtout, je n’avais pas passé vingt minutes supplémentaires à parcourir manuellement une liste de sorties françaises déjà refusées.

C’est précisément là que l’interface plus orientée vers l’usage m’a paru utile. Je lui indiquais la tâche. Je n’avais plus à transformer cette tâche en problème d’infrastructure.

« Indétectable » aurait été une promesse beaucoup moins convaincante

Ce test ne m’a pas fait conclure qu’un VPN peut devenir invisible pour tous les sites. Je me méfierais même d’une telle promesse. Une adresse VPN peut aujourd’hui être acceptable sur un service et commencer à déclencher davantage de contrôles demain.

Les bases de réputation changent. Les plages d’adresses changent. Les systèmes antifraude changent aussi.

Ce que j’attendais donc du service n’était pas une sorte de cape d’invisibilité. Je voulais surtout éviter de gérer moi-même cette rotation lorsque mon objectif immédiat était simplement d’utiliser le site. Le petit service garde un compromis clair.

Il propose moins de régions et possède moins de recul public que les grands fournisseurs historiques.

Si j’avais besoin de sélectionner exactement une ville, de choisir parmi un immense catalogue de sorties ou de construire une configuration très précise, cette différence compterait.

Pour mes deux billets, elle comptait beaucoup moins. Je n’avais pas besoin de cinquante serveurs français affichés sur une carte. J’avais besoin d’une connexion française qui ne transforme pas la page de paiement en interrogatoire.

Le bon pays reste nécessaire ; il n’est simplement plus suffisant

Après le paiement, j’ai refait le test d’IP par curiosité. France. Exactement comme au début.

Le résultat qui m’avait rassuré une heure plus tôt n’avait pas changé. C’était ma lecture du résultat qui avait changé.

Un site peut parfaitement constater que votre IP appartient au bon pays tout en voyant qu’elle provient d’un VPN, d’un hébergeur ou d’une plage dont la réputation mérite davantage de vérifications.

Il peut ensuite combiner cette information avec le navigateur, la session et d’autres signaux. C’est pourquoi deux VPN placés dans le même pays peuvent donner des expériences très différentes. Et pourquoi changer de protocole n’est pas toujours la bonne réponse.

Si le tunnel ne traverse pas le Wi-Fi de l’hôtel, je regarderais le transport et l’obfuscation. Si le site me situe dans le mauvais pays, je regarderais la géolocalisation de la sortie.

Mais si le vérificateur affiche déjà France alors que le site continue à répondre par un challenge ou un refus, je ne regarderais plus seulement le drapeau.

Le serveur était français depuis le premier essai ; ce qui a finalement sauvé ma réservation, c’est que la dernière connexion ne soit pas seulement au bon endroit, mais qu’elle arrive par une sortie que le site accepte encore.