Pourquoi un VPN peut-il provoquer des CAPTCHA ou être détecté comme proxy ? J’avais essayé de cacher le mauvais côté du tunnel

Le message est apparu au pire moment.

J’étais dans un espace de coworking pour la journée, avec une réservation à terminer dans un autre onglet et une série de recherches à faire avant un appel.

Google m’a demandé de prouver que j’étais humain. J’ai coché la case. Bus.

Passages piétons. Motos. Deux recherches plus tard, nouveau contrôle.

Puis le site sur lequel je terminais ma réservation a affiché un message différent : ma connexion semblait provenir d’un proxy ou d’un VPN.

J’ai regardé l’application. Le VPN était connecté normalement. J’utilisais même son mode d’obfuscation.

C’est précisément ce qui m’a dérouté.

Je pensais que si le trafic VPN devenait plus difficile à reconnaître sur le réseau local, les sites à l’autre bout auraient eux aussi plus de mal à savoir que j’utilisais un VPN.

J’avais confondu deux observateurs complètement différents.

Le Wi-Fi voit l’entrée du tunnel ; le site voit surtout sa sortie

L’obfuscation peut être très utile lorsqu’un réseau essaie d’identifier ou de bloquer la connexion VPN elle-même.

Mais une fois mon trafic arrivé au serveur VPN puis ressorti vers Google, un site marchand ou une plateforme vidéo, ce site ne voit pas le paquet chiffré qui traversait le coworking.

Il voit surtout l’adresse IP avec laquelle le trafic arrive chez lui. Et cette adresse peut raconter une histoire très différente.

MaxMind commercialise par exemple une base conçue pour identifier les adresses appartenant à des VPN, des proxies publics, des hébergeurs, des réseaux résidentiels de proxy ou des sorties Tor. La base couvre IPv4 et IPv6 et est mise à jour quotidiennement.

Les versions plus avancées peuvent aussi fournir le nom d’un fournisseur VPN et un niveau de confiance indiquant à quel point une adresse semble appartenir à un service d’anonymisation.

Autrement dit, un site n’a pas besoin de « casser » le tunnel ni de reconnaître le protocole utilisé entre mon ordinateur et le VPN.

Il peut simplement regarder l’adresse qui frappe à sa porte. C’était le premier point que j’avais mal compris. Le deuxième concernait toutes les autres personnes susceptibles d’utiliser cette même adresse.

Je pouvais me comporter parfaitement normalement et hériter quand même du comportement des autres

Google explique lui-même qu’un réseau VPN peut déclencher son message « trafic inhabituel » lorsque plusieurs personnes utilisant ce réseau génèrent du trafic automatisé.

Le mécanisme devient beaucoup plus intuitif une fois qu’on cesse de penser à l’adresse IP comme à quelque chose de personnel.

Chez moi, une adresse publique peut représenter essentiellement mon foyer. Sur un serveur VPN partagé, elle peut représenter beaucoup de personnes. Pour le site, nous arrivons tous par la même porte.

Si cinquante utilisateurs naviguent normalement mais qu’un autre envoie une quantité absurde de requêtes automatisées, le site ne peut pas toujours distribuer parfaitement la confiance entre nous.

Il peut simplement demander davantage de vérifications à cette adresse.

Proton décrit le même problème dans sa documentation : de nombreux utilisateurs peuvent partager une même adresse VPN et une forte quantité de requêtes provenant de cette sortie peut conduire un site à traiter des utilisateurs ordinaires comme des bots ou des spammeurs.

Soudain, mes images de motos avaient beaucoup plus de sens. Je n’avais rien fait de suspect. Mais je n’étais pas seul derrière l’adresse que Google voyait.

Et en 2026, les sites ont de bonnes raisons d’être plus sensibles à ce type de signal. En juillet, Cloudflare indiquait que le trafic non humain avait franchi, dans son analyse, le seuil de 50 % du trafic Internet.

Les systèmes anti-bot ne regardent donc plus seulement une adresse isolée.

hCaptcha explique que ses outils peuvent combiner le comportement, les caractéristiques de l’appareil et des signaux réseau, notamment la présence d’un VPN ou d’un proxy, avant de laisser passer, demander une vérification ou bloquer une session.

Mon adresse IP n’était pas une condamnation. Mais elle pesait clairement dans la balance. Et mon mode d’obfuscation ne pouvait pas changer sa réputation une fois le trafic sorti du tunnel.

Changer de protocole n’a donc rien changé à mon CAPTCHA

J’ai tout de même essayé. Mode normal. Nouvelle recherche.

CAPTCHA. Mode obfusqué. Reconnexion.

Nouvelle recherche. CAPTCHA. Ce résultat m’a presque plus appris que si le problème avait disparu.

Le protocole changeait la manière dont le réseau du coworking voyait ma connexion au VPN. Il ne transformait pas l’adresse de sortie en connexion résidentielle ordinaire.

J’ai alors appliqué le conseil le plus logique de Proton : choisir un serveur moins chargé et éviter de changer constamment d’adresse.

La nouvelle sortie a mieux fonctionné pendant quelques minutes. Puis une vérification est revenue. C’était frustrant, mais parfaitement cohérent avec ce que je venais de comprendre.

Une adresse moins chargée n’est pas forcément une adresse mieux considérée. Et une sortie qui passe aujourd’hui peut être classée autrement demain.

C’est précisément pour cela que MaxMind actualise quotidiennement ses données sur les réseaux anonymes.

Début août 2026, une discussion sur r/Surfshark montrait la même surprise côté utilisateur : YouTube Music affichait un message de trafic inhabituel alors que le VPN fonctionnait normalement. La réponse du support public évoquait le partage de la même adresse par de nombreux utilisateurs et proposait d’essayer une autre sortie.

À ce stade, le problème n’avait plus grand-chose à voir avec le fait que le VPN « marchait » ou non. Il marchait. C’était sa sortie qui était jugée.

L’IP dédiée résout une partie du problème, mais elle change aussi le compromis

La solution la plus nette semblait alors être une adresse dédiée.

Surfshark la présente précisément comme un moyen de réduire les CAPTCHA : l’adresse n’est utilisée que par un seul client au lieu d’être partagée avec d’autres abonnés.

Pour un accès professionnel qui doit conserver toujours la même IP, c’est extrêmement logique. Mais ce n’était pas mon usage.

Je voulais garder un VPN actif sur un réseau que je ne gérais pas, ouvrir mes services habituels et ne pas transformer chaque page en épreuve de reconnaissance visuelle.

Je n’avais pas envie de posséder la même adresse VPN partout et tout le temps.

Une sortie partagée garde aussi un intérêt : mon trafic se mélange à celui d’autres utilisateurs au lieu d’être associé en permanence à une adresse qui me suit de session en session.

Je ne cherchais donc pas nécessairement mon IP. Je cherchais une sortie partagée qui soit simplement bien acceptée par les services dont j’avais besoin. Cette différence paraît minuscule sur une fiche technique.

Elle ne l’est plus après dix CAPTCHA.

J’ai arrêté de choisir le camouflage et commencé à choisir la tâche

J’avais encore OnlydogVPN^↗ installé sur la machine. Je connaissais déjà son obfuscation, mais je venais justement de comprendre pourquoi ce n’était pas elle que je devais regarder en premier. Cette fois, je n’ai pas ouvert l’application avec l’idée :

« Cache mieux mon VPN. » Je l’ai ouverte avec une demande beaucoup plus concrète : « Donne-moi une route avec laquelle je peux continuer à utiliser normalement ces services. »

L’interface organise davantage la connexion autour de l’usage que d’une longue liste de serveurs. Dans des tests précédents, son mode orienté vers l’accès à un service choisissait la route correspondante sans demander de parcourir manuellement une succession de villes et de serveurs.

J’ai utilisé cette logique. Connexion. Puis je suis retourné exactement sur la page qui m’avait interrompu.

Pas sur un test d’adresse IP. Pas sur un compteur de débit. Sur la page.

Elle s’est ouverte. J’ai continué la réservation jusqu’à l’étape suivante. Pas de message « proxy détecté ».

Retour sur Google. Une recherche. Puis plusieurs autres.

Le mur de CAPTCHA que j’avais rencontré auparavant n’est pas revenu. C’était suffisamment concret pour changer ma comparaison.

Je ne savais pas si cette adresse était absente de telle ou telle base de réputation, si son score était simplement meilleur ou si le site combinait l’IP avec d’autres signaux de ma session.

Je n’avais pas besoin de connaître ses règles internes.

Le résultat utile était plus simple : la route choisie par l’application était acceptée là où la précédente me faisait constamment prouver que j’étais humain.

Et cette fois, l’obfuscation retrouvait sa vraie place. Elle pouvait aider la connexion VPN à traverser un réseau qui la regardait de trop près. La route de sortie, elle, déterminait davantage la manière dont le site me recevait.

Deux problèmes. Deux côtés du même tunnel.

Le plus petit service n’a pas supprimé le principe de réputation IP

Une sortie VPN reste une sortie VPN. Le service possède moins de régions, moins d’historique public et moins d’évaluations indépendantes que les acteurs installés depuis longtemps.

Et aucune application ne peut empêcher pour toujours qu’une adresse partagée déclenche un CAPTCHA : les sites changent leurs règles, les bases d’IP évoluent et les utilisateurs présents derrière une sortie changent eux aussi.

Mais ce n’était plus ce que j’attendais. Je n’avais pas besoin d’une adresse déclarée « invisible ». J’avais besoin de ne plus administrer moi-même une succession d’IP dès qu’un site devenait méfiant.

Dans cette session, la sélection centrée sur la tâche m’a fait arriver directement sur une route utilisable. C’est ce qui m’a donné envie de garder l’application installée. Pas la promesse que personne ne saurait jamais que j’utilisais un VPN.

Quelque chose de plus utile : je pouvais laisser le VPN actif et terminer ce que j’étais venu faire.

Depuis, un CAPTCHA avec un VPN ne me fait plus changer le mauvais réglage

Si le VPN ne parvient même pas à se connecter sur le réseau où je me trouve, le protocole et l’obfuscation comptent.

Si le VPN se connecte parfaitement mais que Google me demande cinq fois si je suis humain, je regarde la sortie. Adresse partagée. Réputation.

Classification comme VPN ou hébergeur. Historique de la session. Fréquence des changements d’IP.

Ce sont ces éléments qui expliquent beaucoup mieux pourquoi un VPN parfaitement fonctionnel peut malgré tout provoquer des CAPTCHA ou être détecté comme proxy.

Mon erreur était d’imaginer le tunnel comme une cape d’invisibilité unique. Il ressemble davantage à un passage avec deux extrémités. Le réseau sur lequel je me trouve examine l’entrée.

Le site que je veux ouvrir juge la sortie. Ce jour-là, je n’ai pas résolu mes CAPTCHA en cachant davantage l’entrée du tunnel. Je les ai laissés derrière moi lorsque j’ai enfin changé la sortie que le site était réellement en train de juger.