# Proxys pour la prévention de la fraude : testez vos règles de risque depuis l'extérieur | ProxyJam Reproduisez une inscription suspecte, voyez ce que dit le réseau derrière une adresse et testez vos propres règles antifraude depuis l'extérieur de votre réseau, sur une adresse ISP statique. - Canonical: https://proxyjam.com/fr/solutions/fraud-prevention/ - Updated: 2026-10-23 - Language: fr Les systèmes de risque sont écrits par des personnes assises à l'intérieur du réseau qu'elles protègent, puis testés depuis ce même réseau. Ce scénario se place de l'autre côté : reproduire ce à quoi ressemble une connexion venue de l'extérieur, et découvrir ce que vos propres règles en font. C'est la moitié défensive du sujet. La surveillance antifraude ne demande aucune approbation préalable au titre de notre politique d'utilisation acceptable, même si une courte liste de vérification en section 2 s'applique à certaines cibles, dont les services financiers. La même politique interdit la fraude elle-même : nous n'aidons donc personne à ressembler à un client qu'il n'est pas. La prévention de la fraude désigne ici le côté de la défense : reproduire une inscription suspecte, lire ce que dit le réseau derrière une adresse, et tester vos propres règles de risque depuis l'extérieur de votre propre réseau. Une adresse statique sur le réseau d'un fournisseur d'accès nommé vous donne un cas contrôlé, car son réseau est connu et elle ne bouge pas : un résultat qui change pointe donc d'abord vers vos règles, une fois que vous avez vérifié que la note propre de l'adresse n'a pas bougé. ## Six choses impossibles depuis l'intérieur de votre propre réseau ### Reproduire une inscription signalée Un analyste qui lit un journal reconstitue une session à partir de son ombre. Rejouer le même parcours sur votre propre service, avec un compte de test et depuis un réseau du même type, transforme un débat sur ce qui s'est probablement passé en un enregistrement de ce qui se passe réellement. ### Voir ce que dit le réseau derrière une adresse Beaucoup de contrôles de risque commencent par le réseau qui a annoncé une IP et par la nature de ce réseau. Travailler depuis une adresse connue sur le réseau d'un fournisseur d'accès nommé vous donne un cas contrôlé pour vérifier vos propres consultations. ### Calibrer les règles que vous appliquez déjà Une règle qui refuse les plages d'hébergement et une règle qui refuse tout ce qui est inconnu se comportent de la même façon jusqu'à ce que vous les testiez séparément. Une adresse extérieure, connue et choisie délibérément, vous permet de savoir laquelle des deux vous avez écrite. ### Vérifier l'effet d'une règle géographique Si votre système traite un marché comme à haut risque, quelqu'un devrait découvrir ce que cela fait à un client légitime sur place avant que le client ne le découvre. Le tester demande une connexion dans ce marché. ### Mettre à l'épreuve l'authentification renforcée Une vérification supplémentaire qui se déclenche sur un réseau inconnu n'est correcte que si vous l'avez vue se déclencher. Depuis votre bureau, elle ne se déclenchera jamais, car votre bureau est le réseau connu. ### Observer l'arrivée d'un changement de règle Déployer une règle de risque et en observer l'effet depuis l'extérieur, depuis la même adresse à chaque fois, c'est la différence entre un changement maîtrisé et un changement que vous découvrez par la file d'attente du support. ## Qui lit cette page ### Les équipes fraude et risque Elles reproduisent une inscription suspecte et lisent ce que dit le réseau derrière une adresse. ### Les équipes trust and safety Elles découvrent comment leurs règles traitent une connexion légitime issue de la plage d'un fournisseur d'accès dans un marché donné. ### Les ingénieurs qui écrivent les règles Ils testent leurs propres règles de risque depuis l'extérieur de leur propre réseau, sur une adresse dont ils ont d'abord vérifié la note. ## Un test contrôlé d'une règle 1. **Notez la règle et le résultat attendu** Pour une connexion extérieure issue de la plage d'un fournisseur d'accès : autoriser, demander une vérification ou refuser. 2. **Achetez une adresse dans le marché que concerne la règle** Consultez-la dans vos propres outils de risque avant le test, et dans le [vérificateur d'IP](/fr/ip-checker/) pour voir comment les listes de blocage publiées et les services de scoring antifraude la notent déjà. 3. **Exécutez le parcours que protège la règle** Inscription, connexion ou paiement sur votre propre service, dans un environnement de préproduction ou un bac à sable si vous en avez un, depuis une session de navigateur neuve. Utilisez des comptes de test créés à cet effet et le mode test de votre prestataire de paiement, jamais les données d'un vrai client ni la vraie carte de qui que ce soit. 4. **Enregistrez le résultat** Toute demande de vérification renforcée, et l'heure. 5. **Modifiez la règle** Répétez le même parcours depuis la même adresse, avec le même profil et le même état de compte. ## Les propriétés qui comptent pour ce métier - **Enregistrement connu:** Un fournisseur d'accès nommé, pour que le résultat de la consultation soit une grandeur connue - **Identité stable:** Une adresse pour la période, pour que le point d'observation reste le même d'un passage à l'autre - **Choix du marché:** Pays choisi au paiement ; 77 au catalogue - **Rotation:** Aucune : une adresse qui bouge rend illisible tout test avant-après - **Contrôle d'accès:** Identifiant et mot de passe, ou liste blanche d'IP pour un exécuteur de tests - **Protocoles:** HTTP, HTTPS et SOCKS5, pour que les passages par navigateur et par script utilisent une seule adresse ## Questions sur la prévention de la fraude ### S'agit-il de commettre la fraude ou de la prévenir ? De la prévenir. Tout ce qui figure sur cette page est écrit pour la personne qui défend un service : reproduire un cas, calibrer une règle, observer l'arrivée d'un changement. Notre politique d'utilisation acceptable, en section 5, interdit purement et simplement « la fraude, la tromperie, le vol, l'abus de moyens de paiement, les tests de cartes bancaires », et la section 2 vous demande d'indiquer une base légale avant que nous ouvrions l'accès à un travail qui collecte des données personnelles. Si ce qu'il vous faut, c'est ressembler à un client que vous n'êtes pas, nous ne sommes pas le bon fournisseur. ### Qu'apprend un système de risque d'une adresse IP ? Surtout deux choses : quel réseau l'a annoncée, et à quoi sert ce réseau. La plage d'un hébergeur rend l'automatisation plausible ; la plage d'un fournisseur d'accès rend plausible une connexion ordinaire. C'est à la consultation de dire comment une adresse donnée est classée : vérifiez-le plutôt que de le supposer. Par-dessus vient l'historique : savoir si cette adresse précise a déjà été vue en train de faire quelque chose d'indésirable. Rien de tout cela ne prouve quoi que ce soit, c'est pourquoi une règle construite dessus doit être testée plutôt que crue sur parole. ### Comment voir comment d'autres notent déjà mon adresse de test ? Passez-la au vérificateur d'IP. La consultation de l'adresse dans les quatre listes publiées qu'il lit est gratuite : Spamhaus DROP, FireHOL Level 1, blocklist.de et la liste des sorties Tor. La vérification complète interroge en plus trois services de scoring antifraude et rend un verdict, avec la lecture de chaque source à côté. Savoir si l'adresse porte déjà une réputation publique aide à la distinguer de votre règle, même si chaque site applique toujours ses propres règles. La vérification s'exécute dans l'application ProxyJam une fois que vous êtes connecté, et la vérification complète est débitée du solde de votre portefeuille, sauf si vous en avez une gratuite : chaque commande livrée en comprend une. ### Pourquoi ai-je besoin d'un proxy pour tester mes propres règles ? Parce qu'on ne peut pas être à l'extérieur de son propre réseau depuis l'intérieur. L'adresse de votre bureau figure sur chaque liste d'autorisation que vous avez jamais écrite et a des années de bon historique sur votre propre service. Tester une règle visant les réseaux inconnus depuis le réseau le plus connu que vous possédiez ne teste rien, et la première vraie preuve arrive sous forme de réclamation. ### L'adresse de test doit-elle changer ? Non. Un test avant-après demande une seule variable, et si l'adresse bouge entre deux passages, vous en avez deux. Achetez une adresse par marché testé et gardez-la, pour qu'un résultat différent la semaine suivante vienne de votre système ou de la note de l'adresse, et le vérificateur d'IP vous dit lequel des deux a bougé. ### Puis-je m'en servir pour des tests de sécurité contre les systèmes d'une autre entreprise ? Seulement avec l'autorisation écrite du propriétaire de la cible, que la section 2 de notre politique d'utilisation acceptable demande à voir avant que nous ouvrions l'accès à ce type de travail. C'est l'un des quatre points de cette liste de vérification ; les cibles dans les services financiers, la santé et les systèmes publics en sont un autre. ### Et si l'adresse de test elle-même est signalée ? C'est parfois le résultat le plus utile que vous puissiez obtenir, car il vous apprend que la plage d'un fournisseur d'accès légitime est refusée. Au titre de la section 2.5 des Conditions d'utilisation, nous remplaçons gratuitement une adresse sur demande si elle est bloquée sur la cible que vous avez indiquée à l'achat, jusqu'à 20 % des adresses de la commande par mois civil. Une inscription sur une liste, ou un refus par votre propre règle, ne constitue pas à lui seul un motif, et le remplacement n'est pas possible lorsque l'adresse est devenue inutilisable du fait d'un usage que notre politique d'utilisation acceptable interdit. Une adresse extérieure reproduit le réseau, pas le reste d'une session : l'empreinte de l'appareil, le comportement et l'historique du compte restent à vous de les faire varier, et une inscription depuis un opérateur mobile ne peut pas être reproduite ici tant que le mobile n'est pas en vente. Quand la question est de savoir comment vos règles traitent une connexion légitime issue de la plage d'un fournisseur d'accès dans un marché donné, c'est le bon outil ; commencez avec une adresse par marché que vos règles traitent différemment. ## Sources - [RFC 1930, autonomous systems](https://www.rfc-editor.org/rfc/rfc1930) : un groupe de blocs d'adresses exploités selon une même politique de routage - [RIPE NCC, Registration Data Access Protocol](https://docs.db.ripe.net/How-to-Query-the-RIPE-Database/Registration-Data-Access-Protocol/) : RDAP, la façon dont les registres publient le titulaire de chaque bloc d'adresses Une plage d'hébergement est un bloc d'adresses enregistré au nom d'un hébergeur ou d'un fournisseur de cloud ; la plage d'un fournisseur d'accès appartient à une entreprise qui vend des connexions internet aux particuliers et aux entreprises. L'authentification renforcée est le contrôle supplémentaire, par exemple un code à usage unique, qu'un service demande quand une connexion paraît inhabituelle. ## Ce qu'une adresse dit à un système de risque Toute adresse publique se trouve dans un système autonome, un groupe de blocs d'adresses exploités selon une même politique de routage ([RFC 1930](https://www.rfc-editor.org/rfc/rfc1930)), et le titulaire de chaque bloc relève du domaine public : les registres internet régionaux le publient via RDAP, l'alternative plus récente à WHOIS décrite dans [la documentation RDAP du RIPE NCC](https://docs.db.ripe.net/How-to-Query-the-RIPE-Database/Registration-Data-Access-Protocol/). À partir de là, une consultation peut dire quelle organisation détient une adresse et de quel type de réseau il s'agit, et la réputation issue d'activités antérieures s'y ajoute. Rien de tout cela n'identifie une personne, c'est pourquoi une règle construite dessus doit être testée. Cette page explique comment fonctionnent ces signaux ; nous n'avons aucun taux de détection ou d'acceptation mesuré et n'en citons aucun.