Tandis que certaines entreprises construisent des réseaux proxy, d'autres en tirent profit en les détectant. Le 15 juillet 2026, l'américaine Spur Intelligence a rapporté une croissance explosive : +210% de nouvelles affaires et +42% de revenus annuels récurrents (ARR) pour le deuxième trimestre avec un taux de fidélisation des clients de 100%. Spur n'a qu'un seul produit : la détection des anonymiseurs : VPN, proxies résidentiels et trafic « masqué ». Ces chiffres signifient une chose simple : l'industrie de la reconnaissance des proxies connaît un boom en 2026, et votre IP peut maintenant « brûler » avant même que vous n'envoyiez votre première requête.
Ce qui s'est passé : la détection des proxies est devenue un marché à part entière
Spur n'est pas le seul acteur, mais son rapport se lit comme un thermomètre pour tout le segment. Selon l'entreprise, 94% des organisations ont été confrontées à des incidents impliquant une infrastructure d'anonymisation — VPN ou proxies résidentiels. De plus, sa propre étude « IP Intelligence Study 2026 » a montré que seulement environ un tiers des répondants comprenaient réellement les risques d'abus des proxies résidentiels avant de faire face à un incident. Le PDG de Spur, Kevin Hickey, formule la demande de manière directe : « Les organisations ont besoin d'une meilleure visibilité sur qui se connecte à leurs plateformes et quelle infrastructure se cache derrière cette activité ».
Parallèlement, d'autres acteurs croissent également : IPinfo a annoncé en juin 2026 que sa base d'adresses de proxies résidentiels directement observables a dépassé 107 millions d'IP — une croissance d'environ 2,3 fois en un an, avec une couverture de 126 fournisseurs de proxies. IPQualityScore, Spur, GeoComply, IPinfo — ce sont déjà des services établis de « IP intelligence » qui vendent aux équipes anti-fraude, aux banques, aux services de streaming et aux systèmes gouvernementaux un seul service : dire si un proxy ou un botnet se cache derrière une IP spécifique.
Comment cela fonctionne : réputation IP et évaluation de 0 à 100
La mécanique de la plupart des détecteurs est similaire. En entrée — une adresse IP, en sortie — un score de fraude de 0 à 100. Les seuils sont à peu près les mêmes chez IPQualityScore et Spur : 0–20 — fiable, 21–60 — suspect, 61–100 — bloqué. Ensuite, le site décide lui-même quoi faire : laisser passer, afficher un captcha ou refuser. Voici comment l'évaluation est composée :
- ASN et type de réseau. C'est le point de départ. Les adresses des fournisseurs d'accès Internet résidentiels obtiennent initialement une réputation plus élevée que celles des ASN d'hébergement et de centres de données. C'est pourquoi un proxy de centre de données bon marché est souvent rejeté « à l'entrée » — simplement en raison de son numéro de système autonome, sans aucune analyse du comportement.
- Détection d'anonymiseur. Fingerprinting des VPN, proxies et Tor : plages connues, TTL et MTU caractéristiques, signes de tunneling, correspondance des points d'entrée et de sortie.
- Honey pots et pièges. Les détecteurs maintiennent un réseau de leurres et de « rapports des clients » : si une IP est impliquée dans une activité suspecte chez un client, la réputation chute pour tous.
- Intégrité de la géolocalisation. Vérification des « déplacements impossibles » et désynchronisation géo : si l'IP est en Allemagne, mais que le fuseau horaire, la langue et les indications du client du navigateur crient d'un autre pays — c'est un drapeau.
Le principal changement technologique de 2026, selon les évaluations des fournisseurs eux-mêmes, est précisément la détection des proxies résidentiels. Auparavant, la plupart des API ne détectaient que les centres de données ; maintenant, elles reconnaissent de plus en plus le trafic passant par de véritables connexions ISP. L'API Context de Spur, par exemple, retourne plus de 20 attributs pour une IP : géographie, ASN, attribution proxy/VPN, type d'appareil et de connexion, contexte du point d'entrée-sortie du tunnel.
Pourquoi les proxies « brûlent » : chevauchement des pools et IP infectées
La raison principale pour laquelle les détecteurs sont devenus plus efficaces n'est pas de la magie, mais la mauvaise qualité des pools eux-mêmes sur le marché de masse. Des mesures récentes le montrent clairement.
Dans une analyse de janvier (2026) de plus de 170 millions d'IP de proxies résidentiels sur une fenêtre de 90 jours (86 millions IPv4 et 87 millions IPv6), il a été révélé que 46% des adresses apparaissaient simultanément dans les réseaux de plusieurs fournisseurs. Pour les IPv4 sur de longues distances, le chevauchement atteignait presque 70%. En d'autres termes, un pool « exclusif » d'un vendeur est souvent le même que celui d'un concurrent — une revente à travers plusieurs couches. Un test du pool Smartproxy.org a montré que 773 087 de ses adresses (38,21%) étaient également présentes dans le jeu de données IPIDEA — c'est-à-dire qu'une ressource s'appuie en grande partie sur l'infrastructure d'une autre.
Encore pire — l'état sanitaire de ces adresses. Le suivi de 30 services proxy du 19 janvier au 15 mars 2026 a enregistré 53 millions de nœuds de sortie uniques sur 55 jours ; parmi eux, 15% (8,2 millions) étaient simultanément marqués comme infectés par des logiciels malveillants actifs, et 13% (6,8 millions) présentaient une activité de riskware. Lorsque le fournisseur acquiert des IP « résidentielles » à partir de SDK douteux et d'appareils infectés, ces mêmes adresses apparaissent déjà dans les bases de données des détecteurs comme malveillantes.
Il est révélateur que l'histoire de NetNut, qui a été démantelée par Google et le FBI le 3 juillet 2026 : un réseau de plus de 2 millions d'appareils Android — des Smart TV bon marché et des décodeurs de streaming, infectés par des applications trojanisées (Badbox 2.0) et liés à la société israélienne Alarum Technologies. En une semaine de juin, 316 clusters de menaces distincts ont opéré à travers ces nœuds de sortie, menant des attaques de password-spraying. Spur a noté séparément que dans le cadre de l'enquête sur NetNut, parmi 6038 applications examinées sur des appareils LG et Samsung, 2058 étaient malveillantes, vendant des adresses IP. Chaque adresse « résidentielle » est un téléviseur piraté, et dans les registres de l'intelligence IP, elle est déjà sous surveillance.
La conclusion pour le marché : les listes noires statiques deviennent obsolètes, mais elles sont remplacées par le renseignement infrastructurel — les détecteurs ne se basent pas sur l'étiquette « résidentiel », mais sur le comportement réel et l'origine de l'adresse.
Ce que cela signifie pour ceux qui utilisent des proxies légalement
Le scraping de données publiques, la vérification des publicités, le suivi des prix, le multi-comptage, l'accès au contenu géo-localisé — ce sont des tâches légitimes. Mais la détection ne demande pas vos intentions : elle évalue l'infrastructure. Par conséquent, les règles du jeu changent en 2026.
- L'étiquette « résidentiel » ne garantit plus rien. L'origine du pool est importante. Les adresses provenant d'appareils infectés et les plages revendues plusieurs fois « brûlent » massivement. Les IP résidentielles et mobiles propres, éthiquement collectées avec un faible chevauchement, vivent plus longtemps — c'est pour cela que la lutte pour la qualité est intense.
- Les proxies mobiles obtiennent un avantage. Le CGNAT opérateur regroupe des milliers de véritables abonnés derrière une seule IP — l'« effet de foule » rend le bannissement massif de cette adresse coûteux pour le site. Pour les tâches sensibles à la réputation, les proxies mobiles sont souvent plus résistants que le pool résidentiel hétéroclite. Pour plus de détails sur le choix — consultez l'analyse résidentiels contre proxies mobiles.
- IP — seulement la moitié de l'empreinte. Les détecteurs comparent la géo IP avec le fuseau horaire, la langue, les indications du client et la locale du navigateur. Une IP résidentielle de France avec une langue système en-US et un fuseau horaire UTC — c'est un drapeau prêt pour l'intégrité de la géolocalisation. La cohérence de l'environnement est tout aussi importante que l'adresse elle-même.
- Un centre de données ne signifie pas « poubelle », mais il faut comprendre la scène. Pour les sites sans anti-fraude agressif, les proxies de centre de données sont bon marché et rapides. Contre les systèmes qui évaluent l'ASN, ils perdent à l'entrée — ici, des proxies résidentiels sont nécessaires.
- Vérifiez votre IP à l'avance. Les vérifications publiques de fraud-score (IPQualityScore et similaires) montrent comment votre adresse est perçue par la protection, avant même le lancement de la tâche. Si le score est déjà dans la zone rouge — ce n'est pas votre code qui est en cause, mais l'adresse « brûlée ».
Conclusion
La croissance de 210% de Spur en un trimestre n'est pas simplement une nouvelle d'entreprise, mais un signal : le côté défensif de la guerre des proxies a mûri. L'intelligence IP est devenue une industrie mature, capable de distinguer le trafic résidentiel propre de celui re-vendu et infecté. Pour le marché, cela est douloureux, mais d'une certaine manière juste : survivent les fournisseurs avec une origine d'adresses transparente et un faible chevauchement des pools, ainsi que ceux qui combinent une IP de qualité avec une hygiène d'empreinte et de locale soignée. En 2026, le proxy a cessé d'être un consommable « acheté et oublié » ; il est devenu un actif de réputation, dont la propreté doit être surveillée des deux côtés.
```