Géo-restriction : comment une plateforme détecte votre position

Accueil — mécanique du streaming — 07/07

Le catalogue disponible sur une même plateforme de streaming varie fréquemment d'un pays à l'autre, parfois de façon spectaculaire. Cette variation ne résulte pas d'un choix technique de la plateforme, mais des accords de licence négociés territoire par territoire avec les studios et ayants droit : une plateforme peut détenir les droits de diffusion d'un film pour la France sans les détenir pour l'Allemagne, ou inversement, selon des négociations commerciales indépendantes les unes des autres.

La détection par adresse IP : la méthode de base

Le mécanisme le plus répandu pour appliquer cette restriction repose sur la géolocalisation par adresse IP. Chaque plage d'adresses IP publiques est enregistrée auprès d'un registre régional (RIPE NCC pour l'Europe, ARIN pour l'Amérique du Nord, et ainsi de suite), qui associe cette plage à un pays ou une région. Des bases de données commerciales (MaxMind est l'une des plus utilisées) compilent et affinent ces informations, parfois avec des données de localisation plus précises obtenues par d'autres moyens. Quand un spectateur se connecte, la plateforme interroge cette base pour déterminer le pays associé à l'adresse IP source, et ajuste le catalogue proposé en conséquence.

Cette méthode reste imparfaite par construction : les bases GeoIP ne sont pas toujours à jour, certaines plages d'adresses changent d'attribution, et l'adresse IP d'un abonné ne correspond pas toujours parfaitement à sa localisation physique réelle, notamment pour les connexions mobiles ou les grandes entreprises avec des sorties réseau centralisées loin de l'utilisateur final.

Détection de VPN : listes noires et signaux indirects

Les plateformes qui investissent dans l'application stricte de la géo-restriction ne se contentent généralement pas d'une simple consultation GeoIP. Elles maintiennent des listes noires d'adresses IP connues pour appartenir à des fournisseurs VPN ou proxy commerciaux, constituées par des services spécialisés dans ce type de détection ou par observation directe de schémas de trafic caractéristiques. Une adresse IP partagée par un grand nombre de connexions simultanées avec des comportements hétérogènes constitue un signal typique d'infrastructure VPN ou proxy plutôt que d'un accès résidentiel individuel.

D'autres signaux indirects entrent parfois en jeu : la cohérence entre le fuseau horaire déclaré par l'appareil et celui attendu pour la position IP détectée, ou la présence de fuites DNS qui révèlent, à travers le serveur DNS effectivement utilisé pour résoudre les noms de domaine, une origine géographique différente de celle affichée par l'adresse IP de connexion elle-même. Un VPN mal configuré qui laisse les requêtes DNS transiter par le résolveur du fournisseur d'accès local plutôt que par un résolveur propre au VPN peut ainsi révéler la position réelle malgré un changement d'adresse IP apparent.

Le cas des adresses IP résidentielles partagées

Face au perfectionnement de ces détections, certains fournisseurs VPN proposent des adresses IP dites résidentielles, issues de plages attribuées à de véritables fournisseurs d'accès grand public plutôt qu'à des datacenters facilement identifiables comme tels. Ces adresses sont statistiquement plus difficiles à distinguer d'un accès domestique classique par les méthodes de détection décrites plus haut, ce qui explique leur usage croissant face à des plateformes de plus en plus efficaces pour identifier et bloquer les plages d'adresses de datacenter classiquement associées aux VPN commerciaux.

Autres signaux techniques utilisés par les plateformes les plus strictes

Au-delà de la géolocalisation IP et de la détection de listes noires, certaines plateformes recoupent des signaux supplémentaires pour affiner leur détection. L'historique de connexion d'un compte — un même compte utilisé depuis des positions géographiques incompatibles avec un déplacement réel en un temps donné — peut déclencher une vérification manuelle ou automatique. Certaines applications mobiles vérifient également les données de localisation fournies par le système d'exploitation lui-même (GPS, réseaux Wi-Fi environnants), une source d'information distincte de l'adresse IP et beaucoup plus difficile à falsifier de façon cohérente qu'un simple changement de serveur VPN, bien que son usage reste moins systématique que la détection IP en pratique.

Le mode de paiement associé au compte constitue un autre signal parfois recoupé : une carte bancaire émise par une banque d'un pays donné, ou une adresse de facturation enregistrée, peut être comparée à la position IP détectée lors de la connexion, ajoutant une couche de vérification qui échappe entièrement aux techniques de contournement réseau classiques.

Le jeu du chat et de la souris avec les fournisseurs VPN

La relation entre plateformes de streaming et fournisseurs VPN évolue en cycle continu plutôt que vers un état stable. Une plateforme identifie et bloque une plage d'adresses IP associée à un fournisseur VPN ; le fournisseur en question déploie de nouvelles adresses, éventuellement dans des plages différentes ou de type résidentiel ; la plateforme affine à son tour ses méthodes de détection en réponse. Ce cycle explique pourquoi l'efficacité d'un contournement à un instant donné ne préjuge en rien de son efficacité future, et pourquoi les discussions sur le sujet vieillissent particulièrement vite comparées à d'autres aspects plus stables de la mécanique du streaming décrits dans les autres dossiers de ce site.

Ce cycle a aussi un coût opérationnel des deux côtés : maintenir et renouveler en permanence des plages d'adresses représente un investissement continu pour un fournisseur VPN, tout comme l'affinement constant des méthodes de détection représente un coût d'ingénierie récurrent pour une plateforme de streaming, sans qu'aucun des deux camps n'obtienne jamais un avantage définitif et permanent sur l'autre.

Pourquoi les catalogues eux-mêmes changent aussi dans le temps

Indépendamment de toute question de contournement, un catalogue disponible dans un territoire donné n'est lui-même pas figé : les accords de licence ont une durée déterminée, à l'issue de laquelle un contenu peut disparaître d'un catalogue pour y réapparaître plus tard, ou ne jamais y revenir si les droits sont acquis par un concurrent. Cette instabilité native des catalogues, propre au modèle de licence territoriale lui-même, complique encore la question : même un accès parfaitement conforme à son propre territoire ne garantit pas la disponibilité pérenne d'un contenu donné dans la durée.

Ce qui relève de la loi, et ce qui relève des conditions d'utilisation

Une distinction juridique mérite d'être posée clairement, tant elle est souvent confondue dans les discussions sur le sujet. L'utilisation d'un VPN est, en elle-même, parfaitement légale dans la très large majorité des pays démocratiques, y compris en France : chiffrer et acheminer son trafic via un serveur tiers ne constitue pas un acte illégal en soi. En revanche, contourner une restriction géographique pour accéder à un catalogue non licencié pour son propre territoire enfreint généralement les conditions générales d'utilisation de la plateforme concernée — un contrat entre l'utilisateur et le service, dont la violation peut entraîner une suspension de compte, mais qui relève du droit contractuel privé et non du droit pénal.

Cette distinction entre légalité de l'outil et conformité contractuelle de son usage explique pourquoi la question « est-ce légal ? » appelle une réponse nuancée plutôt qu'un simple oui ou non : l'outil est légal, un usage particulier de cet outil peut ne pas être conforme à un contrat privé, ce qui n'est techniquement pas la même chose qu'une infraction à la loi elle-même.

Ce dossier clôt la série technique de ce site. Retour au panorama complet de la chaîne de streaming pour une vue d'ensemble des sept dossiers.