Ce qu'est réellement un ASN
Internet n'est pas un seul réseau. Ce sont des dizaines de milliers de réseaux, chacun géré par quelqu'un qui décide comment le trafic y entre et en sort. Chacun de ces réseaux porte un numéro — son Autonomous System Number — et chaque adresse IP publique appartient à exactement l'un d'eux à un instant donné.
Ce numéro est l'unité utile. Une société d'hébergement peut détenir des centaines de milliers d'adresses réparties sur des plages qui semblent sans rapport entre elles, mais elles se trouvent toutes sous un seul ASN, ou une poignée. Un opérateur mobile fait de même pour ses abonnés. Donc quand vous vous demandez « d'où vient réellement cette requête », l'adresse vous dit quelle machine, et l'ASN vous dit quelle organisation a mis cette machine sur internet.
Cette distinction fait toute la valeur de la chose. Un client abusif peut changer d'adresse en un instant — c'est un bouton dans une console cloud, et votre liste d'IP soigneusement construite est périmée en moins d'une heure. Changer d'ASN, c'est changer de fournisseur.
Trouver le réseau derrière une requête
Vous partez d'une adresse dans vos journaux et vous la transformez en réseau. Le plus rapide est une simple requête whois.
Une adresse, une recherche, un réseau
# Le service whois de Team Cymru : adresse -> ASN, nom du réseau, pays
whois -h whois.cymru.com " -v 203.0.113.10"Lire la réponse avant d'agir
La recherche vous donne l'ASN, l'organisation qui le détient et le pays où il est enregistré. bgp.he.net affiche les mêmes informations dans un navigateur, plus chaque plage que ce réseau annonce, ce qui vaut un coup d'œil avant de bloquer quoi que ce soit : si l'organisation est un grand FAI grand public, la taille de son espace d'adressage le rend évident immédiatement.
Faites la recherche sur plusieurs adresses, pas sur une seule. Un motif ne compte comme un motif que si le même ASN revient sans cesse. Si cinquante adresses fautives correspondent à cinquante réseaux différents, vous n'avez pas affaire à un fournisseur que vous pouvez bloquer — vous avez affaire à un botnet, et une limite de débit ou une règle de WAF vous serviront bien mieux que n'importe quelle liste.
Regardez aussi ce que demande le trafic. Un seul réseau qui aspire tout votre catalogue produit chaque nuit, c'est un scraper. Le même réseau qui récupère une URL par client, c'est l'intégration de quelqu'un, et la bloquer produit un appel téléphonique plutôt qu'une amélioration discrète.
IP, ASN, pays : trois questions différentes
Ce ne sont pas trois niveaux de puissance d'un même outil. Ils répondent à des choses différentes, et choisir le mauvais est la façon dont un blocage finit par coûter plus cher que l'abus lui-même.
Un blocage IP répond à « cette machine précise pose problème ». Il est précis et temporaire par nature : utilisez-le pour un hôte abusif spécifique, une attaque en cours, ou pendant que vous cherchez encore quel est le motif.
Un blocage ASN répond à « rien de légitime ne m'atteint depuis ce réseau ». C'est souvent vrai pour les hébergeurs et fournisseurs cloud — vos clients naviguent depuis des FAI et des opérateurs mobiles, tandis que scrapers, scanneurs de vulnérabilités et scripts de credential stuffing tournent sur des serveurs loués. Bloquer le réseau derrière eux survit à leurs changements d'adresse, ce qu'un blocage IP ne peut pas faire.
Un blocage pays répond à « nous ne desservons pas ce marché ». C'est le plus grossier des trois, et le seul qui exprime une règle commerciale plutôt qu'une observation technique : une boutique qui livre dans deux pays, un service sous licence limitée à un seul. Comme contrôle de sécurité à lui seul, il est faible, car un attaquant passe par un serveur ailleurs en quelques secondes, tandis qu'un vrai client en voyage à l'étranger n'a pas cette option.
Le réflexe qui tient la route : bloquez un pays pour des raisons commerciales, un ASN pour des raisons comportementales, une IP pendant que vous déterminez encore lequel des deux vous observez.
Ce que la périphérie fait de la liste
Les deux listes sont appliquées en périphérie, ce qui les rend peu coûteuses. La périphérie résout l'adresse du visiteur en un pays et un ASN à l'aide d'une base de données locale — GeoLite2 de MaxMind, actualisée automatiquement sur nos nœuds de périphérie, donc aucune recherche réseau sur le chemin de la requête et rien à tenir à jour de votre côté.
Si l'adresse correspond à une liste, la requête reçoit immédiatement une page 403 personnalisée portant un identifiant de référence. Votre origine ne voit jamais la connexion : aucun worker occupé, aucune requête en base de données, aucune bande passante prélevée sur votre serveur. C'est la différence entre bloquer en périphérie et bloquer dans votre application, et c'est la raison pour laquelle le blocage tient bon précisément quand cela compte, sous charge.
L'identifiant de référence compte plus qu'il n'y paraît. Quand quelqu'un vous dit ne pas pouvoir accéder à votre site, cet identifiant permet de retrouver sa requête exacte dans les journaux et de répondre « votre réseau est sur la liste de blocage » au lieu de deviner pendant tout un après-midi.
La mise en place dans le panneau
Ouvrez Règles de diffusion → Préréglages de sécurité dans le panneau — /management/cdn/advanced-management. Deux gestionnaires y siègent côte à côte : le Gestionnaire de liste noire par pays et le Gestionnaire de liste noire par ASN.
Pour un pays, choisissez-le dans la liste et enregistrez. Pour un réseau, saisissez l'ASN sous forme de nombre simple : 12735, pas AS12735 ; plusieurs réseaux vont dans une seule liste séparée par des virgules (12735, 47331). La liste accepte jusqu'à 200 entrées, et 0 est rejeté volontairement — voir les mises en garde ci-dessous.
Vérifiez ensuite avec quelque chose qui provient réellement du réseau bloqué plutôt que de votre propre connexion : un hôte à l'intérieur de ce cloud, un proxy, ou un collègue sur cet opérateur. Le bon résultat est la page 403 personnalisée depuis là-bas, et un 200 ordinaire depuis partout ailleurs. Le blocage est suffisamment discret pour vous faire croire qu'il n'a pas fonctionné, parce que votre propre requête ne vient presque jamais du réseau que vous venez de bloquer.
Le faire depuis l'API
Les deux listes sont disponibles via l'API REST avec un jeton bearer, ce qui est ce qu'il vous faut si vous les gardez sous contrôle de version ou les reliez à votre propre détection d'abus. L'appel de mise à jour règle la liste exactement sur ce que vous envoyez, donc lisez-la d'abord et publiez la liste complète plutôt que seulement l'ajout.
Lire la liste actuelle, puis la remplacer
# ce qui est sur la liste en ce moment
curl -s -H "Authorization: Bearer $TOKEN" \
https://cdn.com.tr/api/accounts/<account-uuid>/asn_blacklist
# la remplacer par exactement ces deux réseaux
curl -s -X POST -H "Authorization: Bearer $TOKEN" \
-H "Content-Type: application/json" \
-d '{"listType":"blacklist","asns":[12735,47331]}' \
https://cdn.com.tr/api/accounts/<account-uuid>/asn_blacklist_updateLes mises en garde qui décident si c'est une bonne idée
Les FAI grand public et les opérateurs mobiles, ce sont des millions de personnes. L'ASN d'un seul opérateur mobile peut couvrir une large part des téléphones d'un pays. Le bloquer ne bloque pas un attaquant ; cela bloque un segment de marché, et les tickets de support ne mentionneront jamais le mot ASN.
Les CDN, VPN et proxys d'entreprise masquent l'origine réelle. Quand une requête arrive via un autre CDN ou un VPN, l'ASN que vous voyez appartient à cet intermédiaire. Le bloquer élimine tous les utilisateurs de ce service, y compris des clients soucieux de leur vie privée et des employés à distance sur le VPN de leur entreprise.
Les ASN d'hébergement transportent aussi du trafic que vous voulez. Les webhooks de paiement, les moniteurs de disponibilité, les aperçus de liens des applications de messagerie, les intégrations partenaires et les robots des moteurs de recherche tournent tous sur des serveurs loués. Avant de bloquer un fournisseur cloud en totalité, identifiez lesquelles de vos propres intégrations y vivent.
L'ASN 0 ne peut pas être bloqué. C'est ce que renvoie la base de données quand une adresse ne correspond à aucun réseau connu, ce n'est donc pas un réseau du tout — le bloquer reviendrait à bloquer « tout ce que nous n'avons pas pu identifier ». Le trafic qui y aboutit doit être traité par le comportement, avec une limite de débit ou une règle de WAF, pas par une liste.
Les réseaux changent de mains. Un ASN n'est pas une description permanente de qui se cache derrière lui. Une liste que personne n'a relue depuis deux ans est une liste que vous ne comprenez plus.
Un ordre d'escalade sensé
Quand quelque chose d'abusif se manifeste, saisissez le contrôle le moins coûteux qui correspond à la forme du problème — et décrivez cette forme honnêtement d'abord : combien d'adresses, combien de réseaux, à quelle vitesse, et ce qu'ils demandent.
Cette description choisit l'outil. Beaucoup de requêtes venant de peu de clients, c'est une limite de débit. Des requêtes d'apparence malveillante, aussi peu nombreuses soient-elles, c'est une règle de WAF. Un volume énorme venant de partout à la fois, c'est de l'absorption DDoS. Seul un trafic régulier et délibéré depuis un réseau identifiable justifie un blocage ASN — et un marché que vous avez décidé de ne pas desservir justifie un blocage pays.
Ensuite, faites en sorte que le blocage soit le plus étroit possible pour être efficace, notez pourquoi vous l'avez ajouté, et regardez ce qu'il vous a coûté une semaine plus tard. Une entrée sans raison notée à côté est celle que personne n'ose supprimer deux ans plus tard, et chaque liste de blocage finit par en accumuler.
Questions fréquentes
Comment trouver l'ASN d'une adresse IP ?
Interrogez le service whois de Team Cymru avec l'adresse, ou consultez bgp.he.net dans un navigateur. Les deux vous donnent l'ASN, l'organisation qui le détient et les plages qu'il annonce. Vérifiez plusieurs adresses plutôt qu'une seule — une recherche isolée vous dit où se trouve une machine, pas s'il existe un motif qui mérite d'être bloqué.
Bloquer un pays est-il une bonne mesure de sécurité ?
À lui seul, non. Il exprime une règle commerciale — nous ne desservons pas ce marché — et il le fait bien. Comme défense, il est faible : un attaquant loue un serveur là où vous l'autorisez et revient en quelques minutes, tandis que votre client en vacances se retrouve exclu et n'a aucun moyen de s'expliquer.
Un blocage ASN arrêtera-t-il un attaquant déterminé ?
Il augmente le coût plutôt que de mettre fin au problème. Contre les scrapers, les scanneurs et les scripts de credential stuffing tournant sur des serveurs loués bon marché, c'est très efficace, parce que se déplacer signifie trouver un nouveau fournisseur. Contre un botnet sur des connexions résidentielles, cela ne sert à rien d'utile — ces requêtes viennent de milliers de FAI ordinaires, et seul le comportement permet de les distinguer.
Que voit réellement un visiteur bloqué ?
Une page 403 personnalisée avec un identifiant de référence, servie par la périphérie. Ce n'est ni un délai d'attente ni une erreur de navigateur, donc quelqu'un bloqué par erreur peut vous dire exactement ce qu'il a vu, et l'identifiant de référence mène directement à sa requête dans les journaux.
Puis-je bloquer les réseaux inconnus, ou l'ASN 0 ?
Non. L'ASN 0 est ce que rapporte la base de données quand une adresse n'appartient à aucun réseau qu'elle connaît, ce n'est donc pas une organisation que vous pourriez bloquer — c'est un trou dans les données. Les requêtes qui y aboutissent relèvent du rate limiting ou d'une règle de WAF, qui jugent ce que fait le client plutôt que d'où il vient.
Pourrais-je bloquer Google ou mon prestataire de paiement par erreur ?
Oui, et c'est la façon la plus courante dont une liste ASN cause des dégâts. Robots d'indexation, moniteurs de disponibilité, webhooks de paiement et aperçus de liens des applications de messagerie proviennent tous de réseaux cloud. Avant de bloquer un hébergeur, vérifiez lesquelles de vos propres intégrations y tournent — et après l'enregistrement, surveillez l'intégration qui cesse discrètement d'appeler.