Quand un site web refuse de se charger dans un pays et se charge sans problème dans un autre, l’hypothèse habituelle est la censure. Ce n’est souvent rien de tel. Le blocage a été mis en place par le site lui-même, ou par le réseau sur lequel il fonctionne, décidant qui il va servir.
Cette pratique, le géo-blocage côté serveur, est courante, rarement expliquée à la personne bloquée, et étonnamment difficile à mesurer. Plusieurs études évaluées par des pairs l’ont mesurée quand même. Ensemble, elles donnent une réponse claire à la question de savoir quels pays sont le plus bloqués, et une réponse plus intéressante à celle de savoir qui fait ce blocage.
Points clés
- Dans la plus grande mesure mondiale, la Syrie, l’Iran, le Soudan et Cuba étaient géo-bloqués bien plus que tout autre pays, tous sous sanctions américaines à l’époque. Le pays médian était bloqué par 3 des 8 000 sites populaires ; la Syrie par 71.
- La majeure partie du blocage passe par une poignée de fournisseurs d’infrastructure. Dans cette étude, 40,7 % des clients de Google App Engine parmi les meilleurs sites bloquaient au moins un pays, contre 3,1 % pour Cloudflare et 1,4 % pour Amazon CloudFront.
- Après l’invasion de l’Ukraine en 2022, 444 sites étrangers ont géo-bloqué les utilisateurs russes, dont des sites d’actualités et des universités américaines.
- Une mesure de 2023 depuis Cuba a trouvé 546 domaines bloqués, dont 88 % ne donnaient aucune raison. Seuls 9 utilisaient le code de statut HTTP créé pour les blocages légaux.
- Le classement mondial des pays date de 2018. Aucune étude depuis ne l’a répété à l’échelle mondiale, et les sanctions américaines contre la Syrie ont été révoquées en juillet 2025.
Le géo-blocage n’est pas de la censure
La distinction compte, car les deux sont causés par des acteurs différents et corrigés par des personnes différentes.
| Géo-blocage | Censure | |
|---|---|---|
| Qui agit | Le site web, ou son hébergeur ou fournisseur CDN | Un gouvernement, généralement via les réseaux locaux |
| Où cela se passe | Au niveau du serveur | À l’intérieur du pays du visiteur |
| Signal typique | Une page 403, un avis, ou un refus silencieux | Manipulation du DNS, réinitialisations de connexion, adresses bloquées |
| Motif habituel | Sanctions, licences, fraude, coût, risque juridique | Contrôle politique ou juridique de l’information |
Les deux peuvent paraître identiques pour un visiteur, et ils contaminent mutuellement leurs mesures. L’étude de 2018 ci-dessous a constaté que 9 % des domaines d’une liste de test de censure largement utilisée renvoyaient une page de blocage CDN dans au moins un pays, ce qui signifie que certains résultats de « censure » étaient en réalité le site disant non.
Les pays les plus bloqués
Le seul classement mondial provient de « 403 Forbidden: A Global View of CDN Geoblocking », présenté à l’ACM Internet Measurement Conference en 2018 par une équipe dirigée depuis l’University of Michigan, avec la contribution de Cloudflare pour ses propres données de règles clients. Ils ont chargé 8 000 des 10 000 meilleurs sites Alexa depuis des points d’observation dans 177 pays, en utilisant des connexions résidentielles, et ont comptabilisé les pages de blocage explicites.
| Pays | Sites du top 10K le géo-bloquant |
|---|---|
| Syrie | 71 |
| Iran | 67 |
| Soudan | 66 |
| Cuba | 66 |
| Chine | 11 |
| Nigeria | 11 |
| Russie | 10 |
| Brésil | 8 |
| Irak | 6 |
| Pakistan | 5 |
Le pays médian était bloqué par 3 sites. Les auteurs le disent directement : les quatre premiers étaient la Syrie, l’Iran, le Soudan et Cuba, « avec une large marge », et les quatre étaient sous sanctions des États-Unis. Le blocage était concentré sur les sites de finance et de banque, ce qui est cohérent avec une conformité aux sanctions.
Un échantillon plus large de clients CDN parmi le top million de sites a répété le schéma, avec l’Iran bloqué par 178 domaines, le Soudan par 169, la Syrie par 168 et Cuba par 165, suivis par la Chine à 34, la Russie à 28 et l’Ukraine à 22. Sur 177 pays testés, seules les Seychelles n’ont vu aucun blocage.
Deux avertissements avant de citer ce tableau. La mesure date de 2018, et rien depuis ne l’a répétée à l’échelle mondiale. Et l’un de ses quatre premiers a changé de statut : les sanctions américaines contre la Syrie ont été révoquées à compter du 1er juillet 2025. Le nombre de sites ayant depuis supprimé leurs règles concernant la Syrie n’a pas été mesuré.
Qui fait le blocage
La couche d’infrastructure
Très peu de sites web construisent eux-mêmes leur géo-blocage. Ils l’activent dans leur CDN ou leur plateforme cloud, ce qui explique pourquoi les mêmes quelques fournisseurs dominent chaque étude. Parmi les 10 000 meilleurs sites dans la mesure de 2018 :
| Fournisseur | Clients bloquant au moins un pays |
|---|---|
| Google App Engine | 40,7 % |
| Cloudflare | 3,1 % |
| Amazon CloudFront | 1,4 % |
Le chiffre d’App Engine était dû aux sanctions : les auteurs rapportent qu’il bloquait le même ensemble sanctionné pour tous ses clients, plutôt que chaque site faisant son propre choix. Ailleurs, le blocage est une décision du client. La documentation d’Amazon décrit les listes d’autorisation et de refus de CloudFront et indique qu’un visiteur bloqué reçoit un 403 Forbidden. La documentation de Cloudflare indique que le blocage par pays est disponible sur les forfaits Enterprise, et que les autres clients peuvent bloquer des pays avec des règles WAF personnalisées.
Les propres données de règles de Cloudflare, publiées dans le même article pour juillet 2018, montrent ce que les clients ont choisi de bloquer. Sur l’ensemble des zones, la Russie et la Chine étaient chacune bloquées par 0,22 %, devant la Corée du Nord à 0,20 % et l’Iran à 0,18 %. Parmi les clients Enterprise, l’ordre a complètement changé : Corée du Nord 16,50 %, Iran 15,57 %, Syrie 13,74 %, Russie 4,90 %. Les grandes organisations bloquent pour des raisons de sanctions ; les plus petites bloquent là où elles voient des abus.
Plateformes sous contrôle commercial
Certains services déclarent ouvertement leurs restrictions. La page sur les contrôles commerciaux de GitHub indique que ses services ne sont pas disponibles pour les développeurs en Corée du Nord, et qu’il détient une licence de l’Office of Foreign Assets Control du Trésor américain pour fournir des services cloud aux développeurs en Iran. Des politiques comme celle-ci changent avec les sanctions, donc la page elle-même, et non un résumé secondaire, est la seule source fiable.
La Russie après 2022
Une étude USENIX Security 2023 a mesuré le réseau dans les semaines suivant l’invasion de l’Ukraine, avec des mesures quotidiennes du 14 mars au 22 avril 2022 et un scan complet le 10 mai 2022.
Les sites étrangers ont réagi rapidement. Les auteurs ont trouvé 444 sites étrangers géo-bloquant les utilisateurs russes. Au niveau HTTP, 286 des 8 763 domaines populaires (3,26 %) renvoyaient des signatures de blocage à tous les points d’observation russes, et la Russie était géo-bloquée par bien plus de domaines que tout autre pays testé. La majeure partie de ce blocage passait par Cloudflare, 87 domaines, et Akamai, 57. Parmi les bloqueurs figuraient 42 domaines d’actualités et de médias, la majorité basés aux États-Unis, nationaux et locaux.
Le blocage a aussi fonctionné dans l’autre sens. Plus de 45 % des domaines gouvernementaux russes testés bloquaient l’accès depuis des pays autres que la Russie et le Kazakhstan.
Cuba, vu de l’intérieur
L’étude par pays la plus récente provient d’un unique point d’observation résidentiel à Cuba, publiée à USENIX Security 2024. Entre le 11 et le 22 mai 2023, les chercheurs ont testé 10 093 domaines populaires et en ont trouvé 546 géo-bloquant les visiteurs cubains, dont des services bien connus dans la technologie, les affaires et la finance.
| Comment le blocage apparaissait | Domaines |
|---|---|
| Réponse HTTP avec une page de blocage | 395 |
dont 403 Forbidden | 347 |
dont 200 OK, une page de blocage présentée comme un succès | 32 |
dont 451 Unavailable For Legal Reasons | 9 |
| Échec au stade du DNS, TCP, TLS ou HTTP sans servir de page | le reste, certains domaines à plus d’un stade |
Le résultat le plus important pour toute personne concernée : 88 % des domaines bloqués ne donnaient aucun avis informatif expliquant pourquoi. Et le code de statut HTTP 451, créé spécifiquement pour signaler un blocage légal, est resté une rareté. L’étude de 2018 ne l’avait observé que deux fois durant tout son déroulement.
L’UE : blocage à l’intérieur d’un marché unique
L’Europe offre un tableau différent, car elle a légiféré contre le géo-blocage entre États membres. Le Règlement anti-blocage géographique s’applique depuis décembre 2018. L’examen à court terme de la Commission de 2020 a constaté que seulement 0,2 % des quelque 9 000 sites web étudiés bloquaient l’accès, et que les exigences de localisation étaient passées de 26,9 % à 14 %. Le contenu audiovisuel est exclu du Règlement, et cela se voit : le même examen a constaté qu’un consommateur européen pouvait accéder en moyenne à 14 % des films disponibles en ligne dans l’UE, allant de 1,3 % en Grèce à 43,1 % en Allemagne. La Commission a ouvert une évaluation formelle du Règlement en février 2025.
Le blocage a aussi touché l’Europe depuis l’extérieur. Lorsque le RGPD est entré en vigueur en 2018, un certain nombre de sites d’actualités américains ont bloqué les visiteurs de l’UE plutôt que de modifier leurs pratiques en matière de données. Une étude évaluée par des pairs sur quatre d’entre eux, le Los Angeles Times, le Chicago Tribune, USA Today et Us Weekly, a constaté que le nombre de visiteurs uniques mensuels en provenance de l’UE avait chuté de 82 % à 96 % pendant les blocages, et que les audiences n’étaient pas entièrement revenues une fois l’accès rétabli. La même question revient aujourd’hui avec les murs de consentement, qui varient fortement selon les pays.
Pourquoi cela est difficile à mesurer
Chaque étude ci-dessus dit la même chose sur la méthode : on ne peut pas mesurer le géo-blocage depuis un seul endroit.
- Il faut un point d’observation à l’intérieur de chaque pays. Un blocage visant la Russie est invisible depuis l’Allemagne.
- Les codes de statut mentent. Les pages de blocage servies avec un
200 OKpassent tout contrôle qui ne regarde que le statut. - Les échecs silencieux ressemblent à de mauvais réseaux. Un délai d’attente depuis un pays bloqué et un délai d’attente depuis un pays lent sont le même événement tant qu’on ne compare pas à un témoin.
- La censure et le géo-blocage se chevauchent. Les chercheurs les séparent selon l’endroit du parcours où l’échec se produit, et signalent quand même les cas ambigus.
La mesure comporte aussi un poids éthique. Les chercheurs de 2018, testant via des connexions résidentielles, se sont abstenus de sonder les catégories de sites à haut risque afin de protéger les personnes dont les connexions transportaient le trafic. Cette retenue a sa place dans toute conception de mesure sérieuse, et la même logique traverse l’argumentaire en faveur de l’enregistrement de l’endroit où les données web ont été observées.
Ce que les équipes internationales devraient retenir de tout cela
Si vous publiez, vendez ou opérez au-delà des frontières, la question n’est pas tant « quels pays sont bloqués » que « ce que mon audience dans chaque marché reçoit réellement ».
- Testez vos propres propriétés depuis chaque marché que vous desservez. Les règles CDN et WAF sont faciles à ajouter et faciles à oublier. Une règle ajoutée pour un pic d’abus il y a trois ans peut encore refuser tout un pays.
- Vérifiez la page, pas seulement le statut. Cherchez du texte de blocage dans le corps aussi bien que dans le code.
- Si vous devez bloquer, dites pourquoi. Un avis clair, et idéalement un
451lorsque la raison est légale, transforme un mystère en réponse. - Enregistrez le point d’observation avec tout résultat que vous publiez.
Pour le premier point, une requête ciblée par pays via la passerelle résidentielle de Shifter montre ce qu’un visiteur de ce marché reçoit, sans changer quoi que ce soit d’autre dans votre test :
curl -s -o /dev/null -w "%{http_code}\n" \
-x customer-USERNAME-country-br:PASSWORD@p.shifter.io:443 \
https://www.example.com/Les codes de pays sont au format ISO 3166-1 alpha-2. La documentation sur le ciblage géographique couvre le ciblage par région, ville et ASN, et la façon dont tester vos propres versions de cette manière s’étend aux contrôles de conformité géographique.
Une ligne n’est pas négociable. Le géo-blocage pour la conformité aux sanctions est une obligation légale pour l’entreprise qui l’applique, et les proxies résidentiels ne doivent pas être utilisés pour contourner cette obligation, ni les restrictions de licence, depuis où que ce soit. L’usage décrit ici est l’observation de vos propres propriétés et la mesure publique, et si vous n’êtes pas sûr d’où se situe cette ligne pour votre situation, prenez conseil juridique avant de tester.
En résumé
Les pays les plus bloqués sont ceux sous sanctions, et le blocage se produit principalement parce que les fournisseurs d’infrastructure en font une case à cocher. Autour de ce noyau se trouve une couche plus large et plus lâche : des sites bloquant la Russie après 2022, des éditeurs américains bloquant l’Europe après le RGPD, des petites entreprises bloquant là où elles ont vu des abus. Presque rien de tout cela n’explique au visiteur bloqué pourquoi.
Le plus grand manque, c’est la donnée elle-même. Le seul classement mondial par pays a huit ans, et l’un de ses quatre premiers n’est plus sous sanctions américaines. Quiconque a besoin d’une réponse actuelle pour ses propres marchés doit la mesurer, depuis l’intérieur de ces marchés.
Sources et références
- McDonald, Bernhard, Valenta, VanderSloot, Scott, Sullivan, Halderman et Ensafi, 403 Forbidden: A Global View of CDN Geoblocking, ACM Internet Measurement Conference 2018. Comptages par pays, taux par fournisseur et données de règles Cloudflare.
- Ramesh, Sundara Raman, Virkud, Dirksen, Huremagic, Fifield, Rodenburg, Hynes, Madory et Ensafi, Network Responses to Russia’s Invasion of Ukraine in 2022: A Cautionary Tale for Internet Freedom, USENIX Security 2023. Mesuré de mars à mai 2022.
- Ablove, Chandrashekaran, Le, Sundara Raman, Ramesh, Oppenheimer et Ensafi, Digital Discrimination of Users in Sanctioned States: The Case of the Cuba Embargo, USENIX Security 2024. Mesuré du 11 au 22 mai 2023.
- US Department of the Treasury, Office of Foreign Assets Control, Recent actions, 30 June 2025. Révocation des sanctions contre la Syrie à compter du 1er juillet 2025.
- Amazon Web Services, Restrict the geographic distribution of your content. Restrictions géographiques de CloudFront.
- Cloudflare, IP Access rules. Blocage par pays selon le forfait.
- GitHub, GitHub and Trade Controls.
- European Commission, Short-term review of the Geo-blocking Regulation, 30 novembre 2020, et evaluation launch, 11 février 2025.
- Thurman, Sly, Fletcher et Wilczek, The International Communication Gazette, résumé par le Reuters Institute : Many EU visitors shut out of US sites in response to GDPR never came back, 19 juillet 2022.