Un fournisseur de proxys se trouve sur le chemin de votre trafic. Vos scrapers, vos tâches de surveillance et vos suites de tests envoient des requêtes via son réseau, souvent avec des identifiants associés, donc avant qu’un plan de proxy résidentiel ne soit approuvé, votre équipe de sécurité voudra des réponses écrites.
La plupart des entreprises partent d’un questionnaire standard tel que le SIG de Shared Assessments ou le CAIQ de la Cloud Security Alliance, un ensemble de questions oui ou non associées à sa Cloud Controls Matrix. Ceux-ci couvrent les bases de tout fournisseur. Un réseau de proxys soulève quelques questions qu’ils ne posent pas, principalement d’où viennent les IP et ce que le fournisseur peut voir. Cette liste de contrôle couvre les deux aspects, section par section, avec ce à quoi ressemble une bonne réponse.
Il s’agit d’informations générales, pas d’un conseil juridique ou d’audit.
Pourquoi un fournisseur de proxys mérite son propre examen
Trois éléments distinguent les fournisseurs de proxys d’un fournisseur SaaS classique.
- Ils voient votre trafic. Pour les requêtes HTTPS, le fournisseur voit les hôtes auxquels vous vous connectez, le timing et le volume. Pour le HTTP simple, il voit le contenu.
- Ils détiennent des identifiants qui peuvent engager des dépenses. Un mot de passe de proxy divulgué permet à quelqu’un d’autre de faire transiter du trafic sur votre compte.
- Les IP de sortie appartiennent à quelqu’un d’autre. Les IP résidentielles et mobiles proviennent des appareils de vraies personnes. La manière dont ces appareils ont rejoint le réseau est une question juridique et réputationnelle, pour vous comme pour le fournisseur.
Ce dernier point n’est pas théorique. En mai 2024, le Département de la Justice américain a annoncé avoir démantelé le botnet 911 S5, un service de proxy résidentiel associé à plus de 19 millions d’adresses IP uniques, construit en diffusant des logiciels malveillants via des programmes VPN et des installateurs groupés. En mai 2025, le FBI a averti que des services de proxy criminels installaient des proxys sur des routeurs domestiques en fin de vie. En janvier 2026, le Threat Intelligence Group de Google a décrit avoir perturbé le réseau IPIDEA, dont il a observé que les nœuds de sortie étaient utilisés par plus de 550 groupes malveillants, et a conclu que les affirmations d’approvisionnement éthique « doivent être étayées par une preuve transparente et vérifiable du consentement de l’utilisateur ».
Section 1 : Approvisionnement des IP et consentement
- Comment les IP résidentielles et mobiles sont-elles obtenues : un SDK dans des applications partenaires, une application de partage de bande passante, des accords avec des FAI ?
- Pouvez-vous montrer l’écran de consentement que voit le propriétaire de l’appareil, et comment il peut le retirer ?
- Auditez-vous les applications partenaires qui embarquent votre SDK, et que se passe-t-il lorsque l’une d’elles enfreint les règles ?
- Achetez-vous ou revendez-vous des IP provenant d’autres réseaux ?
Bonne réponse : un modèle d’approvisionnement nommé, un flux de consentement que vous pouvez voir, et un processus d’audit. Signal d’alerte : « nos IP sont approvisionnées de manière éthique » sans rien derrière. Notre guide sur la manière dont les fournisseurs approvisionnent les IP résidentielles explique les modèles et les preuves à attendre.
Section 2 : Ce que le fournisseur voit et enregistre
- Quelles données de requête enregistrez-vous : IP source, hôte de destination, horodatages, octets, URL complètes ?
- Combien de temps chaque journal est-il conservé, et qui au sein de l’entreprise peut y accéder ?
- Inspectez-vous ou modifiez-vous le trafic, par exemple en interceptant le TLS ?
- Divulguerez-vous des journaux à des tiers, et selon quelle procédure juridique ?
Bonne réponse : une liste champ par champ avec des périodes de conservation et aucune interception TLS. Signal d’alerte : « nous n’enregistrons rien » de la part d’un fournisseur qui facture selon la bande passante et la destination, puisqu’il doit bien compter quelque chose. Notre article sur la sécurité des proxys résidentiels explique ce qu’un proxy peut voir et ne peut pas voir.
Section 3 : Contrôle d’accès et identifiants
- Quelles méthodes d’authentification prenez-vous en charge : nom d’utilisateur et mot de passe, liste blanche d’IP, les deux ?
- Pouvons-nous créer des identifiants séparés par équipe, projet ou environnement, et en révoquer un sans affecter les autres ?
- Le tableau de bord prend-il en charge l’authentification unique et l’authentification multifacteur, avec des rôles ?
- Existe-t-il un journal d’audit des modifications de compte et des réinitialisations d’identifiants ?
Bonne réponse : des identifiants par projet avec leurs propres limites, et l’authentification multifacteur sur le tableau de bord. Des sous-utilisateurs séparés par équipe ou client permettent aussi de voir quelle tâche a utilisé quoi.
Section 4 : Chiffrement en transit
- Quelles versions de TLS le tableau de bord, l’API et les points d’accès proxy acceptent-ils ?
- La connexion entre notre client et le proxy lui-même peut-elle être chiffrée ?
Bonne réponse : TLS 1.2 ou supérieur, avec TLS 1.3 pris en charge. Les directives du NIST pour les systèmes fédéraux américains (SP 800-52 Rev. 2) fixent cette base, et c’est un seuil raisonnable pour tout fournisseur.
Section 5 : Audits et certifications
- Disposez-vous d’un rapport SOC 2 ? Type 1 ou Type 2, quelle période, et quelles catégories Trust Services (sécurité, disponibilité, intégrité du traitement, confidentialité, vie privée) ?
- Êtes-vous certifié ISO/IEC 27001:2022, et quel en est le périmètre ?
- Quand a eu lieu votre dernier test d’intrusion indépendant, et pouvons-nous voir un résumé ?
Bonne réponse : un rapport Type 2 récent dont le périmètre inclut l’infrastructure proxy, pas seulement le site web de facturation. Un rapport Type 1 indique seulement que les contrôles étaient conçus de manière adéquate à un moment donné ; le Type 2 ajoute une opinion sur leur efficacité opérationnelle sur une période. Signal d’alerte : un certificat dont le périmètre exclut les systèmes que vous utiliserez.
Section 6 : Protection des données et sous-traitants
- Signerez-vous un accord de traitement des données ? Selon l’article 28 du RGPD, un sous-traitant agit uniquement sur instructions documentées et a besoin de l’autorisation écrite préalable du responsable du traitement avant d’engager un autre sous-traitant.
- Quels sous-traitants utilisez-vous (hébergement, journalisation, paiements), et dans quels pays ?
- Tenez-vous le registre des activités de traitement que l’article 30 exige des sous-traitants ?
Bonne réponse : un accord de traitement standard, une liste de sous-traitants publiée et un délai de préavis pour les changements. Pour une vue d’ensemble du RGPD, voir notre guide sur les proxys résidentiels et la conformité RGPD.
Section 7 : Incidents et abus
- Comment et à quelle vitesse nous informerez-vous d’un incident de sécurité affectant notre compte ou nos données ? L’article 33 du RGPD exige des sous-traitants qu’ils notifient les responsables du traitement « dans les meilleurs délais », et des responsables du traitement qu’ils notifient l’autorité dans les 72 heures lorsque cela est possible.
- Comment traitez-vous les signalements d’abus concernant le trafic provenant de votre réseau ?
- Quelles cibles et quels usages bloquez-vous, et vérifiez-vous les clients ?
Bonne réponse : un contact nommé, un engagement de notification dans le contrat, et une politique d’utilisation acceptable écrite et appliquée. Les contrôles anti-abus vous protègent aussi : chaque client partage la réputation des mêmes IP.
Section 8 : Continuité et sortie
- Quel niveau de disponibilité vous engagez-vous à fournir, comment est-il mesuré, et quel est le recours en cas de non-respect ?
- Si vous cessez de nous servir, comment récupérons-nous nos données et fermons-nous les identifiants ?
Le questionnaire sur une page
| Section | Demander | Signal d’alerte |
|---|---|---|
| Approvisionnement | Flux de consentement, modèle d’approvisionnement, audits des partenaires | « Approvisionnement éthique » sans preuve |
| Journalisation | Liste des champs et conservation par journal | « Nous n’enregistrons rien » |
| Accès | Identifiants par projet, MFA, journal d’audit | Un seul mot de passe partagé pour toute l’entreprise |
| Chiffrement | TLS 1.2+, 1.3 pris en charge | Tableau de bord ou API en texte clair |
| Audits | SOC 2 Type 2 ou ISO 27001 avec périmètre proxy | Périmètre qui exclut le réseau |
| Protection des données | Accord de traitement, liste des sous-traitants | Pas d’accord de traitement pour les clients européens |
| Incidents | Préavis contractuel, politique anti-abus | Pas de contact sécurité nommé |
L’essentiel
Un fournisseur de proxys mérite le même examen que tout fournisseur qui touche à votre trafic, plus quelques questions que seuls les réseaux de proxys soulèvent. Envoyez votre questionnaire standard, ajoutez les sections sur l’approvisionnement, la journalisation et les abus ci-dessus, et demandez des preuves plutôt que des déclarations. Les réponses vous en diront plus sur un réseau que sa page de tarification.
Sources et références
- Département de la Justice américain, botnet 911 S5 démantelé (29 mai 2024) : justice.gov
- Google Threat Intelligence Group, perturbation du plus grand réseau de proxy résidentiel (janvier 2026) : cloud.google.com
- FBI, Cyber Criminal Proxy Services Exploiting End of Life Routers (mai 2025) : ic3.gov
- Cloud Security Alliance, Cloud Controls Matrix et CAIQ : cloudsecurityalliance.org
- Shared Assessments, questionnaire SIG : sharedassessments.org
- AICPA, rapport SOC 2 : aicpa-cima.com
- ISO/IEC 27001:2022 : iso.org
- RGPD, Articles 28, 30 et 33 : eur-lex.europa.eu
- NIST SP 800-52 Rev. 2 : csrc.nist.gov