CGNAT expliqué : Pourquoi une IP mobile ressemble à des milliers d'utilisateurs
Le NAT de niveau opérateur regroupe des milliers de vrais abonnés derrière une seule IP mobile. Ce simple fait explique pourquoi un proxy mobile est la sortie la plus difficile à bloquer pour un site web — et pourquoi les plateformes traitent le trafic mobile différemment.
Voici le fait contre-intuitif au cœur des proxys mobiles : une adresse IP partagée par des milliers d'étrangers est plus fiable qu'une que vous avez pour vous seul. Ce n'est pas une bizarrerie — c'est la conséquence directe de la façon dont les réseaux mobiles attribuent les adresses, un système appelé NAT de niveau opérateur (CGNAT). Une fois que vous comprenez le CGNAT, toute la logique de "pourquoi les proxys mobiles sont-ils si difficiles à bloquer ?" devient claire. Ce guide explique ce qu'est le CGNAT, pourquoi il existe, et pourquoi il transforme une IP mobile en la sortie la plus difficile à interdire pour un site web.
Ce qu'est réellement le CGNAT
Votre routeur domestique effectue déjà une traduction d'adresses réseau : il cache les adresses privées de vos appareils derrière une IP publique. Le NAT de niveau opérateur est la même idée, un niveau au-dessus. L'opérateur mobile insère une couche de traduction supplémentaire qui place de nombreux abonnés — foyers, téléphones, appareils non liés — derrière une seule adresse IPv4 publique. De l'extérieur, tout ce trafic semble provenir d'une seule adresse. Les appareils individuels sont invisibles derrière la couche de traduction de l'opérateur, et surtout, les utilisateurs n'ont aucune idée que cela se passe. Contrairement à un VPN ou un proxy, que les gens choisissent, le CGNAT est configuré silencieusement par le FAI à l'intérieur de son propre réseau.
Le marqueur technique est l'Espace d'Adresses Partagées défini dans le RFC 6598 — la plage 100.64.0.0/10 — que les opérateurs utilisent entre votre appareil et l'internet public. Sa présence dans un traceroute est une empreinte fiable du CGNAT.
Pourquoi les opérateurs le font : l'IPv4 est tout simplement épuisé
Le moteur est arithmétique. Le design 32 bits de l'IPv4 permet environ 4,3 milliards d'adresses uniques, un nombre qui semblait autrefois illimité et a été complètement dépassé par la croissance d'internet. Au début des années 2010, les registres régionaux avaient épuisé leurs réserves d'adresses IPv4 non allouées, laissant les FAI incapables d'en acheter plus. Le CGNAT était la solution pratique : au lieu d'une adresse publique par client, placer de nombreux clients derrière chaque adresse. La pression est la plus forte sur les réseaux mobiles, où il y a dix ans, la plupart des connexions étaient des smartphones et aujourd'hui la même infrastructure transporte également des terminaux de paiement, des caméras, des routeurs, des capteurs et d'innombrables autres appareils. L'IPv6 est la solution à long terme, mais comme le dit le vieil adage, rien n'est plus permanent qu'une solution temporaire — et le CGNAT reste courant sur la 4G et la 5G. Une nouvelle génération de technologie mobile ne l'a pas éliminé, car la pénurie n'a jamais été un problème de 4G.
Le problème des dommages collatéraux qui protège les IP mobiles
La plupart des défenses contre les abus sur le web — listes de blocage, limites de débit, détection d'anomalies — ont été construites sur une hypothèse : qu'une adresse IP correspond à une seule entité responsable, en gros un utilisateur. Le CGNAT brise cette hypothèse. Lorsque des centaines ou des milliers d'abonnés non liés partagent une IP publique, bloquer cette IP à cause d'un mauvais acteur punit tout le monde derrière elle. Dès 2015, le régulateur britannique Ofcom avertissait que mettre sur liste noire une adresse CGNAT pourrait affecter "une base d'abonnés entière". L'IETF a documenté la même tension des années plus tôt dans le RFC 6269 et le RFC 7021 : la mitigation traditionnelle de blocage de l'IP s'effondre lorsque l'IP est partagée.
C'est un problème si réel que Cloudflare a construit un classificateur d'apprentissage automatique spécifiquement pour détecter le CGNAT afin d'éviter de sur-bloquer ces adresses — en l'entraînant sur un ensemble étiqueté de plus de 200 000 IPs CGNAT, 180 000 IPs VPN et proxy, et près de 900 000 adresses d'abonnés uniques, en utilisant des traceroutes de plus de 9 000 sondes de mesure dans le monde entier. Tout l'objectif de cet effort est de traiter les adresses mobiles partagées avec douceur, car les interdire cause un préjudice disproportionné — et affecte de manière disproportionnée les utilisateurs dans les régions en développement, où le CGNAT est le plus courant.
Pourquoi cela rend les proxys mobiles les plus difficiles à bloquer
Maintenant, mettez ensemble les deux faits. Un proxy mobile route votre requête à travers une véritable IP d'opérateur qui est déjà derrière le CGNAT, partageant l'espace avec des milliers de vrais utilisateurs de téléphones. Pour le site cible, votre trafic est statistiquement indiscernable des clients mobiles ordinaires sur cette même adresse. Le bloquer signifie les bloquer tous — exactement le dommage collatéral que les plateformes et les vendeurs anti-bot s'efforcent d'éviter. C'est l'avantage de confiance en une phrase : une IP mobile n'est pas fiable parce qu'elle est propre, mais parce que la bannir est trop coûteux.
- Identité partagée — vos requêtes se fondent dans une foule de vrais abonnés sur la même adresse, donc le scoring d'anomalies par IP a du mal à vous isoler.
- Coût élevé de bannissement — un site qui bloque l'IP risque de priver de connexion des clients mobiles payants, donc le seuil pour agir est bien plus élevé que pour une plage de datacenter.
- Rotation naturelle — les opérateurs réaffectent ces adresses parmi les abonnés au fil du temps, donc l'association d'une IP mobile avec une session particulière est intrinsèquement de courte durée.
- ASN et réputation réels — l'adresse appartient à un opérateur mobile, pas à un fournisseur d'hébergement, donc elle ne porte aucun des bagages de datacenter qui déclenchent les règles de réputation.
Comparez directement les niveaux et le classement concerne les dommages collatéraux, pas la propreté. Une IP de datacenter a un seul locataire et son propre ASN d'hébergement, donc la bannir ne nuit à aucun spectateur innocent — facile à bloquer, confiance la plus basse. Une IP résidentielle est une vraie ligne domestique partagée par une poignée de personnes — un certain coût de bannissement, haute confiance. Une IP CGNAT mobile transporte des milliers de vrais utilisateurs — la bloquer cause des dommages collatéraux massifs, donc les sites l'évitent, ce qui est la confiance la plus élevée de toutes.
Obtenez des proxys mobiles sur de vraies IPs d'opérateurs
Quand vraiment opter pour un proxy mobile
La confiance n'est pas gratuite — la bande passante mobile est le niveau le plus cher, donc les proxys mobiles justifient leur coût sur les cibles les plus difficiles, pas partout. Utilisez-les là où la réputation de l'IP est le mur : gérer plusieurs comptes sur des plateformes qui identifient agressivement les IPs, vérifier la diffusion de publicités mobiles, ou scraper des sites qui bloquent les plages résidentielles. Pour les cibles indulgentes, un proxy résidentiel est la meilleure valeur. Nos guides sur mobile vs résidentiel vs proxys ISP et pourquoi les IPs mobiles deviennent la norme indiquent quel niveau convient à quel travail, et réputation IP vs empreinte digitale de l'appareil couvre l'autre moitié pour rester débloqué.
Questions fréquemment posées
Qu'est-ce que le CGNAT ?
Le NAT de niveau opérateur est une technique où un fournisseur d'accès internet place de nombreux abonnés derrière une seule adresse IPv4 publique partagée, en utilisant une couche de traduction supplémentaire à l'intérieur de son réseau. Il existe parce que les adresses IPv4 sont épuisées, et il est particulièrement courant sur les réseaux mobiles. Les utilisateurs n'en sont pas conscients — contrairement à un VPN, il est configuré silencieusement par l'opérateur.
Pourquoi les proxys mobiles sont-ils plus difficiles à bloquer ?
Parce que le CGNAT place des milliers de vrais utilisateurs derrière chaque IP mobile, bloquer cette adresse reviendrait à les priver tous de connexion — un dommage collatéral inacceptable pour la plupart des sites. Votre trafic proxifié se fond dans cette foule de vrais abonnés, donc les défenses par IP ont du mal à vous isoler et le coût de bannir l'IP est bien plus élevé que pour une plage de datacenter.
Quelle est la plage d'IP CGNAT ?
L'Espace d'Adresses Partagées réservé au NAT de niveau opérateur est 100.64.0.0/10, défini dans le RFC 6598. Les opérateurs l'utilisent entre l'appareil de l'abonné et l'internet public. Repérer une adresse dans cette plage dans un traceroute est un indicateur fort que la connexion est derrière le CGNAT.
La 5G élimine-t-elle le CGNAT ?
Non. L'adressage partagé n'a jamais été une limitation de la 4G — il existe parce que les appareils connectés ont crû bien plus vite que le pool d'adresses IPv4 disponibles. Le CGNAT reste courant sur les réseaux 4G et 5G. Une adoption plus large de l'IPv6 pourrait réduire la dépendance à celui-ci au fil du temps, mais pour l'instant, il est toujours standard sur le mobile.
Le CGNAT est la raison silencieuse pour laquelle les proxys mobiles commandent une prime : ils héritent de la confiance des milliers de vrais abonnés qui partagent chaque IP d'opérateur. Les sites ne peuvent pas bannir cette adresse sans nuire à leurs propres utilisateurs, donc ils ne le font généralement pas. Lorsque la réputation de l'IP est l'obstacle entre vous et une cible, c'est l'avantage qu'une IP mobile procure.