Quand la sécurité empêche vos clients de payer

Une facture d’énergie qui arrive à échéance. Un espace client en ligne. Et une connexion qui échoue, systématiquement, sans le moindre message d’erreur. Pour la personne devant l’écran, le diagnostic est immédiat et faux : « leur site est en panne ». En réalité, un dispositif de sécurité venait de décider que son adresse IP était suspecte. Cette petite scène, racontée en quelques minutes lors de la session de rumps de BarbHack 2026, pose une question qui dépasse largement l’anecdote.

Douzième volet de notre couverture de BarbHack. Celui-ci parle moins de technique offensive que d’un arbitrage que beaucoup d’organisations font sans le savoir.

Deux réalités qui ne se rencontrent jamais

D’un côté, le système de sécurité est convaincu d’avoir fait son travail : une adresse mal notée s’est présentée, elle a été écartée. De l’autre, un client légitime ne peut pas accomplir la seule action que l’entreprise souhaite justement qu’il accomplisse, payer.

Entre les deux, aucun canal. Pas de message expliquant ce qui se passe, pas de code de référence à donner au support, pas de chemin de recours. Le blocage est silencieux, et c’est ce silence qui transforme une mesure technique discutable en incident de service client insoluble. Le conseiller au téléphone ne verra rien d’anormal sur le compte, l’équipe technique ne verra rien d’anormal sur la plateforme, et le client repartira avec l’idée que le service ne fonctionne pas.

Pourquoi une adresse « propre » devient sale

C’est le point que l’on sous-estime le plus. Dans l’immense majorité des cas, l’utilisateur bloqué n’a rien fait, et ne peut rien faire.

• Le partage d’adresse à grande échelle. Faute d’adresses IPv4 disponibles, les opérateurs recourent massivement au CGNAT : une même adresse publique est partagée entre des dizaines, des centaines, parfois des milliers d’abonnés simultanés, tout particulièrement sur les réseaux mobiles. Un seul abonné qui envoie du spam ou aspire un site suffit à faire chuter la réputation de l’adresse, et tous les autres héritent du blocage. Ils ne partagent pas un comportement, ils partagent une sortie réseau.
• Le recyclage des adresses. Les adresses dynamiques changent de mains. Vous héritez de la réputation du locataire précédent, sans jamais l’avoir su.
• Les catégories suspectes par défaut. VPN grand public, sorties d’entreprise mutualisées, plages d’hébergeurs et de centres de données sont fréquemment traitées comme douteuses en bloc. Or utiliser un VPN n’est pas un délit, et beaucoup de salariés naviguent derrière une sortie unique d’entreprise.
• L’opacité des listes elles-mêmes. Les flux de réputation expliquent rarement pourquoi une adresse est notée, et la procédure de retrait, quand elle existe, s’adresse à des administrateurs réseau. Un particulier n’a aucun moyen de la déclencher, et n’a d’ailleurs aucune raison de savoir qu’elle existe.

Le calcul qui ne tient pas

L’argument de fond tient en deux observations.

D’abord, l’attaquant n’est pas gêné. Changer d’adresse IP ne lui coûte à peu près rien : un VPN, un réseau mobile, un service de relais résidentiel. Le filtrage par réputation est un obstacle qu’il contourne en quelques secondes, par construction. La population réellement filtrée est donc celle qui ne sait pas et ne peut pas contourner : vos clients.

Ensuite, la proportion joue contre vous. Sur un espace client, la quasi-totalité du trafic est légitime. Même avec un taux d’erreur très faible, une règle appliquée à cette masse produit plus de clients bloqués que d’attaquants arrêtés. Ce n’est pas un défaut de l’outil, c’est une conséquence arithmétique de la rareté de la menace. Et les deux blocages n’ont pas le même prix : l’attaquant réessaie dix secondes plus tard, le client appelle le support, ou ne paie pas.

Un signal n’est pas un verdict. La réputation d’une adresse IP est une information parmi d’autres, parfois utile. Elle devient nuisible à l’instant précis où on lui confie, seule, le pouvoir de dire non.

Par quoi le remplacer, sans renoncer à se défendre

La conclusion de l’intervenant était de cesser purement et simplement ce type de filtrage. Nous la nuançons : le problème n’est pas l’information, c’est le rôle qu’on lui donne. On ne supprime pas le témoin, on lui retire le pouvoir de juger seul.

• Faites-en un poids, pas une porte. Une réputation médiocre doit augmenter un score de risque, aux côtés de signaux bien plus pertinents : l’appareil est-il connu, l’heure est-elle habituelle, le comportement ressemble-t-il à celui d’un humain. Un seul indicateur ne décide de rien.
• Comptez par compte, pas par adresse. Les tentatives d’authentification en série visent un compte. Limiter et verrouiller au niveau du compte atteint exactement l’attaque visée, sans punir les centaines d’abonnés qui partagent la même sortie opérateur.
• Préférez la friction au refus. Une vérification supplémentaire, un second facteur, un léger délai : le client légitime passe, l’automate abandonne. Le refus sec est la seule réponse qui ne distingue personne.
• Ne bloquez jamais le geste dont vous avez besoin. Le paiement d’une facture devrait être le tout dernier parcours que l’on protège par un blocage préventif. En cas de doute, laissez payer et enquêtez après : le risque d’un paiement frauduleux est réversible, celui d’un client qui n’a pas pu payer ne l’est pas.
• Expliquez toujours, et laissez une sortie. Un message clair, un numéro de référence, un canal de contact. Un blocage muet crée un incident que personne, chez vous, ne saura relier à sa cause.
• Mesurez vos faux positifs. Si vous ne pouvez pas dire combien d’utilisateurs légitimes votre règle a écartés le mois dernier, vous ne savez pas si elle vous protège. Vous en faites l’hypothèse.

Le point de conformité qu’on oublie

Une adresse IP est une donnée personnelle, la jurisprudence européenne et la CNIL le retiennent de longue date. Refuser à une personne l’accès à son espace client sur la seule foi d’un traitement automatisé, sans l’en informer et sans lui offrir de recours, mérite donc mieux qu’une décision d’équipe technique. La question vaut d’être posée à votre délégué à la protection des données, particulièrement pour un service essentiel où l’action empêchée est le paiement d’une facture et où les conséquences, pénalités ou relances, sont bien réelles. Nous ne tranchons pas ici un point de droit, nous signalons qu’il y en a un.

Ce qu’on en retient chez Humanix

• Une mesure de sécurité dont vous ne mesurez pas les faux positifs n’est pas une mesure, c’est un pari. Et c’est le client qui en paie la mise, sans jamais savoir qu’il joue.
• Défiez-vous des contrôles binaires nourris par une donnée que vous ne maîtrisez pas. Ici la réputation vient d’un tiers, sur un critère opaque, appliqué à une adresse que votre client ne choisit pas. Trois raisons cumulées de ne pas lui confier une décision d’exclusion.
• La sécurité qui dégrade la fonction première finit toujours par sauter. Souvent dans l’urgence, souvent mal, et en emportant au passage les protections utiles qui se trouvaient à côté. Mieux vaut calibrer tôt que désactiver en catastrophe.
• C’est très exactement notre sujet. Nous n’intervenons pas pour dire à une équipe que sa règle est mauvaise, mais pour montrer ce qu’elle bloque réellement : rejouer des parcours clients, compter les refus légitimes, mettre les chiffres sur la table. Après quoi la décision devient évidente, et elle appartient à l’organisation. La preuve avant le verdict, ici au sens propre.

Note. Compte-rendu, à visée pédagogique, d’une intervention courte de la session de rumps de BarbHack 2026, complété par nos soins sur les causes techniques du phénomène et sur les alternatives. L’entreprise citée sur scène ne l’est pas ici : le témoignage était de seconde main et le problème décrit n’a rien qui lui soit propre, il concerne un très grand nombre de portails clients. Les considérations juridiques sont signalées comme des questions à instruire, pas comme un avis. Douzième volet de notre couverture de l’événement. Envie de savoir combien de clients légitimes vos règles écartent chaque mois ? Contactez-nous.