La création d'un compte sur un service à enjeu financier ou de réputation ne se résume pas à un numéro pour recevoir un code de confirmation. La plateforme voit d'un seul coup un ensemble de plusieurs éléments : le numéro de téléphone, la boîte e-mail et l'adresse IP d'où provient la requête. Tant que tous les composants de cet ensemble pointent vers un même pays, le système traite la session comme une session ordinaire. Dès qu'un des éléments sort du cadre commun, les captchas, les demandes répétées de code et les vérifications manuelles commencent. Voyons de quoi se compose le stack d'inscription, ce que la plateforme recoupe exactement et dans quel ordre il est raisonnable de l'assembler.

Les trois composants du stack et pourquoi les rattacher à un même pays

Le stack comprend trois éléments : un numéro de téléphone pour recevoir le code de confirmation, une boîte e-mail pour le message d'inscription et la récupération d'accès, et l'adresse IP depuis laquelle se déroule toute la session. Pris isolément, chacun peut être choisi « n'importe où » : la plateforme ne le bloque pas directement. Mais l'association de trois éléments de géographies différentes paraît statistiquement rare : chez un utilisateur ordinaire, le numéro, l'e-mail et le point de sortie vers le réseau viennent presque toujours du même pays, car c'est son pays de résidence. Les modèles antifraude tiennent compte précisément de la rareté de cette combinaison, et non d'un paramètre pris séparément.

Ce que la plateforme recoupe exactement

Le premier signal est le pays du numéro : il se lit d'après l'indicatif et la plage, et la base antifraude sait à quels opérateurs de quel pays appartient le préfixe. Le deuxième est le pays et l'ASN de l'adresse IP : une adresse résidentielle renvoie à un fournisseur d'accès domestique, une adresse mobile à un opérateur de téléphonie, et toutes deux sont locales à leur pays, contrairement à un hébergeur de centre de données (analyse de ce paramètre dans l'article qu'est-ce que l'ASN et pourquoi il est important). Le troisième signal est le domaine de l'e-mail : certaines plateformes tiennent des statistiques sur le pays d'où proviennent habituellement les messages d'inscription d'un domaine donné et les comparent au domaine de votre boîte ; d'autres regardent plus simplement l'IP et le fuseau horaire de la dernière connexion à la messagerie elle-même. Les quatrième et cinquième signaux sont la langue de l'interface et le fuseau horaire : tous deux se lisent dans les en-têtes de la requête et les paramètres système de l'appareil, et doivent correspondre au pays des trois premiers paramètres.

Ordre de montage : d'abord le numéro, puis l'adresse, enfin l'e-mail

L'ordre pratique d'assemblage du stack est l'inverse de celui qui vient à l'esprit. Il faut commencer par un numéro du pays voulu dans la rubrique activations : la disponibilité des numéros par pays et par opérateur varie davantage et change plus vite que celle des proxys ; il est donc moins coûteux d'adapter le deuxième et le troisième élément au premier que l'inverse. Une fois le numéro obtenu et son pays fixé, on choisit une adresse de la même zone géographique dans le catalogue de proxys : le type de canal, résidentiel, mobile ou de centre de données, dépend de la rigueur avec laquelle la plateforme visée contrôle l'origine du trafic (comparaison des différences dans l'article proxys mobiles contre proxys résidentiels). L'e-mail s'ajoute en dernier : c'est l'élément le plus souple du stack, il se crée en fonction du couple numéro + IP déjà choisi, et il vaut mieux le créer via le même proxy, afin que le service de messagerie ne retienne pas une géolocalisation étrangère comme étant celle du domicile.

Écarts typiques et façon dont le service les perçoit

La plateforme interprète chaque écart un peu différemment. Un numéro d'un pays et une IP d'un autre constituent le signal le plus visible : il déclenche généralement un captcha ou une nouvelle demande de code dès l'étape d'inscription. Un numéro et une IP concordants, avec une boîte e-mail créée jadis depuis une autre zone géographique et un autre appareil, donnent un signal plus doux : il peut ne pas gêner l'inscription, mais il augmente le score de risque lors d'opérations financières ultérieures. Une langue d'interface anglaise ou neutre avec un numéro et une IP locaux est un signal à part entière, que les modèles antifraude pèsent au même titre que la géographie : il se lit comme l'indice que le compte n'est pas géré par un résident du pays déclaré. L'accumulation de plusieurs écarts à la fois n'est pas une simple addition de points de risque, mais un saut qualitatif : le système passe de « demander des précisions » à « bloquer jusqu'à vérification ».

Que faire si aucun numéro du pays voulu n'est disponible

Si le stock de numéros du pays voulu est temporairement vide, il existe deux solutions qui fonctionnent et une qui ne fonctionne pas. La première : attendre un réapprovisionnement, car le stock se renouvelle et un court délai coûte moins cher que la refonte de tout le stack. La seconde : si le pays compte plusieurs opérateurs, essayer un autre opérateur du même pays : l'ensemble de préfixes diffère, mais le pays et le profil antifraude restent les mêmes. La solution qui ne fonctionne pas consiste à changer le pays du numéro pour un pays où des proxys sont actuellement disponibles : cela ne règle pas le problème, cela déplace l'incohérence du numéro vers tout le reste, car l'e-mail et l'historique du compte peuvent déjà être liés à la zone géographique d'origine.

Questions fréquentes

La concordance du fuseau horaire et de la langue est-elle obligatoire si le numéro et l'IP concordent déjà ?

Pour la plupart des inscriptions, la concordance du numéro et de l'IP suffit, mais pour les services à composante financière, deux signaux supplémentaires, la langue de l'interface et le fuseau horaire, entrent aussi dans le score de risque et peuvent ajouter une étape de vérification, même si les deux premiers paramètres sont parfaits.

Que faire si l'e-mail est déjà enregistré pour un pays et qu'il faut maintenant un numéro d'un autre pays ?

Pour un nouvel ensemble, il est plus logique de créer une boîte distincte pour le nouveau couple numéro + IP plutôt que de réutiliser l'ancienne : transférer dans un nouveau stack une boîte dotée de l'historique de connexions d'un autre contexte ajoute justement l'écart que le stack est censé éviter.

Avec quelle rapidité la plateforme repère-t-elle l'incohérence entre les éléments du stack ?

Le plus souvent, dès l'inscription ou la première connexion : les signaux de base, pays du numéro, pays et ASN de l'IP, langue, sont vérifiés automatiquement en quelques secondes. Des signaux plus fins, comme l'historique de connexions de la messagerie, peuvent apparaître plus tard, lors d'une tentative de changement de mot de passe ou de moyen de paiement associé.

Pour choisir un numéro du pays voulu, puis le proxy et l'e-mail qui lui correspondent, le plus pratique est la rubrique activations : on y voit la disponibilité en temps réel par pays et par opérateur. Pour un exemple de l'influence des particularités géographiques d'une région sur le choix du canal, consultez l'article proxy Pérou.