Adresse IP publique et adresse IP privée

Par La rédaction de Mon-Adresse-IP.net·Publié le 22 mai 2026·Mis à jour le 21 août 2026·

Votre connexion reçoit une seule adresse visible depuis Internet, tandis que chacun de vos appareils en porte une autre, valable uniquement chez vous. Savoir où passe cette frontière explique la moitié des problèmes réseau domestiques : une redirection de port qui ne prend pas, un VPN qui coupe l'accès à l'imprimante, une adresse en 169.254 qui ne mène nulle part.

Deux adresses, deux mondes

L'adresse IP publique est attribuée à votre connexion par votre fournisseur d'accès. C'est la seule que voient les serveurs que vous contactez : un site web, un service de messagerie ou une plateforme vidéo n'ont aucun moyen d'apercevoir l'adresse de votre ordinateur portable. Ils voient l'adresse de la box, commune à tout le foyer. C'est également cette adresse qui alimente la géolocalisation par IP et qui figure dans les journaux de connexion des services que vous utilisez.

L'adresse IP privée est attribuée à un appareil à l'intérieur de votre réseau : ordinateur, téléphone, imprimante, téléviseur, console, ampoule connectée. Elle sert à acheminer les paquets entre le salon et le bureau, entre votre téléphone et votre NAS, entre votre PC et l'interface d'administration de la box. Elle n'a aucune existence au-delà de votre installation.

La distinction n'est pas une convention arbitraire : elle est inscrite dans le fonctionnement des routeurs d'Internet. Un opérateur qui reçoit un paquet à destination de 192.168.1.20 le jette, parce qu'aucune table de routage mondiale ne contient cette destination. C'est exactement pour cette raison que la même adresse peut être utilisée en même temps dans des millions de foyers sans provoquer le moindre conflit.

Si vous découvrez le sujet, notre page qu'est-ce qu'une adresse IP pose les fondations ; notre outil de recherche d'adresse IP permet ensuite d'analyser n'importe quelle adresse publique, y compris la vôtre.

Pourquoi cette séparation existe

IPv4 code les adresses sur 32 bits, soit environ 4,3 milliards de combinaisons : un chiffre qui paraissait confortable au début des années 1980 et qui est devenu insuffisant dès que chaque foyer a commencé à connecter plusieurs machines. Attribuer une adresse publique à chaque téléphone, chaque télévision et chaque objet connecté de la planète était mathématiquement impossible.

La réponse est venue en février 1996 avec la RFC 1918, intitulée Address Allocation for Private Internets. Le principe est élégant : réserver des plages entières qu'aucun opérateur n'annoncera jamais sur Internet, et laisser chacun les réutiliser librement chez soi. Une plage réutilisée un million de fois n'est consommée qu'une fois dans le registre mondial. Combinée à la traduction d'adresses, cette mécanique a repoussé la pénurie de plus de vingt ans, comme le détaille notre comparatif IPv4 et IPv6.

Un effet de bord est souvent présenté comme le second objectif : une machine sans adresse publique n'est pas atteignable de l'extérieur. C'est vrai, mais il faut être précis sur l'origine de cette protection. Elle ne découle d'aucune décision de sécurité : elle découle d'une impossibilité de routage. Nous y revenons plus bas, car cette nuance change tout dans la façon de sécuriser un réseau domestique.

Les trois plages privées de la RFC 1918

Les adresses privées ne se choisissent pas au hasard : elles doivent appartenir à l'une des trois plages réservées. Toute autre adresse utilisée en interne appartient à quelqu'un d'autre sur Internet, et vous rendrait inaccessible le service légitime qui la porte.

Une erreur fréquente consiste à croire que 172.16.0.0/12 couvre tout ce qui commence par 172. Elle s'arrête à 172.31.255.255 : 172.32.0.1 est une adresse publique tout à fait ordinaire. De même, 192.168.0.0/16 ne concerne que les adresses dont les deux premiers octets valent exactement 192 et 168.

Deux autres plages sont souvent confondues avec les plages privées, alors qu'elles relèvent d'autres textes : 100.64.0.0/10, définie par la RFC 6598 pour le partage d'adresses chez les opérateurs, et 169.254.0.0/16, définie par la RFC 3927 pour l'auto-attribution lorsque le DHCP ne répond pas. Notre référence des adresses IP réservées recense l'ensemble de ces blocs, y compris ceux de la documentation et du multicast.

Dans la pratique domestique, votre box vous place presque toujours dans un sous-réseau en /24, c'est-à-dire un masque 255.255.255.0 : 256 adresses au total, dont 254 utilisables, la première désignant le réseau et la dernière la diffusion. Pour comprendre ce découpage, consultez notre guide des masques de sous-réseau ; pour calculer une plage précise, utilisez le calculateur de sous-réseau.

Comment trouver son adresse privée

Votre adresse privée ne s'affiche jamais sur un site web : elle se lit sur l'appareil lui-même. Voici les commandes exactes, système par système.

Windows

ipconfig
# Repérez la carte active (Wi-Fi ou Ethernet), ligne « Adresse IPv4 ».
# « Passerelle par défaut » donne l'adresse de votre box.

ipconfig /all
# Version détaillée : adresse MAC, serveurs DNS, durée du bail DHCP.

Sans passer par une commande : Paramètres > Réseau et Internet > Wi-Fi > Propriétés du matériel.

Linux

ip -4 addr show
# Adresses IPv4 de chaque interface, avec le masque en notation CIDR.

ip route get 1.1.1.1
# Indique quelle interface et quelle adresse source sortent réellement.

ip route | grep default
# Adresse de la passerelle, c'est-à-dire de la box.

L'ancienne commande ifconfig reste disponible sur certaines distributions, mais elle n'est plus installée par défaut sur la plupart des systèmes récents.

macOS

ipconfig getifaddr en0
# Adresse du Wi-Fi (souvent en0, parfois en1 selon le modèle).

ifconfig
# Vue complète de toutes les interfaces.

route -n get default
# Passerelle utilisée pour sortir.

En interface graphique : Réglages Système > Réseau > Wi-Fi > Détails.

Android et iOS

Trois repères pour interpréter ce que vous lisez. Si l'adresse commence par 10., 172.16 à 172.31 ou 192.168, vous êtes bien derrière un routeur. Si elle commence par 169.254, aucun serveur DHCP ne vous a répondu et vous n'irez nulle part. Et si l'adresse affichée par votre système est identique à celle qui figure sur notre page d'accueil, c'est que votre machine porte directement l'adresse publique : configuration rare chez un particulier, courante sur un serveur loué.

Pourquoi votre appareil a plusieurs adresses

C'est probablement la source de confusion la plus fréquente. Lancez ipconfig /all ou ip addr sur une machine récente : vous ne verrez pas une adresse, mais cinq, six, parfois dix. Rien d'anormal : chacune a un rôle distinct.

• L'adresse IPv4 privée (192.168.1.x, 10.x.x.x) est celle que vous utilisez pour joindre l'imprimante ou le NAS. C'est celle que demande un correspondant technique quand il parle de « votre adresse locale ».
• L'adresse IPv6 de lien local commence toujours par fe80::. Elle est générée automatiquement par l'appareil, existe sur chaque interface, et ne franchit jamais le routeur. IPv6 s'en sert pour ses mécanismes internes, notamment la découverte des voisins et l'annonce des routeurs. Vous n'avez jamais à la saisir manuellement.
• L'adresse IPv6 globale, en France le plus souvent dans les blocs commençant par 2a01: ou 2a02:, est routable sur Internet. Contrairement à IPv4, elle n'est pas traduite : elle identifie l'appareil lui-même. C'est une différence conceptuelle majeure, traitée dans notre guide IPv6 à la maison.
• Les adresses IPv6 temporaires accompagnent l'adresse globale. Prévues par les extensions de confidentialité, elles changent régulièrement et servent aux connexions sortantes, afin que l'identifiant d'interface ne suive pas l'appareil de site en site. Un système récent en affiche souvent plusieurs à la fois, dont d'anciennes marquées comme dépréciées mais encore valides pour les connexions en cours.
• L'adresse de bouclage, 127.0.0.1 et ::1, ne désigne que la machine elle-même. Elle n'est jamais émise sur le réseau.
• L'adresse virtuelle d'un VPN actif apparaît sur une interface supplémentaire (tun0, wg0, ou un adaptateur portant le nom du logiciel). Elle appartient à la plage du réseau distant, souvent en 10.x.x.x. Tant que le tunnel est monté, une partie de votre trafic sort par cette interface, comme l'explique notre guide des VPN.

Ces adresses coexistent en permanence, et c'est le système qui choisit laquelle utiliser selon la destination. Une conséquence pratique : une page web peut voir votre adresse publique IPv4 ou IPv6 selon le protocole employé pour la connexion, ce qui explique que deux services de test affichent parfois deux adresses différentes pour la même machine, au même moment. Par ailleurs, un navigateur peut révéler certaines de vos adresses locales à un site ; notre test de fuite WebRTC montre ce qui est réellement exposé.

Le rôle de la box comme frontière

Votre box n'est pas un appareil du réseau local parmi d'autres : c'est la charnière entre deux mondes. Elle possède au minimum deux « pattes », chacune avec sa propre adresse.

• La patte LAN, tournée vers votre domicile. Son adresse est la passerelle par défaut de tous vos appareils, typiquement 192.168.1.1, 192.168.0.1, 192.168.1.254 ou 192.168.0.254 selon le constructeur. C'est aussi l'adresse à saisir dans un navigateur pour ouvrir l'interface d'administration.
• La patte WAN, tournée vers l'opérateur. C'est elle qui porte l'adresse attribuée par votre fournisseur d'accès. Elle est visible dans l'interface de la box, dans une rubrique du type Informations de connexion, État Internet ou Paramètres avancés.

Cette dualité fournit un diagnostic simple et fiable, souvent méconnu : comparez l'adresse WAN de la box avec celle affichée sur notre page d'accueil. Deux résultats possibles.

1. Les deux adresses sont identiques. Votre box porte réellement l'adresse publique. Vous pouvez envisager une redirection de port, un accès distant à un NAS, l'hébergement d'un service : voir notre guide pour ouvrir un port.
2. Les deux adresses diffèrent. Votre box est elle-même derrière une traduction opérée par l'opérateur. Si l'adresse WAN appartient à 100.64.0.0/10, ou parfois à une plage RFC 1918, vous êtes en CGNAT : votre adresse publique est partagée avec d'autres abonnés, et aucune redirection de port ne fonctionnera depuis votre interface.

Ce test explique aussi certains blocages inattendus. Une adresse publique partagée signifie que le comportement d'un autre abonné peut se répercuter sur vous : limitation d'un service, formulaire de vérification à répétition, voire blocage temporaire. Notre page mon IP est bloquée détaille les recours.

La traduction d'adresses en pratique

Le mécanisme qui relie les deux mondes s'appelle le NAT, pour Network Address Translation. Résumé opérationnel : quand votre ordinateur envoie une requête vers Internet, la box remplace l'adresse privée de l'expéditeur par son adresse publique, note la correspondance dans une table, et effectue l'opération inverse au retour. Comme des dizaines de connexions coexistent, elle réécrit également le port source pour distinguer les flux : d'où le nom plus exact de traduction d'adresse et de port.

Trois conséquences concrètes découlent de ce fonctionnement.

• Le sortant fonctionne, l'entrant non. Une connexion initiée depuis l'intérieur crée l'entrée de table nécessaire à son retour. Une connexion initiée depuis Internet ne correspond à aucune entrée : la box ne sait pas à quel appareil la remettre, et la jette. Rendre un service accessible suppose donc de créer manuellement une correspondance permanente.
• Les entrées expirent. Une connexion inactive est purgée de la table au bout de quelques minutes, ce qui explique les déconnexions de sessions restées ouvertes trop longtemps sans échange, et l'existence des mécanismes de maintien de connexion dans les applications.
• Certaines applications s'en accommodent mal. Jeux en réseau, visioconférence pair-à-pair et partage de fichiers doivent recourir à des contournements : découverte du type de NAT, relais par un serveur tiers, ouverture automatique de ports. Notre référence des ports TCP et UDP et notre page sur l'IP et les jeux vidéo approfondissent ces cas.

Le sujet mérite un traitement complet : types de NAT, NAT hairpin, double NAT, disparition de la traduction en IPv6. Tout est détaillé dans notre guide le NAT expliqué.

Qui distribue les adresses privées

Personne ne configure à la main l'adresse de son téléphone. C'est le serveur DHCP intégré à la box qui s'en charge. Le principe tient en quatre échanges : l'appareil qui arrive diffuse une demande, le serveur lui propose une adresse libre, l'appareil l'accepte, le serveur confirme. En même temps que l'adresse, il transmet le masque de sous-réseau, l'adresse de la passerelle et celle des serveurs DNS : raison pour laquelle changer de DNS se fait souvent depuis l'interface de la box.

Trois notions à connaître :

• Le bail. Une adresse n'est pas donnée définitivement, elle est prêtée pour une durée déterminée, souvent de quelques heures à une journée sur une box grand public. L'appareil demande un renouvellement avant l'expiration ; s'il est éteint et absent trop longtemps, son adresse retourne au pot commun et peut être attribuée à un autre.
• La réservation. Pour qu'un appareil retrouve toujours la même adresse, on associe son adresse MAC à une adresse choisie, dans l'interface de la box. C'est la bonne méthode pour une imprimante, une caméra, un serveur domestique ou tout ce qui doit être joint par adresse fixe.
• La plage distribuée. Le serveur ne distribue que dans un intervalle défini, par exemple de 192.168.1.100 à 192.168.1.199. Si vous configurez une adresse manuellement, choisissez-la en dehors de cet intervalle : sinon, le serveur pourra un jour attribuer la même adresse à un autre appareil, et les deux machines cesseront de fonctionner correctement.

Le détail du protocole, les cas d'échec et les diagnostics figurent dans notre guide du DHCP.

Les cas particuliers qui déroutent

La théorie décrit un réseau plat derrière une seule box. La réalité est souvent plus feuilletée, et ces situations expliquent la plupart des observations déconcertantes.

Le double routeur

Vous ajoutez un routeur Wi-Fi derrière la box sans le passer en mode pont : il crée son propre réseau privé, avec son propre DHCP. Les appareils qui s'y connectent reçoivent une adresse d'une plage différente de ceux branchés sur la box, et les deux groupes ne se voient plus. Symptômes classiques : l'imprimante n'apparaît plus, la diffusion vers le téléviseur échoue, la découverte automatique d'appareils ne trouve rien. La solution est presque toujours de basculer le second équipement en mode pont ou point d'accès, pour qu'il ne route plus mais se contente de relayer.

Le réseau invité

Activer le réseau invité de la box crée un second réseau logique, souvent dans une autre plage privée, avec interdiction d'accéder aux appareils du réseau principal. C'est une fonction de sécurité utile (c'est même le meilleur endroit pour vos objets connectés), mais elle explique aussi pourquoi un téléphone connecté au Wi-Fi invité ne trouve ni l'imprimante, ni le NAS, ni l'enceinte du salon.

Le VPN d'entreprise

Un VPN professionnel attribue à votre machine une adresse dans une plage dédiée, gérée par l'employeur. Deux situations : en tunnel intégral, tout votre trafic passe par l'entreprise et vos appareils domestiques deviennent souvent inaccessibles ; en tunnel partagé, seules les destinations internes empruntent le tunnel. Dans les deux cas, si votre plage domestique est identique à la plage distante, le conflit décrit plus haut se manifeste immédiatement : c'est la première chose à vérifier quand un accès distant « ne marche que chez certains collègues ».

Les conteneurs et les machines virtuelles

C'est la surprise la plus courante sur un poste de développement. Un moteur de conteneurs installe une interface virtuelle et crée ses propres réseaux privés : on voit alors apparaître une passerelle en 172.17.0.1, puis des réseaux successifs en 172.18, 172.19 et ainsi de suite. Les hyperviseurs de poste de travail font de même, souvent dans une plage en 192.168 réservée à leur réseau interne. Ces interfaces sont parfaitement normales, mais elles ont deux effets à connaître : elles allongent la liste des adresses de votre machine, et elles peuvent entrer en conflit avec un réseau distant utilisant la même plage, d'où la possibilité, dans ces outils, de redéfinir le pool d'adresses par défaut.

Sécurité : ce que la séparation protège vraiment

Une adresse privée n'est pas joignable depuis Internet. C'est un fait, et un bénéfice réel : les balayages automatisés qui parcourent en permanence l'espace d'adressage public ne peuvent pas frapper directement à la porte de votre ordinateur portable. Mais ce bénéfice a des frontières précises, qu'il vaut mieux connaître.

Le point le plus souvent négligé est celui du risque interne. Sur un réseau domestique classique, tous les appareils sont dans le même segment : une caméra bon marché dont le micrologiciel n'est plus mis à jour, une fois compromise, peut scruter le réseau, atteindre le partage de fichiers de votre ordinateur et tenter des mots de passe sur l'interface de la box. L'adresse privée n'y change rien, puisque l'attaquant est déjà du bon côté de la frontière. Les mesures qui comptent vraiment sont ailleurs : isoler les objets connectés sur le réseau invité, comme l'explique notre guide sur la sécurité des objets connectés, changer le mot de passe d'administration de la box, désactiver les services d'ouverture automatique de ports et vérifier régulièrement les redirections actives, l'ensemble est détaillé dans sécuriser sa box Internet.

Cinq idées reçues à corriger

Si un terme du tableau vous échappe, notre glossaire du réseau reprend chaque notion en quelques lignes.

Questions fréquentes