Glossaire du réseau et de la vie privée

#

4G (LTE)

Quatrième génération de réseau mobile, commercialisée sous le nom LTE. L'opérateur y attribue à votre téléphone une adresse IPv4 presque toujours partagée via un CGNAT, ce qui explique qu'une IP mobile se géolocalise souvent à des dizaines de kilomètres de votre position réelle. En partage de connexion, votre ordinateur hérite de cette contrainte : aucune connexion entrante n'est possible en IPv4. Seule une connectivité IPv6 native, quand l'opérateur la fournit, peut lever cette limite.

5G

Cinquième génération de réseau mobile. Elle apporte du débit et abaisse la latence, mais ne change rien à l'adressage : IPv4 partagée derrière un CGNAT et, chez plusieurs opérateurs français, IPv6 natif sur mobile. Un abonnement 5G ne permet donc pas davantage d'héberger un service chez soi qu'un abonnement 4G.

A

A (enregistrement A)

Enregistrement DNS qui associe un nom de domaine à une adresse IPv4. C'est le type le plus consulté du web : chaque visite de site commence par sa résolution. Un même nom peut en porter plusieurs, ce qui répartit grossièrement la charge entre serveurs. Voir la table des enregistrements DNS.

AAAA (enregistrement quad-A)

Équivalent de l'enregistrement A pour les adresses IPv6. Son nom vient de la taille : une IPv6 occupe quatre fois plus de place qu'une IPv4, 128 bits contre 32. Un site publiant à la fois un A et un AAAA est joignable par les deux protocoles, le navigateur retenant celui qui répond le plus vite.

Adresse dynamique

Adresse IP attribuée pour une durée limitée et susceptible de changer, typiquement au redémarrage de la box ou à l'expiration du bail. C'est le cas par défaut de la quasi-totalité des abonnements grand public français. Pour joindre un équipement malgré ces changements, on passe par un service de DNS dynamique : voir obtenir une IP fixe.

Adresse IP (Internet Protocol address)

Numéro qui identifie une interface réseau afin que les données puissent lui être acheminées. Elle joue le rôle d'adresse postale : sans elle, aucun serveur ne saurait où renvoyer la page demandée. Il en existe deux formats, IPv4 et IPv6, détaillés dans notre guide qu'est-ce qu'une adresse IP.

Adresse MAC (adresse physique)

Identifiant de 48 bits inscrit dans chaque carte réseau, noté en six octets hexadécimaux comme a4:83:e7:1c:0b:5f. Les trois premiers octets, l'OUI, sont attribués au fabricant par l'IEEE. Elle ne circule que sur le réseau local et n'est jamais vue par les sites web : voir l'adresse MAC expliquée.

Adresse privée (RFC 1918)

Adresse utilisable uniquement à l'intérieur d'un réseau local et non routable sur Internet. La RFC 1918 réserve trois plages : 10.0.0.0/8, 172.16.0.0/12 et 192.168.0.0/16. Votre box en distribue une à chaque appareil ; voir IP publique et IP privée et les adresses réservées.

Adresse publique

Adresse visible depuis Internet, attribuée par votre fournisseur d'accès. C'est elle que voient les sites que vous consultez et que notre page d'accueil affiche. Elle n'est unique que si vous n'êtes pas derrière un CGNAT ; le partage avec d'autres abonnés est devenu courant. Voir IP publique et IP privée.

Adresse statique (IP fixe)

Adresse fixée manuellement sur un appareil, ou réservée pour lui par le serveur DHCP, et qui ne change donc pas. En local, elle est indispensable pour qu'une redirection de port continue de pointer vers la bonne machine. Côté Internet, une IPv4 publique fixe est le plus souvent une option payante chez les opérateurs français.

ADSL (Asymmetric Digital Subscriber Line)

Accès à Internet sur la paire de cuivre téléphonique, asymétrique : le débit descendant dépasse largement le débit montant. La qualité dépend fortement de la longueur de la ligne jusqu'au répartiteur, un abonné éloigné obtenant beaucoup moins qu'un abonné proche. Le réseau cuivre fait l'objet d'une fermeture progressive au profit de la fibre, planifiée sous le contrôle de l'ARCEP.

ANSSI (Agence nationale de la sécurité des systèmes d'information)

Service de l'État français rattaché au SGDSN, créé en 2009, chargé de la défense des systèmes d'information. Elle publie des guides d'hygiène informatique et des référentiels techniques librement consultables, qui servent de référence à l'administration comme aux entreprises. Plusieurs de nos recommandations s'en inspirent, notamment dans sécuriser sa box Internet.

Anycast

Mode d'adressage où une même adresse IP est annoncée depuis plusieurs sites géographiques ; le routage BGP dirige chaque client vers l'instance la plus proche au sens réseau. Les résolveurs publics comme 1.1.1.1 et les serveurs racine du DNS fonctionnent ainsi. Une adresse anycast se géolocalise mal : elle existe partout à la fois.

APIPA (link-local, 169.254.0.0/16)

Adresse que le système s'attribue lui-même quand aucun serveur DHCP ne répond, dans la plage 169.254.0.0/16 définie par la RFC 3927. En voir une signifie presque toujours que la box n'a pas répondu : câble débranché, Wi-Fi mal associé ou DHCP désactivé. L'équivalent IPv6 est le préfixe fe80::/10, lui toujours présent sur chaque interface.

ARCEP (Autorité de régulation des communications électroniques, des postes et de la distribution de la presse)

Régulateur français des télécommunications. Elle encadre le dégroupage, le déploiement de la fibre, la qualité de service et suit la transition vers IPv6, dont elle publie un baromètre. Ses publications sont l'une des rares sources chiffrées et neutres sur le marché français : voir notre panorama des FAI français.

ARP (Address Resolution Protocol)

Protocole qui traduit une adresse IPv4 en adresse MAC sur un réseau local (RFC 826). Sans lui, votre ordinateur connaîtrait l'adresse IP de la box mais pas la carte réseau à qui remettre la trame. IPv6 l'a remplacé par la découverte de voisins. La commande arp -a affiche la table apprise par votre machine.

ASN (numéro de système autonome)

Identifiant unique attribué à un réseau qui gère ses propres routes sur Internet, par exemple AS3215 pour Orange. Les numéros sont aujourd'hui codés sur 32 bits et distribués par les registres régionaux. Notre outil de recherche d'IP affiche l'AS d'une adresse, ce qui révèle souvent un hébergeur ou un fournisseur de VPN derrière une IP anonyme.

Autorité de certification (AC, CA)

Organisme qui signe les certificats TLS après avoir vérifié que le demandeur contrôle bien le domaine. Les navigateurs embarquent une liste d'autorités de confiance ; un certificat signé hors de cette liste déclenche un avertissement. L'enregistrement CAA permet à un domaine de désigner les seules autorités habilitées à émettre pour lui.

B

Bail DHCP (lease)

Durée pendant laquelle une adresse attribuée par DHCP reste réservée à un appareil. Le client tente en général de la renouveler à la moitié du bail ; s'il y parvient, il conserve la même adresse pendant des semaines. Sur une box grand public, le bail dure de quelques heures à quelques jours.

Bande passante

Capacité maximale théorique d'un lien, exprimée en bits par seconde. On la confond souvent avec le débit réellement obtenu, toujours inférieur à cause de l'encapsulation, de la latence et du partage du média. Le terme vient à l'origine de la largeur d'un spectre en hertz : un lien à forte capacité mais à forte latence reste désagréable en visioconférence.

BGP (Border Gateway Protocol)

Protocole de routage entre opérateurs (RFC 4271), qui leur permet de s'annoncer mutuellement les blocs d'adresses qu'ils desservent. Il choisit les chemins d'après des politiques commerciales autant que d'après la longueur du trajet. Une annonce erronée ou malveillante peut détourner tout un préfixe ; la validation RPKI vise à réduire ce risque.

Box (routeur d'accès)

Appareil fourni par le fournisseur d'accès qui combine modem, routeur, commutateur, point d'accès Wi-Fi et souvent téléphonie. C'est elle qui détient l'unique adresse IP publique du foyer et qui pratique le NAT pour tous vos appareils. Son interface d'administration mérite un mot de passe propre : voir sécuriser sa box.

Broadcast (diffusion)

Envoi d'un paquet à toutes les machines d'un même réseau local. En IPv4, l'adresse de diffusion est la dernière du sous-réseau, par exemple 192.168.1.255 pour un /24 ; 255.255.255.255 désigne la diffusion limitée. IPv6 l'a supprimée au profit du multicast, plus économe. Notre calculateur de sous-réseau vous donne cette adresse.

C

CAA (Certification Authority Authorization)

Enregistrement DNS qui liste les autorités de certification autorisées à délivrer un certificat pour un domaine. Une autorité respectueuse des règles doit le consulter avant d'émettre et refuser si elle n'y figure pas. C'est une protection simple contre l'émission d'un certificat frauduleux : voir les types d'enregistrements DNS.

Cache

Copie temporaire d'une donnée conservée au plus près de son utilisateur pour éviter de la redemander. Sur le web, il en existe à tous les étages : navigateur, proxy, CDN, résolveur DNS. Un cache mal purgé explique une bonne part des « chez moi ça marche » après un changement de configuration.

Cache DNS

Mémoire qui conserve les réponses DNS pendant la durée indiquée par leur TTL. Il accélère la navigation mais retarde la prise en compte d'un changement d'adresse. Sous Windows, ipconfig /flushdns le vide ; les navigateurs disposent en plus de leur propre cache interne, décrit dans notre guide du DNS.

Canvas fingerprinting (empreinte de canevas)

Technique de pistage qui demande au navigateur de dessiner un texte dans un élément canvas, puis lit le résultat pixel par pixel. Les infimes différences dues à la carte graphique, aux pilotes et aux polices produisent une signature stable. Elle fonctionne sans aucun cookie : mesurez votre exposition avec notre outil empreinte de mon navigateur.

CDN (réseau de diffusion de contenu)

Réseau de serveurs répartis dans le monde qui met en cache les contenus d'un site au plus près des visiteurs. Le site que vous consultez n'est alors plus hébergé à l'adresse que vous joignez : l'IP appartient au CDN. C'est l'une des raisons pour lesquelles la géolocalisation d'une IP de serveur ne dit rien de l'éditeur du site.

Certificat (certificat TLS)

Fichier signé qui lie un nom de domaine à une clé publique et permet au navigateur de vérifier l'identité du serveur en HTTPS. Il ne garantit ni le sérieux du site, ni l'honnêteté de son éditeur : seulement que vous parlez bien au domaine affiché. Un cadenas ne signifie donc jamais « site de confiance ».

CGNAT (Carrier-Grade NAT, LSN)

Seconde couche de traduction d'adresses opérée par le fournisseur d'accès, qui fait partager une même IPv4 publique à des centaines d'abonnés. Elle s'appuie sur la plage 100.64.0.0/10 réservée par la RFC 6598. Conséquence directe : aucune connexion entrante, donc ni redirection de port ni hébergement à domicile. Voir le CGNAT expliqué.

Chiffrement

Transformation d'une donnée en une forme illisible sans la clé correspondante. Il protège le contenu, rarement les métadonnées : même en HTTPS, l'adresse IP du serveur contacté et le plus souvent son nom restent visibles pour votre opérateur. On parle de chiffrement et de déchiffrement ; le mot « cryptage » n'appartient pas au vocabulaire technique officiel.

CIDR (Classless Inter-Domain Routing)

Notation qui écrit un réseau sous la forme adresse suivie de la longueur du préfixe, comme 192.168.1.0/24. Elle a remplacé en 1993 les anciennes classes A, B et C, trop rigides et très gaspilleuses. Le nombre après la barre indique combien de bits identifient le réseau : consultez la table des masques.

CNAME (alias canonique)

Enregistrement DNS déclarant qu'un nom est l'alias d'un autre nom ; le résolveur suit la chaîne jusqu'à trouver un A ou un AAAA. Il ne peut pas coexister avec d'autres enregistrements sur le même nom, ce qui interdit un CNAME à la racine d'un domaine. C'est l'erreur de configuration DNS la plus fréquente.

CNIL (Commission nationale de l'informatique et des libertés)

Autorité française de protection des données, créée par la loi du 6 janvier 1978. Elle contrôle l'application du RGPD en France, sanctionne les manquements et publie des recommandations très concrètes, notamment sur les cookies et les traceurs. Elle considère l'adresse IP comme une donnée personnelle.

Code HTTP (code de statut)

Nombre à trois chiffres renvoyé par un serveur pour qualifier sa réponse : 2xx succès, 3xx redirection, 4xx erreur du client, 5xx erreur du serveur. Un 403 traduit un refus délibéré, un 429 un dépassement de quota, un 502 un intermédiaire en panne. Notre table des codes HTTP détaille chaque cas et ses causes probables.

Commutateur (switch)

Équipement qui relie plusieurs appareils d'un même réseau local et n'envoie chaque trame qu'au port du destinataire, grâce à une table d'adresses MAC apprise à la volée. Il travaille au niveau de la liaison et ne touche pas aux adresses IP. Les prises Ethernet d'une box forment un commutateur intégré.

Cookie (témoin de connexion)

Petit fichier texte déposé par un site et renvoyé à chacune de vos visites, standardisé par la RFC 6265. Il sert autant à garder une session ouverte qu'à vous suivre. Les attributs Secure, HttpOnly et SameSite déterminent sa portée réelle ; les supprimer n'efface pas votre empreinte de navigateur.

Cookie tiers (third-party cookie)

Cookie déposé par un domaine autre que celui affiché dans la barre d'adresse, typiquement une régie publicitaire présente sur des milliers de sites. Il permet de recoller votre parcours d'un site à l'autre. Safari et Firefox les bloquent par défaut ; leur suppression dans Chrome a été reportée à plusieurs reprises.

D

Datagramme

Unité de données transportée par un protocole sans connexion comme IP ou UDP : elle voyage seule, sans garantie d'ordre ni de livraison. Le terme s'oppose au segment TCP, qui appartient à un flux ordonné et réémis en cas de perte. Un datagramme IPv4 se compose d'un en-tête d'au moins 20 octets suivi des données utiles.

DDoS (déni de service distribué)

Saturation volontaire d'un service par un très grand nombre de machines, jusqu'à le rendre indisponible. Un particulier n'est presque jamais visé, sauf dans le jeu en ligne, où une adresse révélée dans un salon vocal sert parfois de cible. Côté abonné, la réponse consiste à ne pas exposer son IP, à signaler l'incident à son opérateur et à demander un changement d'adresse ; voir les risques liés à votre IP.

Débit

Quantité de données réellement transférées par seconde, à distinguer de la bande passante, qui n'est qu'un maximum théorique. Les opérateurs annoncent des mégabits par seconde (Mb/s) quand les logiciels affichent des mégaoctets par seconde (Mo/s) : divisez par huit pour passer des uns aux autres. Une offre « jusqu'à 1 Gb/s » plafonne donc autour de 125 Mo/s dans le meilleur des cas.

Dégroupage

Régime par lequel un opérateur alternatif installe ses propres équipements dans le répartiteur téléphonique pour desservir directement l'abonné. En dégroupage total, l'opérateur historique n'intervient plus dans le service et l'adresse IP publique provient du réseau de l'opérateur choisi. Les conditions d'accès à la boucle locale sont fixées sous le contrôle de l'ARCEP.

DHCP (Dynamic Host Configuration Protocol)

Protocole qui attribue automatiquement adresse IP, masque, passerelle et serveurs DNS à tout appareil rejoignant un réseau (RFC 2131). Votre box en est le serveur : sans lui, chaque téléphone devrait être configuré à la main. Voir le DHCP expliqué et la notion de bail.

DKIM (DomainKeys Identified Mail)

Signature cryptographique ajoutée par le serveur d'envoi dans l'en-tête d'un courriel, vérifiable grâce à une clé publique publiée dans le DNS du domaine expéditeur. Elle prouve que le message n'a pas été altéré et qu'il provient d'un serveur autorisé par ce domaine. Notre analyseur d'en-têtes affiche le résultat de cette vérification.

DMARC

Politique publiée dans le DNS qui indique aux serveurs destinataires la conduite à tenir lorsque SPF et DKIM échouent : ne rien faire, mettre en quarantaine ou rejeter. Elle exige en outre un alignement entre le domaine affiché à l'utilisateur et celui qui a été authentifié. Voir adresse IP et courriels.

DMZ (zone démilitarisée)

Segment de réseau volontairement exposé à Internet et séparé du reste par un pare-feu. Sur une box grand public, l'option nommée « DMZ » redirige en réalité tous les ports entrants vers une seule machine, qui se retrouve entièrement exposée. Préférez systématiquement une redirection de port limitée aux ports nécessaires.

DNS (Domain Name System)

Annuaire distribué qui traduit les noms de domaine en adresses IP (RFC 1034 et 1035). Chaque page consultée commence par une ou plusieurs résolutions, confiées par défaut au résolveur de votre opérateur. Voir notre guide du DNS et comment changer de DNS.

DNS dynamique (DynDNS, DDNS)

Service qui met à jour automatiquement un nom de domaine lorsque l'adresse IP publique de votre connexion change. Un client installé sur la box ou sur un serveur signale la nouvelle adresse au fournisseur du nom. C'est la solution courante pour joindre un équipement domestique sans souscrire une IP fixe, à condition de ne pas être derrière un CGNAT.

DNS menteur

Résolveur qui renvoie délibérément une réponse fausse ou vide afin d'empêcher l'accès à un nom de domaine. En France, les blocages administratifs et judiciaires s'appliquent principalement de cette manière, au niveau des résolveurs des fournisseurs d'accès. Changer de résolveur ne supprime évidemment pas l'obligation légale sous-jacente et n'apporte aucun anonymat.

DNSSEC

Extension du DNS qui signe cryptographiquement les réponses, permettant à un résolveur de détecter une falsification (RFC 4033 à 4035). Elle garantit l'authenticité mais pas la confidentialité : la requête reste lisible en clair tant que vous n'utilisez pas DoH ou DoT. La racine du DNS est signée depuis 2010, tout comme l'extension .fr.

DoH (DNS over HTTPS)

Encapsulation des requêtes DNS dans du HTTPS sur le port 443 (RFC 8484), ce qui les rend indiscernables d'un trafic web ordinaire. Les navigateurs récents savent l'activer indépendamment du réglage système, ce qui surprend parfois l'administrateur d'un réseau. Voir le DNS chiffré.

DoT (DNS over TLS)

Transport des requêtes DNS dans un tunnel TLS dédié, sur le port 853 (RFC 7858). Ce port distinct rend le trafic identifiable, donc blocable, mais le réglage s'applique à tout l'appareil : c'est le mécanisme derrière l'option « DNS privé » d'Android. Comparez-le à DoH avant de choisir.

Double NAT

Situation où votre trafic subit deux traductions d'adresses successives : un routeur personnel placé derrière la box, ou une box placée derrière un CGNAT d'opérateur. Les redirections configurées sur l'équipement le plus proche de vous restent alors sans effet. Le diagnostic est immédiat : si l'adresse « WAN » affichée par votre box diffère de celle que montre notre page d'accueil, une seconde traduction existe en amont.

Doxxing (divulgation malveillante)

Publication d'informations personnelles sur quelqu'un afin de l'exposer ou de faciliter son harcèlement. Une adresse IP seule n'identifie pas une personne physique, mais elle sert souvent à appuyer une géolocalisation approximative présentée comme une preuve. En droit français, la diffusion d'informations permettant d'identifier une personne et de l'exposer à un risque est réprimée par l'article 223-1-1 du code pénal.

E

ECH (Encrypted Client Hello)

Extension TLS qui chiffre le début de la négociation, y compris le nom du site demandé transporté par le SNI. Elle supprime l'un des derniers indices permettant à un intermédiaire réseau de savoir quel site vous consultez, à condition que le serveur, le navigateur et le résolveur DNS la prennent en charge. Son déploiement reste partiel.

Empreinte de navigateur (browser fingerprint)

Combinaison des caractéristiques que votre navigateur révèle à chaque site : polices installées, résolution, fuseau horaire, rendu graphique, User-Agent. Leur croisement suffit souvent à reconnaître un visiteur sans le moindre cookie. Observez la vôtre avec Mon navigateur et lisez l'empreinte de navigateur expliquée.

En-tête HTTP (header)

Ligne de métadonnées accompagnant une requête ou une réponse web : langue préférée, type de contenu accepté, cookies, page d'origine. Un serveur en apprend beaucoup sur vous avant même d'avoir renvoyé la première ligne de la page. Notre outil Mes en-têtes HTTP affiche exactement ceux que votre navigateur transmet.

Éphémère (port) (port source)

Port choisi automatiquement par votre système comme point de départ d'une connexion sortante, puis libéré. L'IANA recommande la plage 49152-65535 ; Linux utilise par défaut 32768-60999. C'est ce numéro que le NAT de votre box réécrit pour distinguer les connexions de vos différents appareils ; voir les ports TCP et UDP.

EUI-64

Méthode qui dérive la seconde moitié d'une adresse IPv6 de l'adresse MAC de la carte, en insérant ff:fe au milieu et en inversant un bit. Elle rendait un appareil traçable d'un réseau à l'autre, puisque le suffixe ne changeait jamais. Les systèmes actuels lui préfèrent des suffixes temporaires aléatoires (RFC 8981).

F

FAI (fournisseur d'accès à Internet)

Entreprise qui vous relie au réseau et vous attribue votre adresse IP publique. En France, quatre opérateurs concentrent l'essentiel du marché fixe, aux côtés d'acteurs régionaux et associatifs. Voir le panorama des FAI français.

FAI associatif

Fournisseur d'accès géré par une association à but non lucratif, souvent membre de la fédération FDN. Ces structures proposent en général une IPv4 fixe, un préfixe IPv6 routé et aucune restriction sur l'auto-hébergement, avec en contrepartie un support bénévole et une couverture géographique limitée. Elles constituent l'alternative la plus concrète au CGNAT.

Fibre optique (FTTH)

Raccordement en fibre jusqu'au logement, où l'information est transportée par la lumière. Le gain le plus perceptible n'est pas seulement le débit descendant mais la latence et surtout le débit montant, sans commune mesure avec l'ADSL. L'adresse IP publique reste attribuée de la même façon, dynamiquement dans la plupart des offres.

Filtrage MAC

Réglage d'un point d'accès Wi-Fi n'autorisant que des adresses MAC déclarées. Il décourage un voisin curieux mais ne constitue pas une sécurité : une adresse MAC circule en clair dans les airs et se recopie en une commande. Le véritable rempart reste une phrase de passe WPA3 ou WPA2 longue ; voir sécuriser sa box.

Fingerprinting (prise d'empreinte)

Famille de techniques identifiant un visiteur par les particularités de son matériel et de ses logiciels plutôt que par un identifiant stocké. Elles survivent à la suppression des cookies et à la navigation privée, ce qui les rend difficiles à contrer. La CNIL les soumet au même régime de consentement préalable que les cookies.

Fragmentation

Découpage d'un paquet trop grand pour le lien qu'il doit traverser. En IPv4, un routeur peut fragmenter lui-même ; en IPv6, seul l'émetteur le fait, le routeur se contentant de renvoyer un message ICMP « paquet trop grand ». Bloquer aveuglément l'ICMP casse ce mécanisme et produit des connexions qui s'ouvrent puis se figent.

Fuite DNS (DNS leak)

Situation où, malgré un VPN actif, les requêtes DNS continuent d'emprunter le résolveur de votre opérateur, qui voit donc la liste des sites consultés. Elle provient souvent d'un réglage système prioritaire ou d'un DoH activé dans le navigateur vers un autre résolveur. Le contrôle consiste à comparer le résolveur réellement utilisé avec celui annoncé par le service ; notre test WebRTC couvre l'autre fuite classique, celle des adresses locales.

G

Gateway (passerelle par défaut)

Équipement vers lequel un appareil envoie tout paquet destiné à un autre réseau que le sien : chez vous, la box, souvent en 192.168.1.1 ou 192.168.0.1. Les commandes ipconfig sous Windows et ip route sous Linux l'affichent. Sans passerelle correcte, le réseau local continue de fonctionner mais Internet devient inaccessible.

Géoblocage (geoblocking)

Restriction d'accès à un contenu selon le pays déduit de l'adresse IP. Le règlement européen 2018/302 interdit certaines discriminations fondées sur la nationalité ou le lieu de résidence dans le commerce en ligne, mais laisse hors de son champ les contenus protégés par le droit d'auteur. Voir la géolocalisation par IP.

Geofeed

Fichier public au format CSV par lequel un opérateur déclare lui-même la localisation de ses plages d'adresses (RFC 8805). Il sert à corriger les bases de géolocalisation, souvent en retard de plusieurs mois sur la réalité. C'est le recours le plus efficace quand votre adresse est située dans la mauvaise ville, voire le mauvais pays ; voir mon IP est bloquée.

Géolocalisation IP

Estimation de la position d'un utilisateur à partir de sa seule adresse IP, à l'aide de bases construites par recoupement. La précision descend rarement sous l'échelle de la ville et se dégrade fortement sur mobile ou derrière un CGNAT. Notre outil de recherche d'IP montre ce que ces bases affirment à votre sujet.

Gigue (jitter)

Variation de la latence d'un paquet à l'autre. Une visioconférence supporte mieux un délai stable de 80 ms qu'un délai oscillant entre 20 et 120 ms, car le tampon de lecture doit absorber l'écart. La commande mtr l'expose bien mieux qu'un simple ping.

H

Hameçonnage (phishing)

Message imitant un organisme de confiance pour obtenir un mot de passe ou un paiement. Les campagnes visant la France usurpent régulièrement l'identité d'administrations, de banques et de transporteurs. L'examen des en-têtes du courriel révèle l'adresse IP du serveur d'envoi et l'échec éventuel de SPF, deux indices bien plus fiables que l'apparence du message.

Happy Eyeballs

Algorithme (RFC 8305) par lequel une machine disposant d'IPv4 et d'IPv6 lance les deux tentatives de connexion presque simultanément et retient la première qui aboutit. Il masque les défaillances de l'un des deux protocoles au prix de quelques connexions abandonnées. C'est pourquoi une panne IPv6 partielle passe souvent inaperçue ; voir IPv6 à la maison.

Honeypot (pot de miel)

Système délibérément exposé afin d'attirer et d'observer les attaques automatisées. Les données recueillies alimentent les listes d'adresses malveillantes utilisées par les pare-feux et par les listes noires de messagerie. Un serveur domestique mal protégé finit par jouer ce rôle sans le vouloir.

Hôte (host)

Machine identifiée par une adresse IP sur un réseau, par opposition aux équipements qui se contentent d'acheminer les paquets. Dans une notation CIDR, la partie hôte est ce qui reste après le préfixe : un /24 laisse 8 bits, soit 254 adresses utilisables. Voir le calculateur de sous-réseau.

HSTS (HTTP Strict Transport Security)

En-tête par lequel un site demande au navigateur de n'y accéder qu'en HTTPS pendant une durée déterminée, même si l'utilisateur tape l'adresse sans préfixe (RFC 6797). Elle supprime la fenêtre de vulnérabilité de la toute première requête en clair. Une liste de préchargement intégrée aux navigateurs applique la règle dès la première visite pour les domaines qui la demandent.

HTTPS

HTTP transporté dans un tunnel TLS, sur le port 443. Il protège le contenu et le chemin exact de la page, mais pas le nom du site, encore déductible du SNI et des requêtes DNS tant qu'ECH et le DNS chiffré ne sont pas généralisés. Le cadenas atteste d'un chiffrement, jamais de l'honnêteté du site.

Hub (concentrateur)

Ancêtre du commutateur, qui répétait chaque trame reçue sur tous ses ports et exposait donc l'ensemble du trafic à toutes les machines. Sa disparition du marché rend l'écoute passive d'un réseau filaire bien plus difficile qu'à l'époque. Le terme survit dans « hub USB », sans rapport avec le réseau.

I

IANA (Internet Assigned Numbers Authority)

Fonction qui tient les registres centraux d'Internet : plages d'adresses IP, numéros de ports, paramètres de protocoles, zone racine du DNS. Elle délègue les adresses aux cinq registres régionaux, dont le RIPE NCC pour l'Europe. Ses registres font autorité pour les plages réservées.

ICANN

Organisation de droit privé californien qui coordonne le système des noms de domaine et supervise la fonction IANA. Elle accrédite les bureaux d'enregistrement et fixe les règles applicables aux extensions génériques. Le .fr relève quant à lui de l'AFNIC, désignée par l'État français.

ICE (Interactive Connectivity Establishment)

Procédure (RFC 8445) par laquelle deux navigateurs établissent une liaison directe malgré leurs NAT respectifs : chacun recense ses adresses candidates, locales et publiques, puis les teste une à une. C'est ce mécanisme qui, dans WebRTC, peut divulguer une adresse locale ; vérifiez-le avec notre test WebRTC.

ICMP

Protocole de signalisation du réseau : messages « destination injoignable », « temps dépassé », « paquet trop grand ». Ping et traceroute reposent dessus. Le bloquer entièrement sur une box n'apporte aucun anonymat et casse la découverte de MTU ; ne pas répondre au ping empêche seulement de confirmer qu'une adresse est active.

IKEv2 (Internet Key Exchange version 2)

Protocole d'échange de clés utilisé avec IPsec (RFC 7296). Son extension MOBIKE permet de conserver un tunnel actif lors du passage du Wi-Fi à la 4G, ce qui en fait un choix courant sur mobile. Voir les protocoles VPN comparés.

IP grabber (collecteur d'adresses IP)

Lien piégé qui enregistre l'adresse IP de celui qui le clique avant de le rediriger vers la page attendue. Le procédé n'a rien de sophistiqué : tout serveur web voit l'adresse de ses visiteurs. S'en protéger revient à ne pas ouvrir de liens raccourcis inconnus et, si le sujet vous préoccupe, à passer par un VPN ; voir les risques.

IPsec

Suite de protocoles qui chiffre et authentifie le trafic au niveau IP, indépendamment des applications. Elle sert aux VPN d'entreprise et aux tunnels site à site, généralement associée à IKEv2. Son transport ESP traverse mal certains NAT, d'où l'encapsulation de secours dans UDP 4500.

IPv4

Version historique du protocole Internet, sur 32 bits, soit environ 4,3 milliards d'adresses. Le RIPE NCC a épuisé sa réserve libre en novembre 2019 et ne redistribue plus que des adresses récupérées. C'est cette pénurie qui a généralisé le CGNAT ; voir IPv4 face à IPv6.

IPv6

Version sur 128 bits du protocole Internet, notée en groupes hexadécimaux comme 2001:db8::1. Elle rend chaque appareil adressable de bout en bout et supprime le besoin de NAT, ce qui déplace toute la responsabilité sur le pare-feu de la box. Voir IPv6 à la maison.

IXP (point d'échange Internet, GIX)

Infrastructure où de nombreux réseaux s'interconnectent directement plutôt que de payer un transit. France-IX, à Paris et à Marseille, en est le principal exemple français. Le peering qui s'y noue raccourcit les trajets et explique qu'un traceroute vers un grand site français quitte rarement l'Île-de-France.

J

Jeton d'authentification (token)

Chaîne remise par un service après connexion et présentée à chaque requête suivante, en remplacement du mot de passe. Volé, il ouvre le compte sans déclencher la vérification en deux étapes tant qu'il n'a pas expiré. C'est pourquoi il faut fermer sa session sur un ordinateur partagé, et pourquoi certains services lient le jeton à l'adresse IP d'origine.

Journalisation (logs, journaux)

Enregistrement horodaté des connexions par un serveur ou un opérateur : adresse IP, date, ressource demandée. En France, les fournisseurs d'accès conservent certaines données de connexion selon un cadre précisé après les décisions du Conseil d'État de 2021 ; voir la conservation des données. Un service affirmant ne conserver aucun journal ne peut l'établir qu'indirectement, par un audit externe.

K

Kerberos

Protocole d'authentification par tickets conçu au MIT, au cœur des domaines Active Directory. Il évite de faire circuler le mot de passe sur le réseau, mais exige des horloges synchronisées à quelques minutes près, d'où l'importance du NTP en entreprise. On le rencontre peu chez un particulier.

Kill switch (coupe-circuit)

Fonction d'un client VPN qui bloque tout le trafic si le tunnel tombe, au lieu de laisser l'appareil repasser silencieusement par la connexion normale. Sans elle, une coupure de quelques secondes suffit à exposer votre adresse réelle. Vérifiez qu'elle couvre aussi le démarrage de la machine, moment où le client n'est pas encore lancé.

L

LAN (réseau local)

Réseau limité à un lieu : un logement, un bureau. Les appareils y communiquent directement par leurs adresses MAC et portent des adresses privées invisibles depuis Internet. Tout ce qui sort du réseau local passe par la passerelle.

Latence (ping, RTT)

Temps qu'un paquet met à faire l'aller-retour jusqu'à une destination, mesuré en millisecondes. En fibre, quelques millisecondes vers un serveur parisien ; par satellite géostationnaire, plusieurs centaines, quel que soit le débit annoncé. Elle compte davantage que le débit pour le jeu en ligne et la visioconférence ; voir ping et traceroute.

Link-local

Adresse valable uniquement sur le lien physique auquel elle est rattachée et jamais routée. En IPv4 il s'agit de 169.254.0.0/16 (voir APIPA), en IPv6 du préfixe fe80::/10, que toute interface possède systématiquement. Les routeurs IPv6 dialoguent d'ailleurs entre eux par ces adresses.

Liste noire (RBL, DNSBL)

Base d'adresses IP réputées émettrices de courriers indésirables, interrogée par les serveurs de messagerie au moyen de requêtes DNS. Une adresse dynamique héritée d'un abonné précédent peut y figurer sans que vous y soyez pour rien. La procédure de retrait est propre à chaque liste ; voir mon IP est bloquée.

Localhost (127.0.0.1, ::1)

Nom qui désigne la machine elle-même. Toute connexion vers 127.0.0.1 ou ::1 reste à l'intérieur de l'ordinateur et ne franchit aucune carte réseau. Un service configuré pour n'écouter que sur cette adresse est donc inaccessible depuis le reste du réseau, ce qui constitue une protection simple et efficace.

Loopback (bouclage)

Interface virtuelle qui renvoie à la machine locale, associée au réseau 127.0.0.0/8 en IPv4 et à ::1 en IPv6. Réserver seize millions d'adresses IPv4 pour cet usage figure parmi les gaspillages historiques de l'espace v4. Voir les plages réservées.

M

Masque de sous-réseau (netmask)

Valeur qui sépare, dans une adresse IPv4, la partie réseau de la partie hôte. 255.255.255.0, équivalent de /24, laisse 254 adresses utilisables. Une erreur de masque produit un symptôme caractéristique : certaines machines du même réseau se répondent, d'autres non. Voir la table des masques.

mDNS (multicast DNS, .local)

Résolution de noms sans serveur : chaque appareil répond lui-même pour son nom en .local, sur le port UDP 5353 (RFC 6762). C'est le mécanisme derrière l'apparition automatique des imprimantes et des enceintes. Il diffuse aussi le nom d'hôte de vos machines à tout le réseau, ce qui mérite attention sur un Wi-Fi public.

Message-ID

Identifiant unique attribué à chaque courriel par le serveur d'envoi et inscrit dans ses en-têtes. Il permet de suivre un message précis dans les journaux d'un fournisseur et de rattacher une réponse à sa discussion. Notre analyseur d'en-têtes l'extrait avec la chaîne des serveurs traversés.

Modem

Équipement qui convertit un signal numérique en signal transportable sur la ligne, et inversement. Dans une box il est fondu avec le routeur, le commutateur et le point d'accès Wi-Fi, d'où la confusion courante entre ces mots. Certains opérateurs permettent de basculer la box en mode pont, où elle redevient un simple modem.

MTR (My traceroute)

Outil qui combine ping et traceroute en interrogeant en continu chaque routeur du trajet. Il distingue une perte réelle d'une simple limitation de réponse par un routeur intermédiaire, ce qu'un traceroute isolé ne montre pas. Seule une perte constatée sur le dernier saut, et sur tous ceux qui le suivent, signale un vrai problème.

MTU (Maximum Transmission Unit)

Taille maximale d'un paquet transmissible sans découpage sur un lien donné. Elle vaut 1500 octets sur Ethernet, tombe à 1492 en PPPoE et davantage encore dans un tunnel chiffré. Un MTU mal ajusté donne des pages qui s'ouvrent à moitié et des transferts qui se figent, symptôme classique d'une fragmentation empêchée.

Multicast (diffusion de groupe)

Envoi d'un même flux à un groupe de destinataires abonnés, sans le dupliquer sur chaque lien. La télévision par la box des opérateurs français en est l'usage grand public le plus répandu. Le multicast ne traverse pas Internet de bout en bout : il reste confiné au réseau de l'opérateur.

MVNO (opérateur mobile virtuel)

Opérateur mobile qui ne possède pas d'antennes et loue le réseau d'un opérateur hôte. Votre adresse IP publique appartient donc aux plages de cet hôte, ce qui explique qu'une géolocalisation affiche parfois le nom d'un opérateur différent de celui figurant sur votre facture.

MX (Mail eXchanger)

Enregistrement DNS désignant les serveurs chargés de recevoir le courrier d'un domaine, assortis d'un ordre de priorité. Sans MX valide, aucun message n'arrive, même si le site web fonctionne parfaitement. Voir les types d'enregistrements DNS.

N

NAT (traduction d'adresses réseau)

Mécanisme qui permet à tous les appareils d'un logement de partager une seule adresse publique : la box réécrit l'adresse et le port source, puis mémorise la correspondance pour router la réponse. Effet de bord majeur : rien n'entre spontanément, d'où la nécessité d'ouvrir un port. Voir le NAT expliqué.

NAT hairpin (NAT loopback)

Capacité d'un routeur à accepter qu'une machine du réseau local joigne un serveur local en passant par l'adresse publique. Quand elle manque, le service auto-hébergé fonctionne depuis l'extérieur mais reste injoignable depuis le salon. Le contournement habituel consiste à déclarer le nom dans le fichier hosts ou dans un résolveur local.

NAT64

Mécanisme permettant à un réseau uniquement IPv6 de joindre des serveurs restés en IPv4, par traduction via un préfixe dédié, souvent 64:ff9b::/96. Associé à DNS64, il est employé par plusieurs opérateurs mobiles. Les applications qui manipulent des adresses IPv4 écrites en dur y échouent, ce qui explique certains bogues sur mobile uniquement.

Neutralité du net

Principe selon lequel un opérateur achemine tout le trafic sans discrimination d'origine, de destination ou de contenu. Il est inscrit dans le règlement européen 2015/2120, dont l'ARCEP contrôle l'application en France et rend compte dans un rapport annuel. Il n'interdit ni les blocages ordonnés par la loi, ni une gestion de trafic raisonnable en cas de congestion.

Nœud de garde (guard, nœud d'entrée)

Premier relais d'un circuit Tor, le seul à connaître votre véritable adresse IP. Il est conservé plusieurs mois au lieu d'être tiré au sort à chaque circuit, précisément pour réduire la probabilité de tomber tôt ou tard sur un relais hostile. Il ignore en revanche totalement quel site vous consultez.

Nœud de sortie (exit node)

Dernier relais d'un circuit Tor, celui qui contacte le site pour vous : c'est son adresse IP que le site enregistre. Il voit le trafic tel qu'il ressort du réseau, donc en clair si le site n'est pas en HTTPS. La liste de ces nœuds étant publique, beaucoup de services les bloquent ou leur imposent un CAPTCHA.

Nom de domaine

Nom lisible qui remplace une adresse IP, organisé de droite à gauche : extension, domaine, sous-domaine. Il ne vous appartient pas : il vous est délégué pour une durée limitée par un bureau d'enregistrement. Grâce à lui, un changement de serveur ne demande qu'une mise à jour DNS, invisible pour les visiteurs.

NTP (Network Time Protocol)

Protocole de synchronisation de l'heure, sur le port UDP 123. Une horloge décalée fait échouer la validation des certificats TLS et les codes d'authentification à usage unique. Plusieurs serveurs publics sont accessibles en France, et la plupart des box en fournissent un aux appareils du réseau local.

O

Octet (byte)

Groupe de huit bits. Une adresse IPv4 en compte quatre, écrits en décimal et séparés par des points, chacun de 0 à 255 : d'où l'impossibilité d'une adresse comme 192.168.1.300. Attention à la confusion octet/bit dans les débits : un fichier de 100 Mo représente 800 Mb à transférer.

Onion (service) (.onion, service caché)

Service accessible uniquement à l'intérieur du réseau Tor, dont l'adresse en .onion est dérivée de sa clé publique. Ni le visiteur ni le serveur ne connaissent l'adresse IP de l'autre, le circuit se rejoignant sur un point de rendez-vous. Plusieurs médias et organisations en publient un afin de rester joignables malgré la censure.

OpenVPN

Protocole de VPN libre qui transporte le tunnel dans TLS, en UDP 1194 ou en TCP 443. Ce dernier mode le rend difficile à distinguer d'un trafic web ordinaire, au prix de performances moindres. Plus ancien et plus lourd que WireGuard, il reste très répandu ; voir les protocoles VPN.

OSI (modèle) (modèle en sept couches)

Découpage théorique du réseau en sept couches, du câble à l'application. Il sert surtout de vocabulaire commun : la couche 2 désigne les adresses MAC, la couche 3 les adresses IP, la couche 4 les ports TCP et UDP. La pile réellement déployée, TCP/IP, n'en compte que quatre.

OUI (Organizationally Unique Identifier)

Trois premiers octets d'une adresse MAC, attribués au fabricant par l'IEEE et consultables dans un registre public. Ils permettent de reconnaître la marque d'un appareil inconnu sur un réseau local. La randomisation MAC produit des adresses dont l'OUI est marqué comme privé, donc non attribuable.

P

Paquet

Unité de base transportée par IP : un en-tête, qui porte notamment les adresses source et destination, suivi des données. Chaque routeur ne lit que l'en-tête pour choisir le saut suivant, sans jamais connaître le trajet complet. Une simple page web représente des milliers de paquets, susceptibles d'emprunter des chemins différents.

Pare-feu (firewall)

Filtre qui autorise ou bloque le trafic selon des règles portant sur les adresses, les ports et le sens de la connexion. Celui de votre box bloque par défaut tout ce qui vient de l'extérieur. En IPv6, où chaque appareil possède une adresse publique, il devient la seule protection du réseau local ; voir sécuriser sa box.

PAT (NAPT, surcharge de port)

Variante du NAT qui traduit à la fois l'adresse et le port, seule façon de faire tenir des dizaines d'appareils derrière une adresse unique. C'est ce que fait toute box grand public, même si l'interface parle simplement de NAT. La table de correspondance a une taille finie, d'où des coupures possibles quand une application ouvre des milliers de connexions simultanées.

Peering (appairage)

Accord par lequel deux réseaux échangent directement leur trafic, souvent sans facturation, plutôt que de passer par un transit payant. Il se noue dans un point d'échange ou par une liaison privée. Les désaccords de peering expliquent certains ralentissements durables vers un service précis, alors que le reste de la connexion demeure rapide.

Perte de paquets (packet loss)

Proportion de paquets qui n'atteignent pas leur destination. Au-delà de quelques pour cent, TCP réémet et le débit s'effondre bien plus vite que le taux de perte ne le laisserait supposer. Un MTR de plusieurs minutes distingue une perte réelle d'un routeur qui se contente d'ignorer les paquets qui lui sont adressés.

Ping

Commande qui envoie un message ICMP et mesure le délai de réponse. Elle vérifie l'accessibilité d'une machine et sa latence, jamais son débit. Une absence de réponse ne prouve pas qu'un hôte est éteint : beaucoup de pare-feux ignorent ces messages. Voir ping et traceroute.

Pixel espion (pixel de suivi)

Image minuscule, souvent invisible, insérée dans un courriel ou une page. Son chargement signale au serveur l'ouverture du message, l'heure, l'adresse IP et le logiciel utilisé. Bloquer le chargement automatique des images distantes dans son client de messagerie suffit à le neutraliser ; voir adresse IP et courriels.

Port

Numéro de 0 à 65535 identifiant un service sur une machine : 443 pour HTTPS, 53 pour le DNS, 22 pour SSH. L'adresse IP désigne la machine, le port désigne l'application qui doit recevoir les données. Voir la table des ports TCP et UDP.

Port forwarding (redirection de port)

Règle configurée sur la box pour qu'une connexion entrante sur un port donné soit transmise à une machine précise du réseau local. Indispensable pour héberger un service chez soi, elle reste sans effet si votre opérateur vous place derrière un CGNAT. Voir ouvrir un port.

PPPoE

Protocole qui encapsule une session PPP dans Ethernet afin d'authentifier un abonné et de lui attribuer une adresse, héritage de l'ADSL. Il ampute le MTU de huit octets, d'où la valeur 1492 fréquente sur ces lignes. Plusieurs opérateurs français lui préfèrent aujourd'hui un simple DHCP sur la fibre.

Préfixe

Partie fixe d'une adresse qui identifie le réseau, notée après une barre oblique : /24 en IPv4, /56 ou /64 en IPv6. Un abonné fibre français reçoit couramment un préfixe IPv6 délégué, qui lui permet de découper plusieurs sous-réseaux internes. Voir les masques de sous-réseau.

Proxy (mandataire)

Intermédiaire qui relaie vos requêtes vers un service : le site voit l'adresse du proxy et non la vôtre. Contrairement à un VPN, il ne s'applique en général qu'à une application, et un proxy HTTP simple ne chiffre rien. Voir le guide des proxys.

Proxy inverse (reverse proxy)

Serveur placé devant un ou plusieurs serveurs web, qui reçoit les requêtes des visiteurs et les répartit. Il assure aussi le déchiffrement TLS, la mise en cache et le filtrage. C'est lui qui renseigne l'en-tête X-Forwarded-For afin de transmettre l'adresse réelle du visiteur au serveur d'arrière-plan.

Proxy résidentiel

Relais dont l'adresse IP appartient à une plage d'abonnés grand public, ce qui lui permet d'échapper aux filtres visant les hébergeurs. Ces réseaux sont souvent alimentés par des applications gratuites qui revendent la bande passante de leurs utilisateurs, parfois sans information claire. Prêter sa connexion de cette façon revient à laisser un inconnu agir depuis son adresse IP.

Pseudonymisation

Traitement qui remplace un identifiant direct par un code, sans rendre la réidentification impossible. Le RGPD y voit une mesure de sécurité, mais considère que les données restent personnelles. Une adresse IP tronquée de son dernier octet demeure ainsi soumise au règlement ; voir adresse IP et RGPD.

PTR (résolution inverse)

Enregistrement DNS associant une adresse IP à un nom, dans les zones in-addr.arpa et ip6.arpa. Chez un abonné, il révèle souvent l'opérateur et la région sous une forme technique du type lfbn-lyo-1-234-56.abo.exemple.fr. Un serveur de messagerie dépourvu de PTR cohérent voit ses courriels rejetés ; voir la recherche d'IP.

Q

QoS (qualité de service)

Ensemble de réglages qui priorisent certains flux lorsque le lien sature : la voix avant un téléchargement, par exemple. Sur une box, la QoS agit surtout dans le sens montant, le seul que votre équipement contrôle réellement. Les algorithmes modernes de gestion de file d'attente réduisent efficacement le bufferbloat, cette latence qui explose dès qu'un transfert démarre.

QUIC

Protocole de transport qui remplace TCP par UDP et intègre le chiffrement TLS 1.3 (RFC 9000). Il réduit le temps d'établissement d'une connexion et survit à un changement de réseau grâce à un identifiant de connexion indépendant de l'adresse IP. HTTP/3 repose dessus ; certains réseaux d'entreprise bloquent UDP 443, ce qui force un repli sur TCP.

R

Randomisation MAC (adresse privée Wi-Fi)

Fonction des systèmes récents qui présente une adresse MAC différente à chaque réseau Wi-Fi, voire à chaque connexion. Elle empêche le suivi d'un téléphone d'une borne à l'autre dans un lieu public. Elle casse en revanche le filtrage MAC et les réservations DHCP domestiques, d'où l'option à désactiver pour son propre réseau.

RDAP (Registration Data Access Protocol)

Successeur de WHOIS, qui renvoie les mêmes informations d'enregistrement au format JSON, avec authentification et contrôle d'accès différencié (RFC 9082 et 9083). Les registres régionaux et la plupart des extensions l'exposent désormais. Il facilite l'interrogation automatisée, sans avoir à analyser du texte libre.

Réseau invité

Réseau Wi-Fi séparé, proposé par la plupart des box, dont les clients ne peuvent pas atteindre les appareils du réseau principal. C'est l'endroit où placer les objets connectés et les visiteurs, afin qu'une caméra vulnérable ne serve pas de porte d'entrée vers vos ordinateurs. Vérifiez que l'isolation est effectivement active, et pas seulement le nom du réseau différent.

Résolveur (resolver, DNS récursif)

Serveur qui mène l'enquête DNS à votre place : il interroge la racine, puis le registre de l'extension, puis le serveur du domaine, et met le résultat en cache. Par défaut c'est celui de votre opérateur, qui voit donc chaque nom que vous demandez. Voir changer de DNS.

RFC (Request for Comments)

Document publié par l'IETF décrivant un protocole ou une pratique d'Internet. Tous sont gratuits et numérotés définitivement : une RFC n'est jamais modifiée, elle est remplacée par une autre. La RFC 791 définit IPv4, la RFC 8200 IPv6 ; voir nos sources.

RGPD (règlement 2016/679)

Règlement européen sur la protection des données, applicable depuis le 25 mai 2018. Il qualifie l'adresse IP de donnée à caractère personnel dès lors qu'elle permet, seule ou par recoupement, d'identifier une personne. La CNIL en contrôle l'application en France ; voir adresse IP et RGPD.

RIPE NCC

Registre régional chargé des adresses IP pour l'Europe, le Moyen-Orient et une partie de l'Asie centrale, établi à Amsterdam. Il attribue les plages aux opérateurs et publie la base de données interrogée par WHOIS. Ce sont ses objets qui décrivent les réseaux des opérateurs français.

RIR (registre Internet régional)

L'un des cinq organismes qui répartissent les adresses IP par grande région du monde : RIPE NCC pour l'Europe, ARIN pour l'Amérique du Nord, APNIC, LACNIC et AFRINIC. Ils reçoivent leurs plages de l'IANA puis les délèguent aux opérateurs. Identifier le RIR d'une adresse indique déjà sa région d'origine.

Routage en oignon (onion routing)

Principe du réseau Tor : le message est chiffré en plusieurs couches, chaque relais n'en retirant qu'une. Aucun relais ne connaît simultanément l'origine et la destination. Ce cloisonnement se paie en latence, un circuit traversant par défaut trois relais répartis dans le monde.

Routeur

Équipement qui lit l'adresse de destination d'un paquet et le transmet vers le saut suivant d'après sa table de routage. Un paquet en traverse une dizaine ou plus entre chez vous et un serveur, ce que révèle un traceroute. Votre box en est un, doublé d'un modem et d'un point d'accès Wi-Fi.

S

Serveur

Programme, et par extension la machine qui l'exécute, qui attend des connexions sur un port et répond aux demandes de ses clients. Un ordinateur ordinaire devient serveur dès qu'il écoute sur une interface accessible, ce qui mérite vérification avant de partager sa connexion sur un réseau inconnu.

Serveur racine (root server)

Serveur répondant aux requêtes portant sur la racine du DNS et orientant vers les registres d'extensions. Les treize identités de A à M correspondent en réalité à des centaines d'instances réparties dans le monde grâce à l'anycast, dont plusieurs en France. Votre résolveur ne les interroge que rarement, grâce au cache.

SLAAC (autoconfiguration sans état)

Mécanisme par lequel une machine se fabrique elle-même son adresse IPv6 à partir du préfixe annoncé par le routeur (RFC 4862), sans serveur DHCP. C'est le mode normal chez un particulier ; voir IPv6 à la maison. Les suffixes sont aujourd'hui tirés au hasard et renouvelés régulièrement pour éviter le suivi.

SNI (Server Name Indication)

Champ envoyé en clair au début d'une négociation TLS pour indiquer quel site est demandé, indispensable quand plusieurs sites partagent une même adresse IP. Il révèle donc le nom du site à qui observe le réseau, malgré HTTPS. ECH vise précisément à le chiffrer.

Socket

Couple formé d'une adresse IP et d'un numéro de port, à chaque extrémité d'une connexion. Une connexion TCP est identifiée par ces quatre valeurs, ce qui permet à un serveur de distinguer des milliers de clients sur le même port 443. Les commandes ss et netstat listent les sockets ouverts d'une machine.

SOCKS (SOCKS5)

Protocole de proxy générique, indépendant de l'application, capable dans sa version 5 de relayer TCP et UDP et de résoudre les noms côté serveur. Tor expose un proxy SOCKS local sur le port 9050. Un proxy SOCKS ne chiffre rien par lui-même : la confidentialité dépend entièrement du protocole transporté.

Sous-réseau (subnet)

Découpage d'un réseau en segments plus petits, chacun avec son masque. Chez un particulier, séparer les objets connectés du reste limite les dégâts en cas de compromission de l'un d'eux. Notre calculateur donne la plage utilisable, l'adresse de diffusion et le nombre d'hôtes.

SPF (Sender Policy Framework)

Enregistrement DNS listant les adresses IP autorisées à envoyer du courrier pour un domaine (RFC 7208). Le serveur destinataire compare l'adresse de connexion à cette liste. Une redirection automatique de boîte aux lettres casse fréquemment cette vérification, ce que révèle l'analyse des en-têtes.

Split tunneling (tunnel scindé)

Configuration où seules certaines applications ou destinations passent par le VPN, le reste empruntant la connexion normale. Commode pour garder l'accès à une imprimante locale ou à un service qui refuse les adresses d'hébergeur, mais toute application laissée hors du tunnel expose votre adresse réelle. À manier avec prudence.

SSH (Secure Shell)

Protocole d'administration à distance chiffré, sur le port TCP 22. Un serveur SSH exposé sur Internet reçoit des tentatives d'authentification automatisées en permanence : l'authentification par clé, et la désactivation du mot de passe, sont la première mesure à prendre. Il sert aussi de tunnel chiffré pour d'autres protocoles.

SSID (nom de réseau Wi-Fi)

Nom diffusé par un réseau Wi-Fi. Le masquer n'apporte rien : les appareils clients continuent de le chercher activement, révélant vos réseaux habituels partout où vous passez. Mieux vaut choisir un nom neutre, sans patronyme ni numéro d'appartement ; voir sécuriser sa box.

STUN

Serveur qui indique à une machine placée derrière un NAT quelle est son adresse publique et le port utilisé (RFC 8489). C'est la première étape d'ICE pour établir un appel direct. C'est aussi par lui que WebRTC peut révéler vos adresses ; testez-le avec notre outil dédié.

T

Table de routage

Liste de règles indiquant, pour chaque destination, l'interface à emprunter et le saut suivant. Sur un ordinateur domestique elle tient en quelques lignes, dont la route par défaut vers la box. Quand un VPN s'active, il y insère des routes prioritaires : route print sous Windows et ip route sous Linux montrent ce qui passe réellement par le tunnel.

TCP (Transmission Control Protocol)

Protocole de transport fiable : il numérote les segments, vérifie leur arrivée et réémet ce qui manque. Cette garantie se paie par un établissement de connexion en trois messages et une forte sensibilité à la perte. Le web, le courriel et le transfert de fichiers l'utilisent ; voir TCP et UDP.

TLD (extension, domaine de premier niveau)

Dernier élément d'un nom de domaine : .fr, .com, .org. Chacun est administré par un registre désigné, l'AFNIC pour le .fr, qui fixe ses propres règles d'éligibilité et de résolution des litiges. Le .fr impose ainsi un rattachement à l'Union européenne.

TLS (Transport Layer Security)

Protocole qui chiffre et authentifie une connexion, successeur de SSL. La version 1.3 (RFC 8446) réduit la négociation à un aller-retour et supprime les algorithmes obsolètes. Il garantit que vous parlez bien au domaine affiché, à condition que le certificat soit valide et l'horloge de la machine correcte.

Tor (The Onion Router)

Réseau de relais bénévoles qui fait transiter votre trafic par trois machines successives, chacune ignorant une partie du trajet. Il masque votre adresse IP au site visité, au prix d'une latence sensible et de blocages fréquents. Voir notre guide de Tor.

Traceroute (tracert)

Outil qui révèle les routeurs traversés en envoyant des paquets dont le TTL augmente d'une unité à chaque essai. Les étoiles affichées signalent un routeur qui ne répond pas, pas nécessairement une panne. La commande s'écrit tracert sous Windows ; voir ping et traceroute.

Traceur (tracker)

Script, image ou cookie déposé par un tiers afin de suivre un internaute d'un site à l'autre. La CNIL exige un consentement préalable pour tout traceur qui n'est pas strictement nécessaire au service, et un refus aussi simple que l'acceptation. Voir l'empreinte de navigateur.

Trame (frame)

Unité de données de la couche liaison, celle qui circule réellement sur le câble Ethernet ou dans les airs en Wi-Fi. Elle porte les adresses MAC source et destination et encapsule le paquet IP. Elle ne franchit jamais un routeur : celui-ci en extrait le paquet et le réencapsule dans une nouvelle trame.

Transit

Service payant par lequel un opérateur achète à un autre l'accès au reste d'Internet. Il s'oppose au peering, où l'échange est direct et souvent gratuit. Les quelques grands réseaux mondiaux dits de niveau 1 n'achètent de transit à personne et se contentent de s'appairer entre eux.

TTL (durée de vie, hop limit)

Compteur inscrit dans l'en-tête d'un paquet et décrémenté par chaque routeur ; à zéro, le paquet est détruit et un message ICMP est renvoyé. Ce garde-fou évite qu'une boucle de routage ne sature le réseau. Les valeurs initiales usuelles sont 64 sous Linux et macOS, 128 sous Windows.

TTL DNS

Durée, en secondes, pendant laquelle une réponse DNS peut être conservée en cache. Une valeur de 3600 signifie qu'un changement d'adresse mettra jusqu'à une heure à se propager chez ceux qui ont déjà interrogé le nom. On l'abaisse volontairement avant une migration, puis on la remonte ; voir le guide du DNS.

Tunnel

Encapsulation d'un protocole à l'intérieur d'un autre, afin de traverser un réseau intermédiaire comme s'il n'existait pas. Un VPN est un tunnel chiffré entre votre appareil et un serveur distant. L'encapsulation réduit toujours le MTU disponible, ce qui explique certains sites qui se figent après activation d'un VPN.

TURN

Serveur relais utilisé lorsque deux correspondants ne parviennent pas à se joindre directement malgré STUN, typiquement derrière des NAT stricts ou un CGNAT (RFC 8656). Tout le flux passe alors par lui, ce qui coûte de la bande passante à son exploitant mais masque l'adresse IP de chaque participant à l'autre.

U

UDP (User Datagram Protocol)

Protocole de transport sans connexion ni garantie de livraison, mais sans délai d'établissement. Il convient à la voix, à la vidéo en direct, au DNS et au jeu en ligne, où un paquet en retard gêne davantage qu'un paquet perdu. QUIC lui ajoute fiabilité et chiffrement ; voir TCP et UDP.

Unicast

Envoi d'un paquet à un destinataire unique, mode normal des communications sur Internet, par opposition au broadcast, au multicast et à l'anycast. IPv6 a d'ailleurs supprimé le broadcast au profit de groupes multicast bien délimités.

UPnP (Universal Plug and Play)

Mécanisme permettant à un logiciel d'ouvrir lui-même un port sur la box, sans intervention de l'utilisateur. Commode pour les consoles et la visioconférence, il autorise aussi n'importe quel programme du réseau local, y compris malveillant, à s'exposer sur Internet. Le désactiver et créer des redirections explicites est nettement plus sûr.

URL (adresse web)

Adresse complète d'une ressource : protocole, nom d'hôte, chemin, paramètres. En HTTPS, le chemin et les paramètres sont chiffrés, mais le nom d'hôte reste déductible du DNS et du SNI. Les paramètres de suivi ajoutés après le point d'interrogation peuvent le plus souvent être supprimés sans casser le lien.

User-Agent

En-tête envoyé par votre navigateur pour décrire son nom, sa version et le système d'exploitation. Il nourrit votre empreinte, d'autant plus qu'il est rare. Les navigateurs le figent progressivement pour limiter cet usage ; consultez le vôtre dans Mes en-têtes HTTP.

V

VDSL (VDSL2)

Évolution de l'ADSL sur la même paire de cuivre, nettement plus rapide mais seulement sur des lignes courtes, de l'ordre du kilomètre. En France, son déploiement a d'abord été limité aux lignes en distribution directe, avant d'être étendu en 2014 aux lignes raccordées via un sous-répartiteur. Le débit montant reste sans commune mesure avec celui de la fibre.

VLAN (réseau local virtuel)

Découpage logique d'une même infrastructure physique en plusieurs réseaux étanches, identifiés par une étiquette insérée dans la trame. Les box des opérateurs français en utilisent pour séparer Internet, la télévision et la téléphonie. Sur un réseau domestique avancé, un VLAN dédié isole les objets connectés.

VoIP (téléphonie sur IP)

Transport de la voix sur le réseau IP, technique employée depuis le début des années 2000 par la téléphonie des box françaises, et vers laquelle bascule la téléphonie fixe à mesure que le réseau téléphonique commuté est progressivement fermé. Elle tolère mal la gigue et la perte de paquets, mais très bien un débit modeste : une conversation demande quelques dizaines de kilobits par seconde.

VPN (réseau privé virtuel)

Tunnel chiffré entre votre appareil et un serveur distant, qui devient l'origine apparente de votre trafic. Il déplace la confiance de votre opérateur vers le fournisseur du service, sans rendre anonyme : le paiement, la session ouverte et l'empreinte du navigateur restent identifiants. Voir le guide des VPN.

VPN maillé (mesh VPN)

Réseau privé où les appareils se connectent directement entre eux plutôt que par un serveur central, un service de coordination se limitant à l'échange des clés et des adresses. C'est une manière d'accéder à ses machines domestiques malgré un CGNAT, sans ouvrir le moindre port sur la box.

W

WAN (réseau étendu)

Côté extérieur d'un routeur, celui qui regarde vers Internet, par opposition au LAN. L'interface d'administration de votre box affiche l'adresse WAN : si elle diffère de celle que montre notre page d'accueil, une traduction supplémentaire existe en amont, signe d'un CGNAT.

WebRTC

Ensemble de technologies permettant à deux navigateurs d'échanger audio, vidéo et données en direct, sans logiciel additionnel. Pour établir la liaison, il énumère vos adresses IP, y compris locales, ce qui peut contourner un VPN mal configuré. Vérifiez ce que votre navigateur divulgue avec notre test WebRTC.

WHOIS

Service historique d'interrogation des bases d'enregistrement des noms de domaine et des plages d'adresses IP. Pour une adresse, il indique l'organisation détentrice, son pays et son contact d'abus : jamais l'identité de l'abonné. Le RGPD a fortement restreint les données personnelles affichées ; voir notre recherche d'IP.

Wi-Fi

Famille de normes de réseau local sans fil, sur les bandes 2,4 GHz, 5 GHz et désormais 6 GHz. La bande 2,4 GHz porte plus loin mais est encombrée ; la bande 5 GHz offre plus de débit sur une portée plus courte. La sécurité repose entièrement sur la phrase de passe et sur la version de WPA retenue.

WireGuard

Protocole de VPN récent, au code très compact, intégré au noyau Linux depuis la version 5.6. Il établit le tunnel plus vite qu'OpenVPN et consomme moins sur mobile, mais attribue par défaut une adresse interne stable à chaque client, ce que les fournisseurs contournent par des mécanismes qui leur sont propres. Voir les protocoles VPN.

WPA2

Norme de sécurité Wi-Fi fondée sur le chiffrement AES-CCMP, encore très majoritaire dans les foyers. Sa faiblesse principale tient à la phrase de passe : courte ou devinable, elle cède à une attaque hors ligne menée après capture de la négociation. Une phrase longue et aléatoire reste la meilleure protection.

WPA3

Successeur de WPA2, qui remplace la négociation par un échange résistant aux attaques par dictionnaire hors ligne et chiffre même les réseaux ouverts. La plupart des box récentes proposent un mode mixte WPA2/WPA3 afin de rester compatibles avec les anciens appareils. Activez-le dès que tous vos équipements le supportent.

WPS (Wi-Fi Protected Setup)

Fonction d'appairage Wi-Fi par bouton ou par code à huit chiffres. La variante par code souffre d'une faiblesse de conception connue de longue date, qui réduit considérablement le nombre d'essais nécessaires pour le deviner. Désactivez-la dans l'interface de votre box ; voir sécuriser sa box.

X

X-Forwarded-For (XFF)

En-tête ajouté par un proxy inverse pour transmettre l'adresse IP d'origine du visiteur au serveur final. Il reste entièrement contrôlé par le client tant qu'un intermédiaire de confiance ne l'a pas réécrit : un site qui s'y fie aveuglément peut être trompé. Notre outil Mes en-têtes HTTP indique s'il figure dans votre requête.

Z

Zombie (machine) (bot)

Ordinateur, box ou objet connecté compromis et piloté à distance à l'insu de son propriétaire, généralement au sein d'un réseau de milliers de machines. Il sert à envoyer du courrier indésirable ou à participer à une attaque : c'est alors votre adresse IP qui apparaît dans les journaux des victimes. Une caméra jamais mise à jour est une cible de choix ; voir la sécurité des objets connectés.

Zone DNS

Portion de l'arborescence DNS gérée par un même serveur autoritaire, décrite dans un fichier qui liste les enregistrements du domaine. Sa modification se propage selon le TTL des enregistrements concernés, et non selon un délai fixe de 48 heures comme on le lit souvent.