L'IPv6 vous expose-t-il ? Détecter les fuites d'IP en réseau dual-stack

L'essentiel d'abord : un proxy IPv4 ne signifie pas que tout votre trafic passe par lui : sur un réseau dual-stack, l'IPv6 peut contourner le proxy et sortir directement par votre connexion locale. Si une page de test affiche une adresse IPv6, regardez d'abord à qui appartient la sortie avant de parler de fuite. Beaucoup connaissent cette situation : la page de test montre déjà l'adresse du proxy pour l'IPv4, mais une autre page compatible IPv6 fait apparaître une adresse jamais vue auparavant. Cet article explique l'origine du phénomène, distingue trois notions, détaille un contrôle en quatre étapes et l'ordre du dépannage, puis se termine par une façon de vérifier la sortie dans un environnement MostMate.

Pourquoi une adresse IPv6 apparaît malgré un proxy IPv4

Un réseau dual-stack signifie que l'appareil dispose à la fois d'adresses et de routes IPv4 et IPv6, et peut accéder à Internet par les deux chemins. Aujourd'hui, la plupart des réseaux fixes et mobiles sont dual-stack par défaut : la box et le routeur attribuent à l'appareil une adresse IPv4 et, dans le même temps, une adresse IPv6 publique. Le rapport entre proxy et IPv6 est décrit dans la norme IPv6 (RFC 8200) comme deux canaux indépendants ; celui que couvre le proxy dépend de la configuration.

Le cas d'un proxy qui ne couvre que l'IPv4 est fréquent :

• Le serveur proxy n'a qu'une adresse IPv4 et n'atteint pas les destinations IPv6.
• La carte réseau virtuelle du client proxy ne prend en charge que le routage IPv4 ; la route par défaut IPv6 pointe toujours vers la passerelle locale.
• Les règles de répartition ne couvrent que les plages d'adresses IPv4.
• Certaines applications ignorent le proxy système et se connectent par leurs propres moyens.

Le navigateur ajoute un mécanisme du type Happy Eyeballs : quand une page se résout à la fois en enregistrement A et en enregistrement AAAA, le navigateur tente les deux chemins en parallèle et retient celui qui répond en premier. Dans une même session, certaines requêtes passent donc par l'IPv4 du proxy et d'autres par votre IPv6 locale, avec un résultat potentiellement différent à chaque fois. Autre point à garder en tête : si le DNS renvoie un enregistrement AAAA, cela signifie seulement que le domaine possède une adresse IPv6, pas que le navigateur établira réellement la connexion en IPv6.

IPv6 détecté : faut-il parler de fuite ?

Une adresse IPv6 détectée et une véritable exposition de votre IP sont deux choses différentes ; entre les deux se pose la question du propriétaire de la sortie. Trois notions à distinguer :

• IPv6 détecté : cela signifie seulement que cette connexion est passée par le canal IPv6. En soi, ce n'est pas un problème.
• Contournement inattendu du proxy : la sortie IPv6 n'est pas une adresse attribuée par le proxy : celui-ci ne couvre pas ce canal, la déviation est réelle et doit être traitée.
• Vraie adresse exposée : la sortie IPv6 appartient à votre fournisseur d'accès local et sa région ne correspond pas à celle du proxy — la fuite est avérée.

Il n'existe qu'un seul critère : comparez l'opérateur et la région de cette adresse IPv6 avec votre proxy. S'ils concordent, le proxy dispose lui-même d'une sortie IPv6 et tout est normal ; s'ils divergent et pointent vers votre fournisseur local, c'est un contournement. Deux détails prêtent souvent à confusion : les adresses commençant par fe80 sont de type link-local, valables uniquement sur le réseau local, et ne constituent pas une exposition publique ; par ailleurs, un test isolé peut être faussé par le cache du navigateur, les extensions ou la logique du site de test. Ne concluez jamais sur un seul résultat.

Quatre étapes pour détecter une déviation

Ce qu'il faut confirmer, c'est à qui appartient la sortie IPv6 : une adresse affichée sur la page n'a rien d'alarmant en soi. Suivez ces quatre étapes dans l'ordre :

1. Vérifiez que votre machine possède une adresse IPv6 publique. Coupez le proxy et ouvrez test-ipv6.com : une IPv6 publique signifie qu'une déviation est possible ; une seule adresse link-local ou pas d'IPv6 du tout, et il n'y a rien à contourner. Vous pouvez passer la suite.
2. Activez le proxy et notez séparément les sorties IPv4 et IPv6. Sur la page de test, comparez l'opérateur et la région des deux adresses : IPv4 du proxy, IPv6 de votre fournisseur local — déviation confirmée.
3. Ajoutez les contrôles DNS et WebRTC. Ces deux tests révèlent les chemins de résolution et des informations sur votre réseau local ; mis en regard de la sortie IPv6, ils donnent une image complète de l'exposition réseau. Pour une lecture détaillée des valeurs WebRTC, voir le guide du score de confiance Iphey.
4. Refaites le test après un changement de conditions. Changez de proxy ou de réseau et répétez les deux premières étapes : l'existence d'une déviation dépend de l'environnement réseau ; un résultat isolé ne se généralise pas.

Déviation confirmée : le dépannage dans cet ordre

Procédez du côté du proxy vers celui du système, avec un objectif de contrôle précis à chaque étape :

1. Vérifiez la couverture protocolaire du proxy. Demandez à votre fournisseur si l'offre inclut des sorties IPv6 et si le transfert couvre les destinations IPv6. Beaucoup de proxies sont en IPv4 seul, et c'est la cause la plus fréquente des déviations.
2. Vérifiez la configuration IPv6 du système et du navigateur. Contrôlez si l'IPv6 est activé dans les paramètres réseau du système et si le navigateur possède son propre proxy ou un DNS sécurisé qui contourne le client proxy.
3. Choisissez selon vos besoins l'une des trois mesures : passer à un proxy compatible dual-stack ; ajuster le routage au niveau du réseau pour que l'IPv6 passe aussi par le proxy ; ou restreindre l'IPv6 après avoir évalué l'impact sur votre activité. La restriction bouche la déviation, mais certains réseaux et services en pâtiront. Testez à petite échelle avant de généraliser. Ce n'est pas la réponse par défaut.
4. Refaites le test après l'ajustement. Répétez le contrôle en quatre étapes de la section précédente, confirmez que la sortie IPv6 correspond désormais au proxy, puis reprenez votre usage normal.

Vérifier la sortie réseau dans MostMate

MostMate est un navigateur antidétect. Découvrez l'ensemble du produit dans Qu'est-ce que MostMate. Sur le front de l'IPv6, il prend en charge la configuration et la vérification côté environnement, en complément du processus de détection ci-dessus :

• Les proxies sont gérés à part et attribués par environnement. Créez ou importez d'abord un proxy dans la liste dédiée, attribuez-le ensuite à l'environnement, puis vérifiez après enregistrement l'IP de sortie avec la fonction de test ; confrontez la source de configuration à la sortie réelle.

• Jugez d'après la sortie réelle depuis l'environnement, pas seulement la configuration. Des paramètres de proxy saisis ne signifient pas que le trafic passe effectivement par eux : ouvrez une page de test dans l'environnement et comparez les lignes IPv4 et IPv6 ; c'est l'accès réel qui fait foi. La logique de l'isolation est détaillée dans Qu'est-ce que l'isolation d'environnement.
• Réglez le mode WebRTC en conséquence. Les adresses réseau obtenues via WebRTC ne passent pas par le canal du proxy HTTP ; en le réglant sur désactivé ou personnalisé dans l'environnement, vous supprimez un vecteur d'exposition réseau.
• Revérifiez après un changement de proxy ou de réseau. Toute modification de configuration invalide les résultats de tests antérieurs. Relancez le contrôle en quatre étapes avant de remettre l'environnement en service.

Une limite doit être claire : l'isolation d'environnement et la configuration des fingerprints gèrent les données et les paramètres d'identité ; le passage par l'IPv6 au niveau réseau dépend des capacités du proxy et du routage du système. Si le proxy ne prend pas en charge l'IPv6, la solution relève du proxy ou du réseau : la configuration de l'environnement ne peut pas couvrir cette couche. La création et la configuration des environnements sont décrites dans Comment démarrer avec MostMate.

Questions fréquentes

Avec un proxy IPv4, dois-je encore me soucier de l'IPv6 ?

Oui, si votre machine possède une adresse IPv6 publique. Sur un réseau dual-stack, l'IPv6 peut contourner un proxy limité à l'IPv4 et se connecter directement ; tout dépend du propriétaire de la sortie. Sans IPv6 publique, ce canal n'existe pas et rien n'est à traiter pour l'instant.

Comment savoir si une adresse IPv6 détectée vient du proxy ou de ma vraie adresse ?

Par l'opérateur et la région : s'ils correspondent à la sortie du proxy, c'est l'IPv6 du proxy ; si l'adresse pointe vers votre fournisseur d'accès local avec une région qui ne correspond pas, votre machine se connecte en direct.

Désactiver l'IPv6 règle-t-il le problème ?

Cela bouche la déviation, mais cela peut perturber la connexion de certains sites et services, et ne change rien au proxy lui-même. Envisagez d'abord un proxy compatible dual-stack ou un routage ajusté ; si vous restreignez malgré tout l'IPv6, vérifiez à petite échelle que votre activité n'en souffre pas.

Un navigateur antidétect peut-il empêcher les fuites IPv6 ?

On ne peut pas l'affirmer. Un navigateur antidétect assure la cohérence des données d'environnement et des paramètres d'identité ; la sortie au niveau réseau dépend du proxy et du routage système. Après la configuration, vérifiez la sortie réelle dans l'environnement avec une page de test et fiez-vous à ce résultat.

Pour conclure

Pour les fuites IPv6, tout repose sur le propriétaire de la sortie : commencez par vérifier si votre machine possède une adresse IPv6 publique, comparez ensuite les sorties pour repérer une déviation, puis traitez le problème côté proxy et au niveau du réseau. Si vous gérez plusieurs comptes, téléchargez MostMate, créez vos environnements et vérifiez la sortie réelle de chacun avant de les mettre en service.