L hébergeur devient censeur : le blocage des VPN passe au bailleur

Ce qui s est passé le 4 août

Plus de vingt services VPN populaires ont cessé de fonctionner en même temps pour les utilisateurs russes. Parmi les services touchés ont été cités Amnezia, Paper VPN, VPN Legend et GaMMa VPN. La cible n était ni les protocoles ni les applications : les listes noires ont accueilli des adresses IP et des sous-réseaux entiers de grands hébergeurs, où se trouvaient les serveurs de nombreux services à la fois. Leonid Volkov a parlé de la plus grande attaque jamais enregistrée contre les outils de contournement. Roskomnadzor n a pas commenté.

Ce qui est proposé

Parallèlement à la vague de blocages, un dispositif à l étude change la mécanique même des restrictions. Le centre de surveillance du réseau public de communication tient une liste d exceptions : des adresses qui ne sont jamais bloquées, VPN d entreprise et canaux technologiques des sociétés. À la place d une liste statique, une surveillance continue est proposée.

• Si une infrastructure VPN est détectée en une semaine sur une adresse de la liste blanche, l hébergeur reçoit une demande et dispose de 24 heures pour répondre.
• S il ne peut établir une finalité technologique légitime, l adresse est retirée de la liste d exceptions et perd sa protection contre le blocage.
• Le nombre de moyens admis pour vérifier l identité d un client passe de dix à trois : système d identité de l État, biométrie ou passeport.
• Un client pleinement identifié serait d abord invité à régulariser. Un client connu seulement par un numéro de téléphone ou une carte bancaire peut être coupé en 30 minutes.

En juillet 2026, le registre des hébergeurs comptait 584 sociétés ; ce registre existe depuis février 2024. Le secteur met en garde contre les faux positifs : les adresses IPv4 changent régulièrement de propriétaire, et un historique douteux voyage avec l adresse jusqu au locataire suivant.

Pourquoi cela pèse plus qu un énième blocage de protocole

Jusqu ici, la lutte se jouait sur le câble : les systèmes de filtrage tentaient de reconnaître le trafic VPN à la forme de ses paquets, et les services répondaient par l obfuscation. C est une course que le camp défensif peut jouer. Le nouveau dispositif déplace l application du câble vers le bailleur : du trafic vers le contrat de location.

La différence est fondamentale. L inspection profonde des paquets coûte cher, se trompe et reste durablement en retard sur les nouveaux déguisements. L hébergeur, lui, est un levier bon marché : une personne morale précise, inscrite à un registre, qui a quelque chose à perdre. Dès lors que l hébergeur doit se porter garant, sous menace de sanction, de tout ce qui tourne sur chacune de ses adresses IP, la qualité du déguisement du trafic ne décide plus rien. On ne vous détecte pas : on vous expulse. Contre une expulsion, ni les en-têtes chiffrés ni l imitation d un HTTPS ordinaire ne servent à quoi que ce soit.

Une observation de terrain : la décision se prend par adresse

Le 15 août, nous y avons été confrontés directement. L un de nos nœuds a cessé complètement de faire passer le trafic — vu de l extérieur, cela ressemblait à un blocage de protocole au niveau de l hébergeur. Sur ce même serveur, nous avons changé une seule chose, l adresse IP : même matériel, même hébergeur, même protocole, même configuration. Le nœud a fonctionné immédiatement.

La conclusion pratique est simple : la restriction était attachée à une adresse précise, pas au réseau de l hébergeur ni au type de trafic. C est exactement le tableau que suppose le nouveau dispositif : l objet du blocage devient l adresse, et celui qui en répond.

Ce qui aide vraiment dans cette logique

• Répartir chez des hébergeurs et des systèmes autonomes sans lien entre eux, et non entre pays. Trois serveurs chez un même hébergeur dans trois pays meurent d une seule ligne sur une liste. La géographie n est pas de la diversité.
• Pouvoir changer d adresse vite. Si un nœud reçoit une nouvelle adresse en quelques minutes au lieu de déménager pendant une semaine, l expulsion cesse d être une catastrophe.
• Bascule automatique côté application. Personne ne devrait apprendre un blocage par un Connexion… interminable : l application doit d elle-même emmener l utilisateur vers un nœud qui fonctionne.
• L obfuscation du protocole reste nécessaire, mais comme défense contre une autre attaque : la reconnaissance du trafic. Ce sont deux couches distinctes, et les deux doivent fonctionner.

Comment cela se traduit chez HamikVPN

Nous exploitons nos propres serveurs sur différents sites et chez différents hébergeurs — il ne s agit pas de revendre l accès à un hébergement unique. Le trafic passe par AmneziaWG avec obfuscation. L application reçoit une liste ordonnée de nœuds et, si le principal tombe, bascule d elle-même l utilisateur vers le suivant qui fonctionne.

Une réserve honnête : personne ne peut garantir qu il ne sera jamais bloqué, et quiconque donne cette garantie vous induit en erreur. Mais quand le point de pression se déplace vers le bailleur, ce n est pas le protocole le plus astucieux qui gagne, c est celui dont les adresses sont réparties et qui sait déménager vite. C est ainsi que nous construisons le service — et le 15 août a montré que cela fonctionne.