Quelle est mon adresse IP

Pourquoi votre navigateur ne peut pas y répondre seul

Une page comme celle-ci a l’air de pouvoir lire la réponse sur la machine où elle s’exécute, et elle ne le peut pas. Rien dans la plateforme du navigateur n’expose l’adresse par laquelle vous sortez sur internet : aucune propriété à lire, aucune permission à accorder. L’adresse que détient votre propre machine n’est presque jamais celle dont il s’agit : derrière une box domestique c’est un numéro privé que le routeur réécrit en sortant, et sur un réseau mobile l’opérateur peut le réécrire une seconde fois. La seule fonction du navigateur qui ait jamais laissé fuir une adresse était WebRTC, qui rassemblait les adresses de la machine pour établir un appel, et tous les navigateurs actuels cachent désormais même cela derrière un nom aléatoire terminé par local. Le numéro n’a donc jamais été accessible par la plateforme, et le peu qui fuyait était de toute façon le mauvais.

L’adresse dont vous parlez vraiment n’est pas une propriété de votre ordinateur. C’est ce que voit l’autre bout d’une connexion quand votre trafic arrive, et elle appartient à l’équipement qui l’a réécrite en dernier sur le chemin : votre box, le NAT de grande échelle partagé de votre opérateur, la sortie d’un VPN, un proxy d’entreprise. Elle n’existe que dans les yeux d’un serveur que vous avez contacté. C’est pourquoi le seul moyen de la connaître est d’en contacter un et de lui demander ce qu’il a vu, et c’est pourquoi cette page pose la question trois fois plutôt qu’une.

• Ce n’est pas l’adresse que votre système d’exploitation affiche pour votre carte réseau. Celle-là est généralement privée — une adresse en 192.168, en 10, en 172.16 — et n’a de sens qu’à l’intérieur de votre propre réseau. Rien au-delà de votre box ne la voit jamais.
• Elle n’est pas permanente. La plupart des accès domestiques reçoivent une adresse qui peut changer quand la box se reconnecte ou quand l’opérateur en décide ainsi, et un accès mobile peut la changer au fil de vos déplacements. Une adresse inscrite le mois dernier dans une règle de pare-feu appartient peut-être déjà à quelqu’un d’autre.
• Ce n’est pas nécessairement un seul numéro. Sur un réseau qui porte les deux familles, vous avez une adresse IPv4 et une adresse IPv6 en même temps ; ce sont des nombres sans rapport entre eux, attribués par des parties différentes du même opérateur, et ils empruntent des routes différentes.

C’est aussi pourquoi la réponse n’est pas dans la source de la page et pourquoi l’y chercher ne donne rien. Chaque page de ce site est écrite dans un fichier HTML plat au moment où le site est construit, bien avant que vous ne l’ouvriez, et la seule adresse disponible à cet instant est celle de la machine de construction — qui ne regarde personne et certainement pas vous. Le fichier qui vous parvient porte donc l’explication et trois emplacements étiquetés et vides, et les lectures y sont inscrites ensuite, par votre propre navigateur, depuis votre propre connexion. Si vous affichez la source et n’y trouvez aucune adresse, vous lisez le parti pris retenu et non un défaut.

Deux familles, et pourquoi une seule peut répondre

IPv4 et IPv6 sont deux systèmes d’adresses distincts, et une connexion donnée n’en utilise qu’un seul de bout en bout. Les adresses IPv4 sont les familiers quatre nombres séparés par des points, et leur réserve est épuisée depuis des années ; les adresses IPv6 sont les longues, écrites en groupes hexadécimaux séparés par des deux-points, et il y en a plus que personne n’en utilisera. La plupart des réseaux portent aujourd’hui les deux à la fois — c’est ce que veut dire double pile — et sur un tel réseau vous détenez une adresse dans chacune, sans le moindre rapport arithmétique entre elles.

C’est ce qui fait d’une seule lecture une demi-réponse, et c’est le piège dans lequel tombe presque tout outil de ce genre. Le nom de ce site porte à la fois un enregistrement IPv4 et un enregistrement IPv6, votre navigateur choisit donc l’un des deux avant que la moindre ligne de code d’ici ne s’exécute, et un outil qui demande seulement de quelle adresse la connexion lui est parvenue apprend quelque chose sur cette famille et sur aucune autre. Quelqu’un venu chercher son IPv4 parce qu’une règle de pare-feu en réclame une peut se voir présenter une IPv6, sans que rien sur la page ne dise si l’autre moitié existe, manque, ou n’a tout simplement jamais été demandée.

Épingler une famille consiste donc à interroger un endroit qui n’en a qu’une. Deux des trois lectures vont au résolveur public de Cloudflare, appelé par une adresse écrite en toutes lettres plutôt que par un nom, et l’adresse écrite est elle-même l’épinglage : il n’y a aucun nom à résoudre, donc aucun choix à laisser au navigateur. Une adresse IPv4 écrite en toutes lettres n’est joignable qu’en IPv4 et une adresse IPv6 écrite en toutes lettres qu’en IPv6, et le certificat couvre l’adresse : chacune est donc une connexion chiffrée ordinaire et vérifiée, non un tour de passe-passe. Ce qui revient de la première est votre IPv4 par construction, et ce qui revient de la seconde est votre IPv6 par construction.

• Vous pouvez tout simplement ne pas avoir la famille. IPv6 n’est toujours pas proposé par tous les opérateurs, sur toutes les offres, ni par toutes les box telles qu’elles sont livrées, et un réseau qui n’en a pas n’a rien à signaler.
• Quelque chose sur le chemin peut l’arrêter. Un pare-feu d’entreprise, un réseau d’hôtel ou un boîtier de sécurité peut refuser une famille entière, ou refuser ce seul point d’accès alors que le reste de la famille fonctionne parfaitement.
• Elle peut être bloquée en silence plutôt que refusée. Un refus revient immédiatement et la ligne le dit ; des paquets jetés sans réponse ressemblent exactement à rien du tout, et c’est pourquoi chaque lecture reçoit une attente bornée avant d’être abandonnée plutôt que laissée à tourner.
• Le point d’accès peut répondre autre chose qu’une adresse. C’est un échec différent du silence et la ligne dit lequel des deux s’est produit, car un outil qui replierait toutes les formes d’échec dans un même champ vide vous laisserait incapable de distinguer un réseau inhabituel d’une page cassée.

Indéterminé ne veut pas dire absent

Deux situations comptent ici plus que toutes les autres, et depuis une requête qui a échoué elles se ressemblent : ne pas avoir une famille du tout, et l’avoir mais bloquée en sortie. Les outils de ce genre les signalent de la même manière, en général en ne montrant rien et en vous laissant deviner. Cette page les sépare, et la troisième lecture est tout le mécanisme qui le permet. Elle va vers ce site lui-même, qui propose les deux familles : celle qui a répondu est donc celle que votre navigateur a retenue quand le choix était libre — et ce seul fait suffit à transformer un silence en conclusion.

• Le point d’accès propre à la famille a répondu. Vous avez cette famille, son adresse figure sur la ligne en dessous, et rien de ce que la page apprend ensuite ne peut le renverser.
• Il n’a pas répondu, et votre navigateur a atteint ce site par cette même famille. Alors vous l’avez de façon démontrable — vous vous en servez pour lire cette phrase — et quelque chose entre vous et ce point d’accès précis a arrêté cette requête précise. Le verdict est que la famille est indéterminée, et la raison est écrite juste à côté.
• Il n’a pas répondu, et votre navigateur a atteint ce site par l’autre famille. C’est le seul chemin menant à la conclusion que vous ne l’avez pas, et la seule circonstance dans laquelle cette page le dira.
• Il n’a pas répondu et ce site non plus. Alors il n’y a d’indice dans aucun sens, et indéterminé veut dire exactement cela : l’outil n’a rien appris, ce qui est un constat sur l’outil et non sur votre réseau.

C’est pourquoi une phrase se tient sous chaque verdict, plutôt que derrière un lien ou une infobulle. Indéterminé vous demande deux choses complètement différentes selon celui des deux cas dont il s’agit. L’un dit qu’une famille que vous avez à coup sûr est bloquée quelque part entre votre navigateur et une adresse bien précise, ce qui vaut la peine d’aller voir. L’autre dit que ce passage n’a rien appris et mérite d’être refait depuis un autre réseau. Une couleur et un mot ne peuvent pas porter cette différence, et un outil qui devinerait entre les deux vous dirait quelque chose de faux sur votre propre connexion.

La troisième lecture mérite d’être lue pour elle-même. Elle nomme la famille que votre navigateur a préférée pour un nom ordinaire qui propose les deux — l’issue d’une course que votre système d’exploitation organise à chaque page ouverte, décidée ni par vous ni par lui et configurée par personne — et aucun outil comparable ne la signale. C’est aussi le fait auquel les deux verdicts ci-dessus ont été confrontés, et il est donc sur la page plutôt que caché dans le raisonnement : qui préfère vérifier une conclusion plutôt que la croire peut voir l’indice dont elle est tirée.

Pourquoi les deux lignes ont le droit de diverger

Chaque lecture porte plus qu’une adresse. La même réponse indique le pays où le point d’accès situe cette adresse, le centre de données Cloudflare qui a répondu, la version du transport chiffré, la version de HTTP employée par la requête et si la connexion est passée par le client WARP de Cloudflare. Ces éléments sont imprimés ligne par ligne et jamais fondus en un seul résumé, car les lignes divergent réellement : pendant la conception de cet outil, une même machine, au même instant, a atteint un centre de données à Londres en IPv6 et un autre en Israël en IPv4. Aucune des deux lectures n’était fausse, et aucun des deux réseaux n’était en panne.

• Le pays est l’endroit où le point d’accès situe l’adresse arrivée : une recherche faite sur l’adresse, et non une connaissance de vous. Un VPN le déplace, et un opérateur qui distribue des adresses enregistrées dans un pays voisin également.
• Le centre de données est le site Cloudflare qui a répondu, sous la forme d’un code de trois lettres à la manière d’un aéroport. Chacun de ces points d’accès est annoncé depuis de nombreux endroits à la fois et celui que vous atteignez est choisi par le routage d’internet — séparément pour chaque famille, ce qui fait de cette ligne celle qui diverge le plus souvent.
• TLS est la version du chiffrement sur laquelle la connexion s’est accordée. Elle se négocie par connexion : une ligne peut donc différer d’une autre sans que l’une ou l’autre soit inhabituelle.
• HTTP est la version du protocole utilisée par cette requête précise. Elle aussi se règle par connexion, et dépend de la manière dont la connexion a été établie plutôt que de quoi que ce soit tenant à votre réseau.
• WARP indique si Cloudflare a reconnu le trafic comme venant de son propre client. Pour la plupart des lecteurs il est désactivé sur les trois lignes, et il figure ici parce que celui pour qui il ne l’est pas serait sinon intrigué par le pays.

Lisez donc une ligne comme le compte rendu d’une connexion et de rien de plus large. Deux lignes nommant deux centres de données ne sont pas une contradiction à résoudre ; ce sont deux réponses sur la façon dont vos deux familles quittent votre réseau, c’est-à-dire précisément ce qu’un outil montrant une seule adresse ne peut pas vous montrer. C’est aussi la raison pour laquelle ces éléments sont attachés à des lignes : les réunir en une seule obligerait à choisir l’une des deux et à l’imprimer comme si elle décrivait les deux.

À qui l’on demande, et ce que cet outil ne fera pas

Les trois requêtes vont au même endroit : le point trace de Cloudflare, qui répond par une courte liste de faits sur la connexion qui vient d’arriver. Ce site est lui-même servi via Cloudflare, l’opérateur interrogé est donc celui qui a déjà vu votre adresse — il l’a vue au chargement de cette page, avant qu’une seule ligne du code de la page ne s’exécute. Les trois requêtes demandent à voix haute ce qui a été remis en silence un instant plus tôt, et elles ne le remettent à personne de nouveau. C’est pourquoi elles partent automatiquement plutôt que derrière un bouton : une barrière de consentement placée devant vous coûterait la réponse pour laquelle vous êtes venu et ne vous apporterait rien.

Cet argument est particulier, et il vaut la peine de dire clairement qu’il ne vaut pas licence générale, car la même phrase serait fausse pour presque tout autre point d’accès. Il ne tient que tant que la partie interrogée est celle qui sert déjà la page. Pointez un outil de ce genre vers un service d’adresses tiers et la requête cesse d’être un écho pour devenir une véritable divulgation à un opérateur qui n’avait rien — et à ce moment-là le raisonnement devrait être refait depuis le début plutôt que cité d’ici. C’est l’une des raisons pour lesquelles cette page n’en utilise pas.

Rien de ce que vous tapez n’est envoyé où que ce soit, pour la simple raison qu’il n’y a rien à taper ici : la page n’a aucun champ de saisie. Aucune adresse n’est stockée, aucune n’est gardée d’une visite à l’autre, aucune n’est écrite dans quoi que ce soit que la page laisse derrière elle. Actualiser reprend les trois lectures depuis le début et recalcule les deux conclusions, ce qui rend la page utile à garder ouverte pendant qu’un VPN s’active ou se coupe — et c’est aussi la seule chose qui renvoie jamais les requêtes une deuxième fois.

• Il ne cherchera pas l’adresse de quelqu’un d’autre. Cela demande une base de géolocalisation commerciale interrogée via un tiers, ce qui reviendrait à confier une adresse à un opérateur qui ne l’avait pas, et c’est une autre question que celle posée par le nom de cette page.
• Il ne nommera ni votre opérateur, ni son numéro de système autonome, ni votre ville. Rien de tout cela ne figure dans les réponses que cette page reçoit, et l’obtenir passe par le même tiers que ci-dessus.
• Il n’affichera pas votre adresse locale ou privée. Aucun navigateur actuel ne l’expose plus, et ce n’a jamais été l’adresse que les gens ont en tête en posant cette question : c’est celle que leur propre machine affiche déjà.

Rien de tout cela n’est un manque en attente d’être comblé. Chacun devrait s’acheter au prix d’une dépendance à la base de données de quelqu’un d’autre et à sa bonne volonté continue, et se payer avec la seule chose dont cette page prend soin. Un outil qui répond complètement à une seule question — les deux familles, avec l’indice justifiant chacune, et un silence honnête là où il n’en a aucun — vaut mieux ici qu’un outil qui en traite quatre à moitié.