Annonces

Dix outils gratuits pour vérifier IP, DNS et e-mail

20 septembre 2026 · Mise à jour 29 septembre 2026 · Patrick Schlesinger

Cinq nouveaux outils gratuits sont en ligne sur reportedip.com : Reverse DNS avec confirmation directe, un outil RDAP pour trouver les contacts abuse, une vérification des en-têtes de sécurité, une vérification des robots d’indexation et un rapport ASN, et la vérification e-mail lit désormais aussi MTA-STS, TLS-RPT et BIMI. Cela fait dix outils gratuits : neuf fonctionnent dans le navigateur sans compte, le dixième est le Honeypot Server que vous hébergez vous-même.

Les neuf outils du navigateur sont listés sur reportedip.com/tools, et la présentation des outils documente les entrées, les limites et le traitement des données. La suite de cet article porte sur les quatre vérifications derrière les nouveaux outils, faciles à implémenter et faciles à implémenter de travers.

Quels outils gratuits propose ReportedIP ?

Outil	Entrée	Ce qu’il indique
DNS Checker	Domaine	Ce que les résolveurs du monde entier renvoient pour un enregistrement
Email Security Check	Domaine	SPF, DKIM, DMARC, DNSSEC, MTA-STS, TLS-RPT, BIMI
DNSBL Blacklist Check	IPv4, IPv6 ou domaine	Sur quelles blacklists figure cette adresse
Reverse DNS	IPv4, IPv6 ou nom d’hôte	Si l’enregistrement PTR passe la vérification directe
Abuse Contact	IP ou domaine	Quelle boîte mail est responsable de cette adresse
Bot Verification	IP, User-Agent en option	Si le robot déclaré est le vrai
ASN Report	IP ou numéro d’AS	Comment se comporte tout le réseau, pas une seule adresse
Security Headers	Domaine ou URL	Quelle directive modifier, pondérée selon son effet
What We Know About You	Aucune	Ce qu’un site apprend de votre requête
Honeypot Server	Un hôte que vous gérez	Ce qui attaque des systèmes en ce moment

Reverse DNS, Abuse Contact, Bot Verification, ASN Report et Security Headers sont nouveaux. Le code source du Honeypot Server est disponible sous la Business Source License 1.1, et le serveur signale ce qu’il détecte à la base de données communautaire.

Pourquoi un seul enregistrement A ne suffit-il pas pour le Reverse DNS ?

Un enregistrement PTR seul ne prouve rien. Quiconque contrôle un bloc d’adresses peut y publier n’importe quel nom, y compris mail.yourbank.com. La vérification qui compte est le Forward-confirmed reverse DNS : résoudre le nom PTR en adresses et regarder si l’adresse d’origine en fait partie.

L’erreur d’implémentation courante consiste à ne comparer qu’avec le premier enregistrement A. Mesuré le 2026-09-20, 8.8.8.8 porte le nom PTR dns.google, et ce nom se résout en quatre adresses :

8.8.8.8      -> dns.google -> 8.8.8.8, 8.8.4.4,
                              2001:4860:4860::8888, 2001:4860:4860::8844
8.8.4.4      -> dns.google -> same four addresses
66.249.66.1  -> crawl-66-249-66-1.googlebot.com -> 66.249.66.1

Un outil qui s’arrête à la première réponse signale 8.8.4.4 comme non confirmée, parce que le DNS a renvoyé 8.8.8.8 en premier. Il faut comparer l’ensemble complet des enregistrements A et AAAA, et la comparaison se fait en binaire via inet_pton(), jamais en chaîne de caractères. 2001:db8::1 et 2001:0db8:0000:0000:0000:0000:0000:0001 sont la même adresse et diffèrent à chaque caractère.

Comment vérifier un robot comme Googlebot ou GPTBot ?

Un en-tête User-Agent est du texte libre. Chaque grand opérateur publie donc une méthode pour vérifier ses robots, et pendant vingt ans cette méthode a été le Forward-confirmed reverse DNS. Ce n’est plus vrai pour la moitié des robots qui méritent une vérification.

Sur les dix profils de robots que connaît la vérification, cinq se vérifient par le DNS et cinq par une liste d’adresses publiée :

• Forward-confirmed reverse DNS : Googlebot, Bingbot, Applebot, YandexBot, Baiduspider
• Plages d’adresses publiées : DuckDuckBot, GPTBot, OAI-SearchBot avec ChatGPT-User, PerplexityBot, ClaudeBot

La séparation suit presque exactement la frontière entre les moteurs de recherche classiques et la génération des robots d’IA. OpenAI, Perplexity et Anthropic documentent des fichiers JSON de plages d’adresses et ne font pas des noms PTR une partie de leur méthode. Une vérification le 2026-09-20 n’a trouvé aucun enregistrement PTR sur 20.171.207.1, dans la plage qu’OpenAI publie pour GPTBot.

Conséquence pratique : un vérificateur qui ne connaît que la méthode DNS marque chaque robot d’IA comme non confirmé, soit le même verdict que pour une contrefaçon. L’outil sépare les deux cas et indique quelle méthode s’applique à l’opérateur concerné. Google décrit sa propre procédure dans son guide de vérification de Googlebot.

Faut-il bloquer une adresse ou tout le réseau ?

Le 2026-09-20, la base communautaire contenait 766 987 adresses et 6 933 661 signalements répartis sur 19 827 réseaux et 225 pays. Classer ces réseaux par nombre total de signalements donne la liste des plus grands hébergeurs, ce qui renseigne sur leur taille et non sur leur gestion.

Réseau	Adresses connues	Signalements	Par adresse
AS14061 DigitalOcean	21 444	604 109	28,2
AS396982 Google Cloud	36 444	387 685	10,6
AS174 Cogent	365	238 668	653,9
AS47890 Unmanaged Ltd	260	169 449	651,7

DigitalOcean arrive en tête au total. Cogent se place deux rangs plus bas avec 365 adresses connues, et chacune porte 23 fois plus de signalements qu’une adresse de DigitalOcean. Ce sont deux situations différentes, et la colonne du total masque la différence.

L’ASN Report place donc deux chiffres face à tous les autres réseaux des données : combien d’adresses y sont connues, et combien de signalements porte chacune. Un grand fournisseur se classe haut sur le premier et bas sur le second. Un réseau concentré fait l’inverse, et c’est ce schéma qui justifie d’agir. Bloquer toute une plage est une décision que le second chiffre soutient et que le premier ne soutient pas.

Où envoyer un signalement abuse pour qu’il aboutisse ?

Un signalement envoyé au mauvais bloc équivaut à aucun signalement. Une adresse se trouve en général dans l’allocation d’un hébergeur, elle-même dans l’allocation d’un opérateur de transit, qui appartient à un registre régional. Seul l’opérateur le plus proche peut retirer la machine du réseau.

Il n’existe pas d’annuaire central de l’espace d’adressage. L’IANA publie un fichier bootstrap qui associe les préfixes alloués au registre compétent, et il est plus petit qu’on ne l’imagine : ipv4.json pesait 5 629 octets et ipv6.json 1 476 octets, mesurés le 2026-09-20. En garder une copie locale ne coûte donc rien.

Deux détails décident si la réponse est exploitable. La correspondance de préfixe doit retenir la plus longue et non la première, car une petite plage dans une ancienne grande allocation relève souvent d’un autre registre que son parent. Et l’adresse abuse doit provenir du contact qui porte le rôle abuse, pas du premier contact de la réponse RDAP. L’outil renvoie la boîte mail, le bloc réseau, le titulaire, le pays et un brouillon de signalement déjà rempli avec les faits connus. Rien n’est envoyé depuis la page.

Comment les en-têtes de sécurité sont-ils notés, et pourquoi max-age=0 est-il pire que rien ?

Les listes de contrôle comptent souvent chaque en-tête manquant comme une croix rouge. Une Permissions-Policy absente n’est pas un problème de la même taille qu’une Content-Security-Policy absente, la note est donc pondérée : CSP 25, HSTS 20, protection contre le framing 15, X-Content-Type-Options 15, Referrer-Policy 10, Permissions-Policy 10, et 5 pour la divulgation de version via Server ou X-Powered-By.

• max-age=0 est sanctionné plus sévèrement qu’un en-tête HSTS absent. C’est la méthode documentée pour désactiver HSTS : chaque visiteur repasse en HTTP non chiffré lors de sa prochaine première requête. Un site qui n’a jamais envoyé l’en-tête n’a au moins jamais rien promis.
• frame-ancestors compte comme protection contre le framing. C’est le remplaçant spécifié de X-Frame-Options, et un site qui le définit correctement ne perd pas de points parce que l’ancien en-tête manque.
• Chaque constat nomme la directive à modifier, pas seulement l’en-tête manquant.

La vérification e-mail suit la même idée. L’authentification décide si quelqu’un d’autre peut envoyer des e-mails au nom de votre domaine, donc DMARC compte 25 points, SPF et DKIM 20 chacun, DNSSEC 15, MTA-STS 12 et TLS-RPT 8. BIMI compte 0 par choix : c’est un logo, et il ne change rien à la confiance accordée à un message. Chaque pondération et sa raison figurent sur la page de notation des outils.

Quelles sont les limites quotidiennes des outils gratuits ?

Les neuf outils du navigateur partagent un budget quotidien : 30 vérifications sans compte, comptées par adresse IP, et 100 vérifications une fois connecté, comptées par utilisateur. Le même budget couvre la Tools API, 17 endpoints publics sous /wp-json/ridns/v1 qui ne demandent pas de clé.

Le 2026-09-20, 130 865 des 766 987 adresses de la base étaient en IPv6. C’est pourquoi la vérification des blacklists inverse les adresses IPv6 au format nibble défini par la RFC 5782. Elle interroge douze zones ; neuf répondent pour l’IPv6, et pour les trois autres le résultat indique « non applicable » au lieu d’un échec silencieux.

Le DNS Checker interroge environ 100 résolveurs dans plus de 50 pays sur six continents. Son Migration Monitor répète une requête jusqu’à ce que la nouvelle valeur apparaisse partout, au plus une fois toutes les 12 secondes par domaine et type d’enregistrement.

Les outils gratuits enregistrent-ils vos recherches ?

Oui, dans deux journaux aux finalités différentes. Pour les statistiques, chaque recherche est enregistrée avec votre saisie (domaine, adresse IP ou numéro d’AS), un hash pseudonyme du visiteur et, si vous êtes connecté, votre identifiant utilisateur. Ces entrées sont conservées jusqu’à un an.

Pour prévenir les abus, un second journal conserve votre adresse IP complète avec la saisie et le résultat, puis la supprime au bout de 30 jours. Le compteur de la limite quotidienne expire au bout d’un jour. Seul le DNS Checker met les résultats en cache, pendant 90 secondes : la même question posée deux fois dans cet intervalle reçoit la réponse enregistrée. Le détail figure à la section 7a de la politique de confidentialité.

Aucun outil ne contacte une adresse que vous saisissez, et aucun outil ne dépose de signalement en votre nom. La seule exception à la première règle est Security Headers, qui récupère la page indiquée parce que c’est précisément elle qu’il vérifie.

Questions fréquentes sur ces vérifications

Une confirmation directe échouée signifie-t-elle que le robot est faux ?

Seulement pour les robots dont l’opérateur publie des noms PTR. Pour Googlebot, Bingbot, Applebot, YandexBot et Baiduspider, un échec est un signal fort de contrefaçon. Pour GPTBot, OAI-SearchBot, ClaudeBot, PerplexityBot et DuckDuckBot, il est attendu, car ces opérateurs publient des listes d’adresses, et c’est la liste qui fait foi.

Pourquoi le contact abuse diffère-t-il de ce qu’affiche WHOIS ?

WHOIS renvoie du texte libre et le plus souvent l’allocation la plus large. RDAP renvoie des données structurées, et la recherche suit la chaîne jusqu’à l’allocation la plus précise. C’est en général un bloc plus petit, géré par l’opérateur le plus proche de la machine, avec sa propre boîte abuse, celle qui peut agir sur un signalement.

Un réseau avec beaucoup de signalements est-il forcément malveillant ?

Beaucoup de signalements ne suffisent pas à rendre un réseau malveillant. Deux des réseaux les plus denses des données sont les services de scan ONYPHE (226,1 signalements par adresse) et Censys (265,8). Ils scannent Internet volontairement. Les signalements par adresse montrent où l’abus se concentre ; leur sens dépend encore du contexte de l’opérateur.

Puis-je utiliser les outils gratuits depuis un script ?

Chaque outil du navigateur est aussi un endpoint REST public, 17 au total, sous /wp-json/ridns/v1, sans clé ni compte. Les endpoints partagent le budget quotidien des outils du navigateur : un script obtient donc 30 vérifications par jour et par adresse IP. Paramètres et réponses figurent dans la référence de la Tools API.

Pour aller plus loin

• Tous les outils gratuits, sans compte
• Les méthodes de vérification derrière les contrôles de cet article
• Guide de délistage IP si votre propre adresse est listée
• Webhooks du Honeypot Server pour transmettre les détections à vos propres systèmes
• Produits ReportedIP pour un volume supérieur au budget gratuit

Toutes les valeurs de base de données et DNS de cet article ont été mesurées en production le 2026-09-20 et portent cette date, afin de pouvoir les comparer aux données actuelles.