La Fondation de l’Open Observatory of Network Interference (OONI) a documenté l’ampleur technique des blocages d’adresses IP appliqués en Espagne lors des matches de LaLiga. Son rapport conclut que 554 507 domaines ont été affectés à un moment ou un autre entre janvier et juin 2026, malgré le fait que ces mesures visaient des services précis liés à des retransmissions sportives non autorisées. Le problème ne réside pas uniquement dans le volume, mais aussi dans la méthode : bloquer une IP partagée peut mettre hors service des milliers de sites légitimes qui n’ont aucun lien avec la piraterie.

Les clés des blocages de LaLiga en 30 secondes

• OONI a identifié 554 507 domaines affectés parmi un échantillon de 9,2 millions.
• Le blocage de 4 à 20 IP pendant une heure a rendu inaccessibles plus de 400 000 domaines.
• Les mesures ont concerné 7 441 adresses IP provenant de 36 fournisseurs d’infrastructure.
• Cloudflare a concentré plus de 501 000 domaines affectés en raison d’une utilisation intensive d’IP partagées.
• OONI a également détecté des interceptions TLS sur le réseau de Digi concernant des milliers d’adresses et de domaines.

La protection des droits audiovisuels répond à un intérêt légitime. La piraterie nuit aux opérateurs, clubs, plateformes et titulaires de licences. Cependant, la conception technique des mesures est aussi cruciale que leur objectif. Lorsqu’une action ciblée contre quelques diffusions illégales finit par affecter des médias, des organisations humanitaires, des universités, des services cloud et des outils de développement, le problème dépasse la simple question judiciaire pour devenir une question d’architecture, de proportionnalité et de sécurité du réseau.

L’expérience acquise par divers éditeurs numériques en Espagne confirme que ces effets ne sont pas théoriques. Des sites comme diariodelamancha.com, noticias.madrid et noticias.ai ont subi des interruptions coïncidant avec des fenêtres de blocage, sans héberger de retransmissions sportives ni de contenus liés à la piraterie. Dans certains cas, le site était accessible via un opérateur mais inaccessible via un autre, une situation difficile à diagnostiquer pour les utilisateurs, administrateurs et fournisseurs.

Bloquer une IP ne signifie plus bloquer un site web

Le blocage par adresse IP s’appuie sur une idée qui était mieux adaptée à Internet d’il y a quelques années : un serveur, une adresse et un service. Ce paradigme ne correspond plus à la réalité actuelle d’une grande partie du Web.

Les réseaux de distribution de contenu (CDN), les proxies inverses, les plateformes sans serveur (serverless) et les hébergements partagés permettent à des milliers de domaines d’utiliser une même adresse IP. Le serveur distingue chaque requête par des informations telles que le nom de domaine inclus dans la connexion TLS ou dans l’en-tête HTTP.

Lorsque qu’un opérateur bloque cette adresse IP complète, il ne suspend pas uniquement le service ciblé, mais coupe aussi l’accès à tous les autres clients partageant cette même porte d’entrée.

OONI a analysé des mesures de connectivité en Espagne entre le 1er janvier et le 1er juin 2026, associées à des balayages DNS de 9,2 millions de domaines. Les chercheurs ont comparé l’accessibilité observée depuis des réseaux espagnols avec un point de contrôle à Francfort, et ont considéré qu’une IP était bloquée lorsque le taux d’échec en Espagne était élevé, tout en restant accessible de l’extérieur.

L’étude a identifié 7 441 IP bloquées appartenant à 36 fournisseurs et systèmes autonomes. Parmi les organisations affectées, on trouve Cloudflare, Amazon Web Services, Akamai, Alibaba Cloud, Microsoft et Meta.

La répartition est particulièrement révélatrice. Cloudflare a concentré 501 305 domaines affectés, soit 90,4 % du total, sur 2 218 IP. Squarespace a enregistré 18 592 domaines sur une seule IP. Amazon, en revanche, répartit ses services sur 4 286 IP, avec 11 647 domaines.

Cette différence reflète deux modèles d’infrastructure. Cloudflare et Squarespace placent de nombreux domaines derrière un nombre réduit d’adresses partagées, tandis qu’Amazon distribue une plus grande partie de ses services via des équilibrages de charge, des distributions et des IP indépendantes. Ainsi, le blocage d’une IP Cloudflare peut causer un dommage bien plus étendu que celui d’une IP spécifique à un service précis.

En une fenêtre d’une heure, il a suffi de bloquer entre 4 et 20 adresses IP pour affecter plus de 400 000 domaines. Chez Telefónica, certains créneaux ont concernés jusqu’à 478 052 domaines, et chez Orange, 477 965.

Les médias, universités et services de développement aussi touchés

OONI ne s’est pas limitée à compter les adresses IP. Son rapport a aussi examiné quels domaines pointaient vers les IP bloquées, et a trouvé une liste très éloignée du football illégal.

Parmi les affectés, figurent des sections d’Amnistie Internationale, Greenpeace, Transparence Internationale, UNICEF, le HCR, Cáritas et Mercy Corps. S’y ajoutent des sites du Sénat australien, des organismes publics, des médias, des universités et des publications académiques.

L’infrastructure technique n’a pas été épargnée. OONI a identifié des impacts sur des points d’accès Amazon S3, le registre Terraform, Linux Mint, Qubes OS, et une copie miroir de Debian. Pour un développeur ou une entreprise tech, un tel blocage peut empêcher le téléchargement de dépendances, le déploiement de code, l’accès à des ressources statiques ou la réalisation d’intégrations automatisées.

Cet impact est particulièrement critique dans les systèmes distribués. Un site peut charger correctement le HTML principal, mais échouer à charger des images, scripts, fontes ou API hébergés ailleurs. Du point de vue de l’utilisateur, le site semble cassé, alors que, du point de vue du serveur, celui-ci fonctionne normalement et ne signale aucune panne globale.

OONI distingue aussi les blocages complets des blocages partiels. Dans ce dernier cas, seules certaines IP sont affectées, ce qui ne signifie pas nécessairement que le service reste accessible : cela dépend de la quantité de mesures disponibles concernant d’autres IP.

La méthodologie de l’étude tend toutefois à sous-estimer l’impact réel. Les mesures d’OONI dépendent de volontaires, ne couvrent pas toutes les réseaux ni toutes les IP, et la liste de 9,2 millions de domaines ne représente qu’une partie d’Internet. Les chercheurs estiment que ces 554 507 domaines constituent une limite inférieure.

L’interception TLS chez Digi, un problème de sécurité supplémentaire

La découverte la plus préoccupante ne concerne pas le TCP, mais la détection d’interceptions TLS Man-in-the-Middle sur le réseau de Digi Mobil.

TLS est le protocole qui sécurise les connexions HTTPS. Lorsqu’une session s’établit, le serveur présente un certificat permettant de vérifier son identité. OONI a identifié dans le réseau de Digi un certificat auto-signé, non conforme aux sites demandés, contenant des références génériques telles que core1.netops.test.

Ce phénomène a concerné 7 334 IP de 14 systèmes autonomes, associées à 10 759 domaines. Contrairement à l’analyse basée sur des échecs TCP, la seule présence d’un certificat injecté suffit à démontrer une interception par un système intermédiaire.

Cela ne signifie pas nécessairement que l’opérateur puisse lire le contenu chiffré. Un navigateur moderne devrait rejeter ce certificat invalide et afficher une alerte de sécurité. Pourtant, la connexion a été interceptée et remplacée par une autre réponse, ce qui soulève des questions techniques et juridiques.

La nuance est importante. Un blocage classique empêche d’accéder à une adresse précise. Une interception TLS intervient dans le processus d’authentification du serveur, modifiant potentiellement la chaîne de confiance. Même si elle sert à empêcher l’accès, cette méthode affecte un mécanisme clé de confiance sur Internet.

OONI indique également que l’application de ces mesures varie selon les fournisseurs. Telefónica a été parmi les opérateurs bloquants les plus réguliers, tandis que d’autres réseaux ont montré une activité plus intermittente. En général, les restrictions débutent peu avant le début des matches et s’arrêtent après leur fin, ce qui limite l’impact en dehors des retransmissions sportives, mais ne résout pas la problématique fondamentale : des services légitimes partagent souvent la même infrastructure et restent affectés durant ces fenêtres.

Une lutte contre la piraterie nécessitant des mesures plus ciblées

Le blocage par IP peut être utile contre des services qui changent fréquemment de domaine, qui n’ont pas de nom public ou qui utilisent des fournisseurs peu coopératifs. C’est aussi une technique simple à déployer au niveau du réseau d’accès.

Sa faiblesse majeure réside dans son manque de précision lorsque l’adresse IP est partagée. Les documents européens sur la piraterie lors d’événements en direct ont eux-mêmes souligné ce risque, recommandant d’exclure certains plages d’hébergement partagé, de limiter la durée des mesures, et d’éviter des restrictions plus larges que nécessaires.

Le cas espagnol montre que limiter le blocage aux horaires des matchs n’est pas suffisant. La mesure peut rester temporaire mais demeurer disproportionnée compte tenu du nombre et de la nature des services affectés.

Il manque également de la transparence opérationnelle. Les administrateurs de sites bloqués ignorent souvent qui a ordonné la restriction, quelle IP a été incluse, pour combien de temps, et comment faire appel. Il revient alors à l’intéressé d’enquêter pour comprendre s’il s’agit d’une panne, d’un problème DNS, d’une défaillance de leur CDN ou d’une restriction opérée par un fournisseur.

Un système plus précis devrait inclure un inventaire à jour de l’infrastructure partagée, une validation préalable des cibles, des canaux de recours rapides, et des audits indépendants. Il conviendrait aussi de distinguer clairement la décision judiciaire de sa mise en œuvre technique : autoriser le blocage de ressources contrefaites ne devrait pas signifier accepter n’importe quelle méthode employée pour le faire.

Protéger la propriété intellectuelle et garantir un accès libre à Internet ne sont pas incompatibles. Le défi consiste à utiliser des techniques capables de distinguer le service ciblé parmi des milliers de domaines partageant le même fournisseur, réseau ou adresse IP. Les données d’OONI indiquent que cette distinction n’est pas encore réalisée avec la précision nécessaire.

Questions fréquentes

Combien de domaines ont été affectés par ces blocages ?

OONI a identifié 554 507 domaines affectés à un moment ou un autre entre janvier et juin 2026, dans un échantillon de 9,2 millions.

Pourquoi une seule IP peut-elle bloquer des milliers de sites web ?

Parce que des fournisseurs comme Cloudflare, Squarespace et certaines plateformes cloud hébergent de nombreux domaines derrière une même adresse. Le serveur les différencie via le nom du domaine dans la requête.

Qu’a détecté OONI sur le réseau de Digi ?

L’étude a trouvé un certificat TLS auto-signé injecté dans des connexions vers 7 334 IP, associées à 10 759 domaines. Cela confirme une interception de la connexion par un système intermédiaire.

Les blocages ont-ils été actifs en permanence ?

Non. La plupart du temps, ils s’activaient peu avant le début des matchs et disparaissaient après. Toutefois, durant ces fenêtres, l’impact sur les services légitimes était étendu.