Qu'est-ce que le Protocole Internet (IP) ?
Le protocole Internet, qu'on appelle presque toujours IP, est ce qui fait tourner l'ensemble du réseau mondial. Sans lui, rien ne circule vraiment : ni vos messages, ni les pages web, ni les flux vidéo, ni les objets connectés. C'est un protocole de couche réseau qui découpe les données en paquets, leur colle une adresse et les pousse d'un routeur à l'autre jusqu'à ce qu'ils arrivent, ou pas.
Et le plus drôle, c'est qu'il a été conçu à une époque où tout le monde se faisait plus ou moins confiance sur le réseau. Du coup, il traîne encore aujourd'hui des faiblesses qu'on retrouve au cœur de pas mal d'incidents de sécurité.
Comment l'Internet Protocol fait voyager les paquets
Tout commence par la commutation de paquets. Au lieu d'ouvrir un chemin dédié comme dans l'ancien réseau téléphonique, IP découpe l'information en petits blocs indépendants. Chaque paquet reçoit un en-tête qui contient l'adresse IP source, l'adresse IP de destination, la taille, un champ protocole qui indique ce qu'il y a dedans (TCP, UDP ou autre) et surtout le TTL, ce fameux Time To Live qui décompte à chaque saut.
Quand le TTL tombe à zéro, le paquet meurt. C'est simple, mais efficace pour éviter les boucles sans fin. Les routeurs, eux, ne connaissent pas le chemin complet. Ils regardent juste leur table de routage et expédient le paquet au prochain bond le plus logique. Le paquet peut très bien prendre un itinéraire différent à chaque fois. C'est pour ça qu'on parle de routage dynamique, géré en grande partie par BGP entre les systèmes autonomes.
Le truc avec IP, c'est qu'il ne promet rien du tout. Il fait de son mieux, point. Pas de garantie d'arrivée, pas d'ordre respecté, pas de correction d'erreur sur le contenu. Juste une vérification basique de l'en-tête via checksum. Si quelque chose cloche, le paquet est souvent jeté sans même prévenir l'expéditeur. C'est le fameux best-effort delivery.
IPv4 contre IPv6 : une transition qui n'en finit pas
IPv4 date des années 80. Avec 32 bits, on avait théoriquement un peu plus de 4 milliards d'adresses. On a très vite compris que ce ne serait pas suffisant. D'où IPv6, normalisé dans les années 90, qui passe à 128 bits et offre un espace d'adressage ridiculement grand.
Le problème, c'est que la bascule reste lente. En juin 2026, les mesures de Google montrent qu'environ 46 à 47 % des connexions vers leurs services se font en IPv6 au niveau mondial. En France, on fait nettement mieux, avec des taux qui tournent souvent autour de 80 % ou plus selon les périodes. Beaucoup d'infrastructures tournent encore en double pile, avec du NAT pour masquer les adresses privées derrière une seule IP publique. Ça marche, mais ça complique la vie des applications et ça rend parfois la traçabilité plus floue.
IPv6 apporte quand même des avantages concrets : plus besoin de NAT dans la plupart des cas, des en-têtes plus simples à traiter pour les routeurs, et un support plus naturel pour IPsec directement dans les extensions du protocole. Sur le papier, c'est mieux. Dans la pratique, la transition continue de traîner parce que tout le monde n'a pas encore tout migré.
TCP, UDP et pourquoi IP ne suffit jamais seul
IP est un protocole sans connexion. Il n'établit rien à l'avance. Il envoie et croise les doigts. Pour avoir quelque chose de fiable, on ajoute TCP au-dessus. TCP crée une session, numérote les paquets, accuse réception, retransmet les perdus et réassemble tout dans le bon ordre. C'est solide, mais ça consomme de la bande passante et ça ajoute de la latence.
UDP reste plus proche de l'esprit IP : rapide, léger, sans prise de tête. Parfait pour la voix sur IP, le streaming en direct ou les requêtes DNS. Mais il hérite des faiblesses d'IP et les expose encore plus. Pas de poignée de main, pas de contrôle de flux, rien. C'est pour ça qu'on l'utilise quand la vitesse prime sur la fiabilité absolue.
Les failles de sécurité qui collent à la peau d'IP
C'est là que le sujet devient vraiment intéressant quand on parle cybersécurité. IP ne vérifie pas l'origine réelle d'un paquet. N'importe qui peut écrire n'importe quelle adresse source dans l'en-tête. On appelle ça l'usurpation d'adresse IP, ou IP spoofing.
Les attaquants s'en servent massivement pour les attaques DDoS par réflexion et amplification. Ils envoient des requêtes à des serveurs ouverts (DNS, NTP, SSDP, etc.) en mettant l'adresse IP de la victime comme source. Les serveurs répondent alors à la victime avec des réponses parfois dix ou vingt fois plus grosses que la requête. La cible se retrouve inondée sans que l'attaquant ait eu besoin d'une énorme bande passante.
On observe encore ce genre de schémas régulièrement. Les botnets restent capables de générer du trafic spoofé, même si beaucoup d'opérateurs ont déployé des filtrages anti-spoofing en entrée (les fameuses recommandations BCP 38 et le filtrage uRPF). Mais tous les réseaux ne sont pas également bien configurés, et les attaques continuent.
D'autres risques existent : l'abus historique du source routing, la facilité de cartographie des réseaux IPv6 quand les adresses ne sont pas randomisées correctement, ou simplement le fait qu'une adresse IP publique donne déjà pas mal d'indications sur la localisation et le fournisseur. IPsec a été conçu pour apporter de l'authentification et du chiffrement directement au niveau réseau, via les en-têtes AH et ESP. Sur IPv6, c'est intégré de façon plus élégante. Mais dans la réalité, la plupart des protections se font encore plus haut dans la pile, avec TLS ou des tunnels VPN.
Vivre avec IP en 2026 sans se faire piéger
On ne va pas réinventer le protocole Internet du jour au lendemain. IP reste la base de tout, et on le sécurise par des couches supplémentaires et des configurations strictes. Chez les opérateurs et dans les entreprises, ça passe par du filtrage rigoureux des paquets entrants, du monitoring des flux anormaux, et une migration progressive vers IPv6 qui réduit certains problèmes de NAT.
Pour les équipes sécurité, le plus important reste de ne pas faire confiance aveuglément aux adresses source. Les pare-feux stateful, les systèmes de détection d'intrusion et les analyses de flux aident à repérer les anomalies. Côté grand public et petites structures, un VPN correct sur les réseaux Wi-Fi ouverts ou douteux reste une bonne habitude, tout comme activer correctement les pare-feux locaux.
Le vrai sujet aujourd'hui n'est plus tellement le protocole lui-même, mais la façon dont on le déploie et le surveille alors que le nombre d'appareils connectés explose avec l'IoT et la 5G. IP n'est pas parfait, il ne l'a jamais été, mais on sait comment le contenir tant qu'on ne lui demande pas d'être ce qu'il n'est pas : un protocole qui garantit l'identité et la fiabilité à lui tout seul.
