En bref : détection du credential stuffing en session versus post-connexion
- Le rate limiting par IP était le manuel du secteur, mais les attaques modernes répartissent 50 000 tentatives de connexion sur 50 000 IPs résidentielles, donc vos logs voient une requête par adresse et chaque règle d'alerte reste muette.
- Les identifiants volés motorisent 39% des brèches dans le DBIR Verizon 2026; l'empreinte d'appareil de cside reste stable en navigation privée, VPN et effacement des cookies, dérivée de plus de 100 signaux navigateur, pour que la corrélation multi-comptes révèle l'infrastructure de l'attaquant que la rotation d'IP était censée cacher.
- Avant la prochaine revue fraude, demandez si votre stack de connexion se déclenche sur la réutilisation d'appareil entre comptes, les incohérences d'empreinte TLS et la cadence mécanique de remplissage de formulaires, ou seulement sur les seuils d'IP que les attaquants ont cessé de déclencher il y a des années.
Le credential stuffing est difficile à repérer parce que les attaquants répartissent désormais leurs tentatives de connexion à partir de mots de passe volés sur des dizaines de milliers d'IP résidentielles en rotation, si bien que le rate limiting par IP ne voit chaque adresse qu'une seule fois. Les signaux qui fonctionnent encore sont ceux qu'un attaquant ne peut pas faire tourner à bas coût : l'appareil derrière les requêtes et la façon dont la session se comporte.
Trois de ces signaux révèlent le credential stuffing de manière fiable. Le premier est la corrélation d'empreintes d'appareil entre comptes, lorsque le même identifiant d'appareil apparaît lors de tentatives de connexion sur différents comptes dans une courte fenêtre de temps. Le deuxième est un nouvel appareil sur un compte connu, lorsqu'un compte enregistré se connecte depuis une empreinte d'appareil qu'il n'a jamais utilisée auparavant. Le troisième est une anomalie de contexte réseau, lorsqu'une connexion VPN ou proxy apparaît sur une session qui provenait jusque-là toujours d'une IP résidentielle. Ces trois signaux identifient l'infrastructure et le comportement de l'attaquant, quel que soit le nombre d'adresses IP qu'il fait défiler.
Pourquoi le rate limiting par IP passe à côté de la plupart des attaques de credential stuffing aujourd'hui
Le rate limiting par IP était une défense efficace contre le credential stuffing lorsque les attaques provenaient d'un petit nombre de serveurs. Cette époque est révolue.
Les opérations de credential stuffing modernes utilisent des réseaux de proxys résidentiels qui font tourner les adresses IP à chaque requête. Un attaquant qui lance 50,000 tentatives de connexion les répartit sur 50,000 adresses IP résidentielles différentes. Votre système de rate limiting voit chaque IP exactement une fois et n'agit pas, car une tentative de connexion isolée depuis une IP donnée est indiscernable du trafic normal.
L'attaque aboutit. Les comptes sont compromis. La seule trace dans vos journaux serveur est un nombre de tentatives de connexion légèrement plus élevé, avec une distribution géographique qui imite le comportement d'utilisateurs organiques.
La détection impose de passer à des signaux que l'attaquant ne peut pas faire tourner à bas coût. Les identifiants volés sont impliqués dans 39% de l'ensemble des violations de données (Verizon Data Breach Investigations Report 2026), donc les arrêter au niveau de la couche de connexion avant que les dégâts ne soient faits suppose de s'appuyer sur des signaux qui persistent à travers la rotation d'IP.
Signal 1 : corrélation d'empreintes d'appareil entre comptes
Une empreinte d'appareil est un identifiant stable dérivé de signaux du navigateur : entropie du canvas, caractéristiques de rendu des polices, sortie WebGL, contexte audio, motifs de temporisation et indicateurs de navigateur headless. Contrairement à une adresse IP, une empreinte d'appareil ne peut pas être modifiée en se connectant à un autre proxy. L'environnement de navigateur de l'attaquant reste cohérent d'une requête à l'autre.
Lorsque l'identifiant d'appareil X tente de se connecter sur les comptes A, B, C, D et E dans une fenêtre de 30 minutes, il s'agit d'une attaque de credential stuffing. Chaque tentative prise isolément peut sembler légitime : format de mot de passe correct, géolocalisation cohérente, temporisation raisonnable. La corrélation entre comptes révèle qu'une seule et même infrastructure se trouve derrière ces cinq tentatives.
C'est le signal que la détection par IP manque totalement. L'attaquant fait tourner les IP. L'empreinte d'appareil, elle, reste la même.
Pour le mettre en œuvre, enregistrez l'empreinte d'appareil pour chaque tentative de connexion, puis interrogez l'ensemble des tentatives afin d'identifier les identifiants d'appareil qui apparaissent sur plus d'un certain nombre seuil de comptes distincts dans une fenêtre de temps. Un seul appareil qui touche plus de trois comptes distincts en une heure est un signal à forte confiance. Un seul appareil qui touche dix comptes en trente minutes est presque une certitude.
Signal 2 : un nouvel appareil sur un compte connu
Une empreinte d'appareil nouvelle et non reconnue qui tente de se connecter sur un compte établi de longue date est un signal à haut risque, même lorsque le mot de passe correct est saisi. Un compte qui s'est toujours authentifié depuis la même empreinte d'appareil porte une attente implicite : les connexions futures proviendront de cette empreinte ou d'une empreinte au score de similarité élevé.
Lorsque l'identifiant d'appareil 456 tente de se connecter sur un compte qui a utilisé exclusivement l'identifiant d'appareil 123 pendant deux ans, considérez cela comme à haut risque, même si le mot de passe est correct. La probabilité que l'utilisateur légitime soit passé à un environnement de navigateur totalement nouveau au moment précis où un attaquant détient aussi son mot de passe est faible.
Le signal se renforce considérablement lorsqu'on le combine au contexte réseau. Un nouvel appareil inconnu qui tente de se connecter avec un VPN de centre de données actif, sur un compte qui ne s'est jamais connecté que depuis des IP résidentielles, est l'indicateur individuel le plus fort d'une prise de contrôle de compte ciblée par credential stuffing.
Cette détection nécessite un historique des appareils par compte. Enregistrez l'empreinte d'appareil à chaque authentification réussie. Lorsqu'une nouvelle empreinte apparaît sur un compte à forte valeur ou établi de longue date, signalez-la pour une authentification renforcée ou bloquez-la en attendant une vérification.
Les empreintes d'appareil doivent rester stables dans tous les scénarios que les attaquants utilisent pour masquer leur identité. L'empreinte de cside tient avec une grande précision en mode navigation privée, sur les connexions VPN et après effacement des cookies, dérivée de plus de 100 signaux de navigateur par session. Un attaquant qui efface ses cookies et se connecte via un VPN produit toujours la même empreinte d'appareil.
Signal 3 : contexte réseau associé à la cadence de session
La combinaison de la détection VPN et proxy avec une cadence de session scriptée produit le verdict de credential stuffing le plus fiable, car les deux signaux sont indépendamment difficiles à falsifier et, ensemble, quasi concluants.
Les réseaux de proxys résidentiels permettent aux attaquants de faire tourner de vraies adresses IP domestiques pour échapper au filtrage géographique et au filtrage par réputation d'IP. Les caractéristiques de connexion d'une requête via proxy résidentiel diffèrent tout de même d'une véritable connexion résidentielle. L'empreinte TLS TLS handshake fingerprint analyse les paramètres du handshake TLS, notamment l'ordre des suites de chiffrement et la présence d'extensions, pour distinguer les connexions relayées par un proxy des connexions résidentielles directes.
Un compte qui s'est connecté depuis une véritable IP résidentielle britannique pendant trois ans, puis présente soudainement une empreinte TLS cohérente avec un relais proxy, constitue une anomalie de contexte réseau. À elle seule, elle mérite attention. Combinée à une cadence de session scriptée, elle constitue une preuve quasi certaine d'une attaque automatisée.
Le credential stuffing scripté produit des tentatives de connexion soit à des vitesses inhumaines, soit à des intervalles mécaniquement réguliers. Un humain saisit ses identifiants avec une variation naturelle du délai entre les frappes, des pauses entre les champs et une interaction irrégulière avec le formulaire. Un script remplit les champs instantanément ou à des intervalles minutés avec précision. cside mesure cette cadence dans le cadre de son évaluation de session.
Une session qui présente des caractéristiques TLS cohérentes avec un proxy et une cadence de remplissage de formulaire mécanique, sur un compte sans historique de connexion via proxy, est une tentative de credential stuffing avec une très grande confiance.
Comment cside restitue ces signaux
cside évalue chaque session et renvoie un verdict en temps réel dont les valeurs correspondent directement aux trois signaux de détection ci-dessus.
Il renvoie un identifiant d'empreinte d'appareil stable. Enregistrez-le à chaque tentative de connexion, puis interrogez-le sur l'ensemble des tentatives pour trouver une corrélation entre comptes (Signal 1) et confrontez-le à l'historique par compte pour repérer un nouvel appareil inconnu (Signal 2).
Il renvoie un indicateur VPN et proxy, activé lorsque la session se connecte via un VPN, un proxy de centre de données ou un relais proxy résidentiel détecté grâce à l'empreinte TLS TLS handshake fingerprint. Combinez-le à l'historique du compte pour identifier les anomalies de contexte réseau (Signal 3).
Il renvoie un score de cadence de session qui quantifie à quel point la temporisation des interactions de la session correspond aux schémas humains. Un score de cadence faible associé à un indicateur de proxy actif correspond directement au troisième signal.
La combinaison de ces valeurs vous permet de détecter des attaques de credential stuffing qui seraient invisibles pour le rate limiting par IP, pour un score de bot seul ou pour toute approche à signal unique.
Détection contre prévention
La détection vous indique qu'une attaque de credential stuffing est en cours. La prévention l'empêche de réussir.
Une fois que vous avez identifié une attaque active à l'aide des trois signaux ci-dessus, vous avez plusieurs options : bloquer l'empreinte d'appareil pour toute nouvelle tentative de connexion, exiger une authentification renforcée pour les comptes concernés, invalider toutes les sessions établies pendant la fenêtre de l'attaque et avertir les utilisateurs concernés de réinitialiser leur mot de passe.
Les signaux de détection décrits ici sont les entrées. Votre logique applicative, votre couche d'orchestration antifraude ou votre WAF détermine la réponse.
Pour une approche complète permettant d'arrêter le credential stuffing une fois détecté, consultez le guide de cside pour comprendre et arrêter les attaques de credential stuffing, la page des solutions d'empreinte d'appareil pour découvrir comment ces signaux s'intègrent dans une pile complète, et le cas d'usage de la prise de contrôle de compte pour voir où ils s'insèrent dans une défense ATO.
