Inadéquation de fuseau horaire et de géolocalisation

Définition

Une inadéquation de fuseau horaire et de géolocalisation se produit lorsque les signaux de localisation qu’un site Web peut voir ne racontent pas la même histoire. Le serveur estime un emplacement à partir de l'adresse IP du visiteur ; JavaScript peut lire le fuseau horaire du navigateur (un nom IANA tel que « Europe/Londres ») et le décalage UTC ; et, uniquement avec l'autorisation de l'utilisateur, la géolocalisation API peut renvoyer la latitude et la longitude. Si une connexion semble provenir de Londres alors que l'horloge du navigateur indique New York, la combinaison est inhabituelle et peut être utilisée comme un signal dans une empreinte digitale du navigateur ou une vérification des risques.

Comment ça marche

• L'emplacement IP est déduit côté serveur à partir de bases de données telles que MaxMind GeoIP. MaxMind le décrit comme une zone approximative avec un rayon de précision, pas une adresse : il estime la précision au niveau du pays à environ 99.8%, mais autour de 66% pour les villes américaines situées dans un rayon de 50 km, et note que derrière un VPN ou un proxy, il localise le serveur, pas la personne.
• Le fuseau horaire du navigateur ne nécessite aucune autorisation. new Intl.DateTimeFormat().resolvedOptions().timeZone renvoie le fuseau horaire IANA par défaut du moteur d'exécution, et Date.prototype.getTimezoneOffset() renvoie le décalage par rapport à UTC en minutes (par exemple -60 pour UTC+1), qui change en fonction de l'heure d'été dans les zones qui l'observent.
• Les coordonnées précises proviennent de la géolocalisation API (navigator.geolocation.getCurrentPosition). Il fonctionne uniquement dans des contextes sécurisés (HTTPS), est limité par la politique d'autorisations de géolocalisation et nécessite l'autorisation expresse de l'utilisateur. La spécification W3C indique que les sources peuvent inclure le GPS, le Wi-Fi, les identifiants de cellule et l'adresse IP, et ne donne aucune garantie que le résultat correspond à l'emplacement réel de l'appareil.
• Un site ou un script antifraude peut alors comparer les trois : le pays de l'adresse IP correspond-il au fuseau horaire et les coordonnées partagées se situent-elles dans la zone estimée de l'adresse IP ? Les paramètres de langue et de paramètres régionaux sont parfois également examinés, mais il s’agit de préférences de l’utilisateur et diffèrent bien plus souvent légitimement de l’emplacement.

Pourquoi c'est important

• Lorsque vous acheminez un navigateur via un proxy, seule l'adresse IP change. Le fuseau horaire provient toujours de l'ordinateur, donc un ordinateur portable à l'heure de Paris sur un proxy de Los Angeles montre un écart évident. La documentation d'aide de Multilogin donne exactement ce genre d'exemple pour son paramètre de fuseau horaire "Réel".
• Les navigateurs Antidetect proposent donc généralement de dériver le fuseau horaire et les coordonnées de géolocalisation du profil à partir de la localisation du proxy. Multilogin, par exemple, documente un mode « Masqué » par défaut qui fait correspondre le fuseau horaire au proxy et génère des coordonnées proches de l'emplacement approximatif du proxy, ainsi que des options « Personnalisé » et « Réel ».
• Pour les tâches légitimes (assurance qualité des sites localisés, vérification des publicités, gestion des comptes clients dans différentes régions), le maintien de la cohérence des signaux de localisation évite les pages, les prix et les invites de sécurité qui ne correspondent pas à la région testée.

Limites et idées fausses courantes

• "Un VPN ou un proxy change mon fuseau horaire." Cela modifie l'adresse IP que le site voit ; les valeurs de fuseau horaire et de géolocalisation API proviennent du navigateur et de l'appareil, sauf si elles sont modifiées séparément.
• "Tout décalage est synonyme de fraude." Les voyageurs, les VPN d’entreprise, les réseaux mobiles et les relais de confidentialité produisent tous des décalages honnêtes, et la géolocalisation IP elle-même n’est qu’une estimation. Les sites le considèrent généralement comme un signal parmi tant d’autres.
• "Le blocage de l'accès à la localisation masque ma position." Refuser l'autorisation de géolocalisation retient les coordonnées, mais l'adresse IP et le fuseau horaire sont toujours visibles sans aucune invite.
• "La correspondance du fuseau horaire rend un profil indétectable." Cela supprime une incohérence. Les empreintes digitales combinent de nombreuses autres valeurs (agent utilisateur, polices, Canvas, WebGL, WebRTC) et aucun paramètre ne garantit qu'un compte ne sera pas restreint.

Aucun navigateur ou proxy ne peut garantir que les comptes ne seront pas restreints. Suivez les règles de chaque plateforme.

Sources

• MDN : Géolocalisation API (documentation du navigateur)
• W3C : Géolocalisation (ébauche de recommandation du candidat) (standard)
• MDN : Intl.DateTimeFormat résoluOptions() (documentation du navigateur)
• MDN : Date.prototype.getTimezoneOffset() (documentation du navigateur)
• MaxMind : précision de la géolocalisation (documents du fournisseur)
• Aide Multilogin : Paramètres du profil du navigateur — Section Empreinte digitale (documents du fournisseur)

Vérifié 2026-11-09.

← Tous les termes du glossaire