Une semaine après leur première réponse et sans autre action de ma part, j'ai reçu aujourd'hui un nouveau mail d'Oxylabs. Je vous le met, avec mon mail original :

Hello,

Thank you for reaching out!

Kindly note that we were able to identify a customer responsible for these requests.

Due to our privacy policy, we are unable to share the clients ' details, who performed these requests; however, we can share that they will no longer be able to access lafibre.info via their proxies.

Please let us know if there is anything else we can assist you with.

Kind regards,

Citation de: moi le 22/10

Hi,

I'm observing some heavy automated traffic that is causing significant disruption on a forum I use (lafibre.info). After investigation, it turns out it's probably emanating from Oxylab's ISP proxies. The biggest clue is that all originating IPs expose ports 40000, 60000, 10801 and 1180, and only those 4 ports. This is typical of Oxylab's proxies.

I'm wondering if you would you be able and willing to identify the entity behind this activity, and share it with me. This is mostly out of curiosity.

Here are some examples of requests that contain a unique path and should be easy to spot in your logs:

Code: [Sélectionner]

Proxy IP        UTC Timestamp             Request Path
=============== ========================= ===================================================================
31.98.1.82      2026-10-19T12:27:37+00:00 /4g-orange/?sort=replies;PHPSESSID=9siq3qe2rj7s5kq4ispo5v5o8c
153.52.219.153  2026-10-19T14:55:11+00:00 /datacenter/?sort=subject;desc;PHPSESSID=rk645qlrtcsoevac7c95evdepn
153.79.114.249  2026-10-19T14:42:19+00:00 /remplacer-sfr/320/?PHPSESSID=g2mb80vuvgqi7aife3u2ncv7ko
If you're curious, here's the thread discussing this issue on the forum (sorry, it's in French): https://lafibre.info/evolution/le-forum-attaque-par-des-ip-free-pro-le-19-octobre-2026/

Thanks,

Intéressant de voir qu'ils ont donc pris une action envers le client de leur propre initiative.

Pour en avoir le cœur net:
- déconnecter le VPN
- aller sur https://ip.lafibre.info/
- indiqué par mp à Vivien https://lafibre.info/profile/?u=306 en étant reconnecté au VPN la situation et l'IPV4 (et IPv6 s'il y a aussi), qui s'affichait lorsque le VPN était déconnecté sur ip.lafibre.info pour qu'il diagnostique ce blocage.


Edit: mise en forme au format liste, et une faute de frappe à un verbe.

Oui de nombreux pays hors d'Europe sont bloqués.

Je suis actuellement en Espagne, donc en Europe. Mais je suis aussi en IPv4 utilisant CGNAT, c’est-à-dire que le FAI assigne la même adresse publique à plusieurs clients en même temps, en utilisant des plages d'adresses privées.

salut,
désolé, j'ai pas lu toutes les pages juste les 8 premières mais je suis aussi confronté à ça sur notre infra.
Mon constat lié à ma petit expérience, sachant qu'on a choisi de mettre cloudflare devant les gros clients donc ca aide :
- la plupart des bots liés au search sont respectueux (google, bing, ...) et respecte le crawl-delay que tu peux ajouter dans un robots.txt donc bloquer bing ou google c'est pas toujours une bonne solution.
Garder en tête que plus un site répond vite et plus le bot augmente le rythme.

- les bots liés à anthropic n'ont aucun respect et moi je bloque le user agent qui se présente comme anthopic (les IP commencent par 216 en général, c'est chez aws je crois). On dépasse les 300.000 requêtes par jour de anthropic chez certains clients. et ca insiste pendant des jours même bloqué.
- filtrage par pays avec maxmind geoip pour filtrer le trafic qui n'a aucun sens sur un site franchophone.
- je filtre les user-agents chrome et firefox inférieur à 1xx (ca filtre les gamins qui scannent avec un vieux script tout pourri)
- je filtre quelques AS qui hébergent de la merde, on le sait, tout le monde le sait.

enfin, on test aussi CrowdSec et sa base d'IP malveillantes.

La dernière chose que j'ai mis en place en test c'est le honeypot. Une IP essaie de lire l'url .env ou .credentials ... t'es ajouté à la ban list.

J'ajoute que j'ai lu aussi que les vrais navigateurs chrome notamment, ont un mécanisme qui permet de les identifier parmi les faux user agent via une requête particulière.
Je l'ai pas exploité encore, mais je crois que Cloudflare Turnstile (le recaptcha cloudflare) utilise entre autre cela.