# Chine : comment le Grand Pare-feu traite le trafic des proxys

HTML: https://v2rc.app/fr/learn/china/ · Dernière vérification: 2026-11-06

Ce que montrent les études à comité de lecture sur la détection des proxys et du trafic chiffré par le Grand Pare-feu, et les affirmations de 2026 non vérifiables.

État au 2026-11-06. Les blocages changent d’une semaine à l’autre et diffèrent selon le réseau. Lisez ceci comme du contexte, pas comme une garantie, et consultez les sources à la fin.

Le Grand Pare-feu de Chine est le système de censure le mieux étudié, et cela aide : une partie de ce qu’il fait est documentée dans des articles évalués par des pairs, pas seulement dans des messages de forum. Cet article sépare ces constats des nombreuses affirmations non vérifiées et dit ce qu’ils impliquent pour le choix du protocole.

## Ce que montrent les recherches

- **Sondage actif de Shadowsocks.** Selon les auteurs de l’article de 2023 ci-dessous, la Chine utilisait depuis mai 2019 l’analyse passive du trafic et le sondage actif contre Shadowsocks. L’[étude IMC 2020](https://gfw.report/publications/imc20/en/) décrit comment le système envoie ses propres sondes à un serveur suspect et le bloque s’il répond comme un serveur Shadowsocks.
- **Blocage du trafic entièrement chiffré.** En novembre 2021, le pare-feu a commencé à bloquer les connexions dont le premier paquet ressemble à des données entièrement chiffrées, en temps réel et sans sondage. [Wu et al. (USENIX Security 2023)](https://gfw.report/publications/usenixsecurity23/en/) montrent que le détecteur n’essaie pas d’identifier un protocole. Il commence par exempter les premiers paquets qui ne ressemblent pas à des données aléatoires, par exemple ceux qui commencent par un en-tête de protocole reconnaissable ou qui se composent surtout de caractères imprimables, et bloque ce qui reste.
- **TLS dans TLS.** [Xue et al. (USENIX Security 2024)](https://www.usenix.org/conference/usenixsecurity24/presentation/xue) ont montré qu’un handshake TLS transporté dans une connexion obfusquée trahit un proxy, même avec un remplissage aléatoire. Ils ont construit un classifieur et l’ont testé chez un FAI de taille moyenne. C’est une démonstration de ce qui est détectable. La mesure dans laquelle un censeur l’utilise réellement est une autre question, que les mesures publiques ne tranchent pas.

## Ce que cela implique pour le choix du protocole

| Montage | Le premier paquet ressemble à | Exposition au détecteur de 2021 |
|---|---|---|
| Shadowsocks sans plug-in | Des octets aléatoires | Dans le groupe ciblé |
| VMess sur TCP simple | Des octets aléatoires | Dans le groupe ciblé |
| Trojan, ou VLESS ou VMess sur TLS | Un handshake TLS | Hors de ce groupe ; reste exposé aux contrôles sur l’adresse, le nom du serveur et le certificat |
| VLESS avec REALITY | Un handshake TLS vers un vrai site | Hors de ce groupe ; l’adresse et les motifs TLS dans TLS comptent toujours |

La règle pratique qui découle des articles : **évitez les montages dont le premier paquet a l’air aléatoire, et préférez ceux qui commencent par un vrai handshake TLS.** Le [guide des protocoles](https://v2rc.app/fr/learn/choosing-a-protocol/) présente les options.

## Ce sur quoi vous ne pouvez pas compter

Vous trouverez des publications qui donnent des taux de détection exacts pour REALITY ou pour un chiffrement précis en 2026, ou qui décrivent une escalade datée. Nous n’avons pu en vérifier aucune par une mesure indépendante, et la plupart viennent d’entreprises qui vendent des services VPN. Le pare-feu évolue, et l’hypothèse la plus sûre est que n’importe quel montage peut cesser de fonctionner.

## Les bons réflexes

- **Gardez des configurations de rechange d’hébergeurs différents et actualisez votre abonnement.** Le blocage par adresse est une routine.
- **Ne publiez pas de configurations.** Une adresse partagée est bloquée plus tôt.
- **Derrière un CDN** (VLESS ou Trojan sur TLS et WebSocket), l’adresse propre du serveur est masquée, mais les adresses du CDN peuvent être bridées. Les rapports à ce sujet varient et nous ne l’avons pas mesuré.
- **Testez sur chaque réseau que vous utilisez.** Les réseaux fixes et mobiles peuvent se comporter différemment.
- **Lisez les affirmations d’un œil critique.** « Indétectable » n’est pas une propriété que possède un protocole. C’est une affirmation sur un pare-feu particulier à un moment particulier.

## Sources

- Wu et al. : [How the Great Firewall of China Detects and Blocks Fully Encrypted Traffic](https://gfw.report/publications/usenixsecurity23/en/), USENIX Security 2023
- Alice et al. : [How China Detects and Blocks Shadowsocks](https://gfw.report/publications/imc20/en/), IMC 2020
- Xue, Kallitsis, Houmansadr, Ensafi : [Fingerprinting Obfuscated Proxy Traffic with Encapsulated TLS Handshakes](https://www.usenix.org/conference/usenixsecurity24/presentation/xue), USENIX Security 2024
- [GFW Report](https://gfw.report/) : mesures en cours du Grand Pare-feu