_{Lire dans une autre langue: English · 简体中文 · 繁體中文 · 日本語 · 한국어 · Русский · Українська · Deutsch · Français · Español · Português (Brasil) · Italiano · Nederlands · Polski · Čeština · Slovenčina · Magyar · Română · Български · Srpski · Hrvatski · Ελληνικά · Türkçe · Azərbaycanca · Қазақша · Oʻzbekcha · فارسی · العربية · עברית · हिन्दी · বাংলা · اردو · தமிழ் · తెలుగు · मराठी · മലയാളം · ไทย · Tiếng Việt · Bahasa Indonesia · Bahasa Melayu · Filipino · မြန်မာ · Kiswahili · Svenska · Dansk · Norsk · Suomi · ქართული · Հայերեն · नेपाली}

Base de fraude IP, reconstruite toutes les 30 minutes

1 651 503 adresses IP malveillantes confirmées et 546 réseaux fortement abusifs. Chaque adresse notée, catégorisée et confirmée au moins deux fois de façon indépendante.

_{Licence MIT · sans inscription, sans clé d'API, sans limite de requêtes · mis à jour le 03.11.2026}

Voici la base ouverte de fraude IP derrière ffraud.com. Chaque adresse qu'elle contient a été observée en train d'attaquer quelque chose, confirmée au moins deux fois de façon indépendante, notée de 0 à 100, puis étiquetée avec ce sur quoi elle a été prise et le type d'infrastructure qu'elle utilise. Les attaquants changent d'infrastructure en permanence : une liste de blocage ne vaut donc que sa dernière mise à jour. Celle-ci est reconstruite toutes les 30 minutes directement depuis le moteur en production. Ce que vous téléchargez est ce qui attaque l'internet en ce moment même. Sans inscription, sans clé, sans limite. À verser tel quel dans un pare-feu, un WAF, un formulaire d'inscription ou une chaîne antifraude.

En bref

• 1 651 503 adresses IP malveillantes confirmées, chacune observée en train d'abuser au moins deux fois de façon indépendante
• 546 réseaux dont les adresses que nous avons observées étaient très majoritairement malveillantes et fortement liées à des proxys
• 224 884 domaines de messagerie jetables sont également livrés dans ce dépôt : un seul clone couvre les deux moitiés d'un contrôle à l'inscription
• Chaque adresse porte un score de 0 à 100, une catégorie de menace et le type d'infrastructure lorsqu'il est visible
• Reconstruite et publiée toutes les 30 minutes. L'historique des commits fait office de journal des modifications, et metadata.json contient l'heure exacte de construction
• Licence MIT, usage commercial compris, aucune attribution requise
• Du CSV et du TXT bruts. Aucune archive à décompresser, aucun schéma à apprendre, aucune bibliothèque à installer

Les fichiers ou l'API ?

Ce dépôt est le noyau confirmé de FFraud : les adresses que nous avons prises en train d'attaquer au moins deux fois, chacune avec un score, une catégorie et le type d'infrastructure. Il est fait pour bloquer en masse les attaquants connus. L'API gratuite répond pour chaque adresse et en sait bien plus :

	Ce dépôt	L'API
Adresses	Attaquants confirmés uniquement	N'importe quelle adresse, y compris celles confirmées une seule fois
VPN, proxy, Tor, datacenter	Uniquement pour les attaquants listés	Pour chaque adresse
Quand elle était active	Aucune date	Première vue, dernière vue, abus récent
Pourquoi elle est signalée	La pire catégorie	Chaque étiquette de menace et une explication rédigée
Contexte réseau	Non inclus	Le voisinage /24, l'ASN, le propriétaire, le contact abuse WHOIS, la localisation

Jamais publié, volontairement

• Qui a signalé une adresse, et les preuves envoyées: les signalements nous sont faits en toute confidentialité.
• Les adresses confirmées une seule fois: un signalement est une affirmation, pas une preuve. L'API en tient déjà compte ; cette liste attend une deuxième confirmation indépendante.
• L'emplacement de nos capteurs: un honeypot ne fonctionne que tant que les attaquants ignorent que c'en est un.
• Quels fournisseurs d'accès ont des clients infectés: un tel classement serait une liste de cibles pour les criminels. Le fichier des réseaux ne cite que de petits réseaux où presque chaque adresse observée était abusive.

Utilisez ce dépôt pour bloquer les attaquants connus. Utilisez l'API pour décider au sujet d'un visiteur précis. Les deux sont gratuits.

Ce qu'il y a dedans

Fichier	Lignes	De quoi il s'agit
threat-ips/confirmed-abusive.csv	1 651 503	Adresses malveillantes, chacune confirmée au moins deux fois, avec notre score de 0 à 100, la catégorie de menace (c2, logiciel malveillant, botnet, force brute, attaque web, scanner, hameçonnage, spam) et le type d'infrastructure (proxy, vpn, tor, datacenter, mobile) lorsqu'il est connu
asn-reputation/high-abuse-networks.csv	546	Réseaux dont les adresses observées étaient très majoritairement malveillantes et fortement liées à des proxys : la signature de l'hébergement à toute épreuve
disposable-email-domains.txt	224 884	Domaines de messagerie jetables et temporaires, un par ligne
ip-intelligence/examples.json	échantillon	Renseignement complet par adresse : le score, un motif en français clair et toutes les catégories associées
metadata.json	—	Compteurs à jour et heure de construction en UTC, pour qu'un script sache si sa copie est fraîche

Ce que dit chaque ligne

ip,ffraud_score,confirmations,category,type
80.82.77.33,95,40,c2,proxy
2.57.121.25,95,36,c2,proxy
193.46.255.86,95,33,c2,proxy

Champ	Ce qu'il indique
ip	L'adresse. IPv4 et IPv6 apparaissent toutes les deux
ffraud_score	Notre propre score de fraude de 0 à 100. Tout ce qui est publié ici est à 50 ou au-dessus
confirmations	Combien de fois nous avons observé l'abus de façon indépendante. Rien n'est publié en dessous de 2 ; les pires adresses atteignent 30 à 40
category	Ce sur quoi elle a été prise : c2, malware, botnet, brute_force, web_attack, scanner, phishing, spam ou abuse
type	L'infrastructure derrière elle lorsqu'elle est visible : proxy, vpn, tor, datacenter, mobile. Vide quand nous ne pouvons pas le dire

Démarrage rapide

# IP malveillantes confirmées, avec catégorie et type
curl -s https://raw.githubusercontent.com/FFraud-com/ip-fraud-database/main/threat-ips/confirmed-abusive.csv

# Les pires réseaux
curl -s https://raw.githubusercontent.com/FFraud-com/ip-fraud-database/main/asn-reputation/high-abuse-networks.csv

# Domaines de messagerie jetables
curl -s https://raw.githubusercontent.com/FFraud-com/ip-fraud-database/main/disposable-email-domains.txt

Chaque fichier est du texte brut avec une ligne d'en-tête et quelques commentaires # en tête. Envoyez-le directement dans ipset, iptables, une règle de WAF ou un Set dans le langage que vous utilisez déjà.

Vérifier une seule adresse sans rien télécharger

Pas besoin de prendre toute la base pour vérifier une seule chose. L'API publique ne demande aucune clé, n'impose aucun plafond quotidien et répond à l'unité aux mêmes questions que ce dépôt traite en masse :

# Renseignement complet sur une IP : score, motif, catégories
curl -s https://api.ffraud.com/public/ip/80.82.77.33

# Cette adresse est-elle jetable ?
curl -s -X POST https://api.ffraud.com/public/email/check -H 'content-type: application/json' -d '{"email":"[email protected]"}'

# Ce domaine distribue-t-il des boîtes jetables ?
curl -s https://api.ffraud.com/public/domain/mailinator.com

Pour les agents et les assistants : ffraud.com/llms.txt est l'index destiné aux machines, ffraud.com/llms-full.txt reprend toute la documentation en Markdown brut, et ffraud.com/openapi.json est la spécification OpenAPI. Les trois sont publics, ne demandent aucune clé et sont faits pour être récupérés directement. Si vous préférez une page, les vérificateurs gratuits sont sur ffraud.com/tools.

Comment la base est construite

Deux choses la construisent : notre propre réseau de capteurs pots de miel, attaqué en continu et qui enregistre ce qui l'attaque, et les signalements de ceux dont les serveurs se font frapper. Rien n'est republié sur la seule parole d'un tiers. Chaque adresse est notée et vérifiée par le moteur ffraud avant d'apparaître ici.

Le seuil d'inscription est de deux confirmations indépendantes au minimum, parce qu'une observation isolée n'est que du bruit. Cette seule règle explique pourquoi cette liste est plus courte qu'un amas non filtré et vaut davantage : elle contient les adresses qui attaquaient vraiment, pas tout ce que quelqu'un a signalé une fois.

Le score, la catégorie et le type d'infrastructure sont nos propres conclusions, publiées intégralement pour que vous puissiez les contester. La méthode de notation exacte est détaillée sur ffraud.com/docs/methodology.

Questions

À quelle fréquence est-ce réellement mis à jour ?

Toutes les 30 minutes : reconstruction depuis le moteur en production puis publication ici. Ce n'est pas un export nocturne. La liste des commits de ce dépôt est le relevé honnête, et metadata.json contient l'heure UTC exacte de construction de votre copie.

Puis-je m'en servir dans un produit commercial ?

Oui. MIT : aucune attribution requise, aucune licence commerciale distincte, aucun décompte de postes, personne à qui demander. Si cela vous fait économiser de l'argent, nous serions ravis de l'apprendre, mais vous ne nous devez rien.

Pourquoi mon adresse figure-t-elle dans la liste ?

Parce qu'elle a été observée au moins deux fois en train d'attaquer quelque chose. Cherchez-la sur ffraud.com pour voir le score, les catégories et le motif en clair. Si c'est une erreur, ou si la machine a été nettoyée, dites-le-nous sur ffraud.com/report et elle sera revérifiée à la prochaine reconstruction.

En quoi est-ce différent des grands fournisseurs payants ?

C'est gratuit, sous licence MIT, sans clé ni plafond, et vous pouvez lire exactement pourquoi chaque adresse est listée. Vous pouvez aussi télécharger chaque adresse confirmée dans un seul fichier, ce que la plupart des produits payants ne permettent à aucun prix.

Existe-t-il une API pour les requêtes unitaires ?

Oui, et elle ne demande aucune clé. Voyez la section ci-dessus ou la documentation sur ffraud.com/docs.

Participer

Cette base grandit avec les gens qui s'en servent. Si vous administrez des serveurs, fail2ban, un WAF ou vos propres pots de miel, envoyez-nous ce qui vous attaque et nous le publions : signalez sur ffraud.com/report, pointez fail2ban vers le point d'entrée prêt à l'emploi, ou ouvrez une issue ici. Nous vérifions, dédupliquons et notons chaque envoi ; ce qui est confirmé part dans la prochaine reconstruction, donc en moins d'une demi-heure, avec votre nom si vous le souhaitez.

Une remarque sur la liste des réseaux

high-abuse-networks.csv indique la part des adresses de chaque réseau que nous avons observées en train de se comporter de façon malveillante. C'est une mesure du trafic parvenu à nos capteurs, pas un jugement juridique sur un opérateur, et des hébergeurs sérieux y apparaissent quand leurs clients se conduisent mal. Si vous exploitez un réseau listé et estimez la mesure erronée, dites-le-nous et nous revérifierons à la prochaine reconstruction.

Données ouvertes associées

• Base d'e-mails jetables: notre liste ouverte de domaines de messagerie jetables et temporaires.
• ffraud.com: renseignement gratuit sur la fraude par IP et par e-mail : une API publique sans clé, des vérificateurs en ligne et toutes ces données.

Licence

MIT. Utilisable partout, y compris dans des produits commerciaux. Forkez, redistribuez, montez une activité dessus. L'attribution nous fait plaisir et n'est jamais exigée.

---

_{Construit par [ffraud.com](https://ffraud.com). Du renseignement antifraude gratuit, pour tout le monde.}