Comment Discord utilise votre adresse IP ?

Une session Discord commence toujours par la même opération : le client ouvre une connexion vers l'infrastructure de la plateforme, qui enregistre au passage l'adresse réseau publique de l'appareil. Cette donnée figure noir sur blanc dans la politique de confidentialité en vigueur depuis le 29 septembre 2025, parmi les informations collectées automatiquement. Connaître la valeur exacte transmise à chaque connexion prend quelques secondes : cliquez ici pour trouver votre adresse IP telle que la voient les serveurs distants. Reste la question qui intéresse réellement les utilisateurs : ce que la plateforme en fait, pendant combien de temps, et surtout qui d'autre y accède. La réponse tient dans une distinction que la majorité des contenus grand public manquent : Discord voit cette adresse en permanence, vos interlocuteurs ne la voient jamais.

Peut-on empêcher Discord de collecter votre adresse IP depuis Données et confidentialité ?

Le menu Données et confidentialité rassemble les réglages relatifs à l'usage des données : personnalisation du produit, contenu sponsorisé, demande d'une copie du compte, suppression définitive. Aucun de ces interrupteurs ne porte toutefois sur l'adresse IP, que la politique de confidentialité, entrée en vigueur le 29 septembre 2025 et mise à jour le 29 août 2025, range dans les informations collectées automatiquement. Sous l'intitulé des informations relatives à l'appareil, l'adresse apparaît aux côtés du système d'exploitation, des données de navigateur et des réglages matériels comme le microphone et la caméra. Aucune formulation ne conditionne cette collecte à un consentement, aucune ne l'assortit d'une option de désactivation.

La raison est mécanique : sans adresse IP, aucun paquet ne revient vers le client, un service en ligne ne pouvant pas répondre à une machine dont il ignore l'adresse. La collecte relève donc de l'exécution du contrat au sens du RGPD, base légale qui ne suppose ni case à cocher ni bandeau de consentement. Pour les résidents de l'Espace économique européen, le responsable de traitement est Discord Netherlands BV, établie à Schiphol, et non l'entité américaine.

Les finalités déclarées vont bien au-delà du routage

La politique organise ses usages par base légale : fourniture du service, tenue des engagements de sécurité, protection contre la fraude et les abus au titre de l'intérêt légitime, personnalisation du produit, diffusion de contenu sponsorisé, respect des obligations légales, protection des intérêts vitaux. Une asymétrie de rédaction mérite d'être signalée, puisque Discord nomme l'adresse IP au moment de décrire la collecte, puis renvoie en bloc à la catégorie des informations relatives à l'appareil pour justifier l'ensemble de ces finalités. Le texte autorise ainsi juridiquement l'usage de l'IP partout, sans pour autant confirmer qu'elle alimente effectivement chaque traitement.

La localisation déduite pilote une partie de l'expérience

Un usage se confirme de façon indirecte mais solide : la politique précise que la valeur par défaut et la disponibilité de certains réglages varient selon des facteurs comme l'âge ou la localisation. Or la plateforme ne demande pas d'adresse postale à ses utilisateurs ordinaires, si bien que la localisation dont elle dispose est essentiellement déduite de l'adresse IP, éventuellement croisée avec les informations de facturation. Cette chaîne explique les régimes différenciés appliqués au Royaume-Uni, en Australie et au Brésil. Elle éclaire également le déploiement mondial de paramètres adolescents par défaut annoncé le 9 février 2026, ainsi que le report de la vérification d'âge généralisée à la seconde moitié de 2026.

Votre adresse IP est-elle visible par l'administrateur d'un serveur Discord ou par ses bots ?

Non, et cette réponse repose sur une propriété d'architecture, pas sur une promesse commerciale. Aucune interface d'administration n'expose les adresses IP des membres, et l'API publique n'en transmet aucune : un bot reçoit des identifiants, des messages, des événements de présence et des rôles, jamais d'adresse réseau.

Un choix d'architecture assumé depuis 2018

Beaucoup d'applications de voix sur IP établissent des connexions directes entre participants. Cette architecture pair-à-pair a une conséquence connue, chaque participant apprenant l'adresse publique des autres, là où Discord a fait le choix inverse. Un billet d'ingénierie signé Jozsef Vass, publié le 10 septembre 2018, explique que la prise en charge de canaux pouvant réunir jusqu'à un millier de personnes impose une architecture client-serveur, le pair-à-pair devenant prohibitif en coût dès que le nombre de participants augmente. Le texte ajoute une justification explicitement liée à la vie privée : faire transiter tout le trafic réseau par les serveurs de la plateforme garantit que l'adresse de l'utilisateur n'est jamais divulguée, en texte comme en voix et en vidéo. Cette propriété neutralise du même coup toute tentative d'attaque par déni de service ciblée.

Le détail technique confirme cette lecture : à l'entrée dans un canal vocal, le client ouvre une connexion WebSocket vers un serveur vocal attribué, composé d'une partie signalisation et d'un relais média appelé unité de retransmission sélective (SFU), écrit en C++. Ce relais reçoit les paquets audio de chaque participant et les redistribue aux autres. Sur le client natif, le mécanisme ICE de WebRTC a même été supprimé : puisque tous les clients se connectent au relais, la négociation de chemin direct n'a plus d'objet.

Une nuance s'impose toutefois : un administrateur peut obtenir une adresse par un chemin détourné, en publiant un lien externe, un fichier hébergé ailleurs ou en lançant une partie sur un jeu fonctionnant en pair-à-pair. Ces vecteurs relèvent du fonctionnement normal du web, pas de Discord, et la parade tient à la prudence sur les liens reçus.

Pourquoi aucun outil ne retrouve une adresse IP à partir d'un identifiant Discord ?

Une recherche sur ce sujet renvoie en première page un écosystème de sites proposant de saisir un identifiant pour obtenir une adresse IP en retour. Ces pages partagent les mêmes signaux : absence d'auteur identifiable, absence de date de publication fiable, aucune source primaire, descriptions techniques incohérentes, contenu produit en volume à des fins de référencement.

La promesse est surtout impossible, un identifiant Discord n'étant qu'un nombre de dix-sept à dix-huit chiffres attribué par la plateforme, sans correspondance publique avec une adresse réseau. L'API n'expose pas cette information, et aucun site tiers n'a accès aux journaux internes de l'entreprise. Le raisonnement structurel achève la démonstration : si un tel outil fonctionnait, il invaliderait la propriété architecturale documentée depuis 2018 et sur laquelle repose la protection anti-déni de service de la plateforme. Une faille de cette ampleur constituerait un événement de sécurité majeur, documenté par des chercheurs et corrigé en urgence. Ces sites ne font état d'aucune vulnérabilité : ils décrivent un fonctionnement nominal qui n'existe pas.

La confusion entretenue par le mécanisme IP Discovery

La documentation développeur décrit une fonction nommée IP Discovery, source de malentendus récurrents. Les routeurs masquant les ports UDP par traduction d'adresse, le client envoie un paquet de 70 octets au serveur vocal, lequel lui répond en lui indiquant son adresse externe et son port. Le sens de la circulation compte : c'est le serveur qui informe votre client de sa propre adresse publique, pour que celui-ci sache sur quel point de terminaison recevoir le flux, sans que rien dans ce mécanisme ne permette d'apprendre l'adresse d'un tiers. Même sur le client web, où l'implémentation navigateur de WebRTC impose de conserver SDP, ICE, DTLS et SRTP, la connexion s'établit vers le relais de Discord. Reste un dernier point, rarement rappelé sur ces pages : obtenir l'adresse d'un tiers par la ruse relève, selon les cas, de la collecte déloyale de données personnelles et du harcèlement.

Avec le chiffrement DAVE des appels vocaux, votre adresse IP reste-t-elle visible ?

Oui, entièrement visible par Discord, dont le protocole DAVE, déployé à partir de septembre 2024, applique un chiffrement de bout en bout à l'audio et à la vidéo, en s'appuyant sur Messaging Layer Security et après un audit du cabinet Trail of Bits. Depuis le 2 mars 2026, tous les appels en messages privés, en groupes, en canaux vocaux et en diffusions Go Live exigent un client compatible, les versions non conformes ne pouvant tout simplement plus se connecter. En revanche, les canaux Stage et les aperçus de diffusion restent hors périmètre.

Le livre blanc du protocole est explicite sur ses limites : les messages de négociation restent chiffrés au niveau du transport entre les membres et la passerelle vocale, sans chiffrement de bout en bout entre membres, ce qui peut divulguer certaines métadonnées. Le document range cette situation, en toutes lettres, hors de son modèle de menace. L'Electronic Frontier Foundation, qui a salué la transparence de la démarche, rappelle par ailleurs que le texte, messages privés compris, demeure en dehors du chiffrement de bout en bout.

La distinction à retenir tient en une ligne : DAVE empêche Discord de connaître le contenu de vos appels, pas de savoir qui parle à qui, quand, pendant combien de temps et depuis quelle adresse IP. Chiffrement du contenu et protection des métadonnées sont deux problèmes séparés, et toute présentation de DAVE comme un outil d'anonymat serait trompeuse.

Combien de temps Discord conserve-t-il l'adresse IP visible dans votre pack de données ?

Le pack de données se demande depuis le menu Données et confidentialité, et la documentation officielle indique que le dossier de compte contient un fichier JSON listant notamment les sessions actives, sur ordinateur, mobile et navigateur, adresse IP incluse. Le délai annoncé est de trente jours, tout comme la durée de validité du lien de téléchargement. Encore faut-il cerner la portée de ce fichier : il documente l'état courant des sessions, ce qui est nettement plus étroit qu'un historique complet des connexions.

Les durées publiées ne nomment pas l'adresse IP

Le constat central est une lacune documentaire vérifiée : aucune durée de conservation spécifique à l'adresse IP n'est publiée. Les mentions de cent quatre-vingts jours ou de deux ans que l'on trouve recopiées de site en site concernent, dans le texte officiel, les adresses de messagerie et les numéros de téléphone. La transposition à l'adresse IP est plausible, puisque empêcher un compte banni de renaître suppose de conserver des identifiants techniques, mais elle n'est appuyée par aucune déclaration.

Le seul chemin fiable consiste donc à exercer ses droits. Une demande d'accès au titre de l'article 15 du RGPD, adressée à [email protected] ou au délégué à la protection des données, est gratuite et produit une réponse propre à votre compte. Un rappel utile pour éviter une confusion fréquente : la conservation d'un an prévue par le code des postes et des communications électroniques vise les opérateurs et les fournisseurs d'accès français, pas Discord, dont l'arbitrage relève du régime général du RGPD.

Que transmet Discord aux forces de l'ordre quand une réquisition cite votre UID ?

Le circuit est documenté avec précision : toutes les demandes gouvernementales passent par un portail dédié opéré par Kodex, accessible après vérification d'une adresse de messagerie officielle. Les divulgations s'effectuent conformément au Stored Communications Act, au Pen Register Act et au Wiretap Act américains. Quant aux demandes de conservation préventive, elles sont honorées quatre-vingt-dix jours, prorogeables une fois.

Deux éléments concernent directement un utilisateur français. Les demandes visant des personnes situées dans l'Espace économique européen doivent être adressées à Discord Netherlands BV. Leur transmission passe, quand la voie est ouverte, par une décision d'enquête européenne au titre de la directive 2014/41/UE, à défaut par les autorités néerlandaises dans le cadre de l'entraide judiciaire. Par ailleurs, la politique affichée consiste à notifier l'utilisateur et à lui transmettre copie de la procédure, sauf interdiction légale, cette notification ne s'appliquant ni aux conservations préventives ni aux divulgations d'urgence.

Vingt-deux ordonnances américaines résultaient de demandes d'entraide provenant de treize pays, dont la France. L'écart entre les taux américain et international ne traduit pas un refus sur le fond : les demandes étrangères directes sont largement renvoyées vers la procédure d'entraide. Ces chiffres couvrent janvier à juin 2024 et doivent se lire comme un ordre de grandeur. Point notable, la plateforme ne publie pas de grille des catégories de données communicables selon le type de procédure : l'inclusion de l'adresse IP dans les données d'abonné s'établit par recoupement, via le contenu du pack de données et via l'incident de 2025.

Le maillon faible est le support, pas le canal vocal

Le 3 octobre 2025, Discord a reconnu la compromission d'un prestataire tiers utilisé pour le support client, sans intrusion dans ses propres systèmes. Environ soixante-dix mille utilisateurs ont pu voir exposées des photographies de pièces d'identité soumises lors de recours sur l'âge, et les catégories concernées incluent noms, pseudonymes, adresses de messagerie, informations de facturation limitées, échanges avec le support et adresses IP. Le prestataire nommé conteste les faits, et la rançon a été refusée. La leçon est nette : l'adresse IP ne vit pas uniquement dans une infrastructure de routage bien conçue, elle est recopiée dans des systèmes annexes dont la surface d'attaque échappe à la protection architecturale. Chaque ticket ouvert auprès du support dépose ainsi une trace durable chez un tiers, l'envoi d'une pièce d'identité restant l'opération la plus exposée du parcours utilisateur.