Ce qu'est la détection de bots
La détection de bots est l'ensemble des techniques utilisées pour distinguer le trafic automatisé du trafic humain. Elle a une longue histoire dans la sécurité web : stopper le credential stuffing, le scraping, les fausses inscriptions, la thésaurisation d'inventaire et le spam, autant de cas qui apparaissent dans la taxonomie OWASP Automated Threats to Web Applications. Les entrées typiques incluent la réputation des IP, les taux de requêtes, les empreintes des en-têtes et du protocole, les contrôles de l'environnement du navigateur et les signaux d'interaction. Les sorties typiques sont un score ou un verdict, souvent reliés directement au blocage, au défi ou à l'autorisation.
Pourquoi ce modèle a été conçu ainsi
La détection classique des bots s'est développée autour d'une hypothèse simple : le trafic automatisé est le plus souvent hostile, et le rôle du système est de le tenir à l'écart. Cette hypothèse a rendu raisonnable une conception avec un seul score de bot, appliqué à la périphérie. Si une requête semble automatisée, on la défie avec un CAPTCHA ou on la bloque.
Pourquoi ce modèle ne suffit plus
Les applications reçoivent aujourd'hui un éventail d'acteurs bien plus large :
- des personnes qui naviguent normalement,
- des personnes qui travaillent avec des assistants d'IA qui lisent, rédigent ou remplissent des formulaires en leur nom,
- des agents et des crawlers légitimes qui s'identifient, parfois avec des requêtes signées,
- des agents autonomes qui accomplissent des tâches pour des utilisateurs,
- des clients inconnus dont la nature ne peut pas être établie par les preuves.
Un score binaire de bot ne décrit pas cela correctement. Notre article Human, AI-assisted or agent: a practical taxonomy for application traffic présente l'alternative. Bloquer chaque requête automatisée écarte des participants légitimes ; toutes les autoriser supprime un contrôle utile. Et un verdict trop assuré sur des preuves fragiles produit des faux positifs qui touchent de vrais utilisateurs.
En quoi l'intelligence des acteurs diffère
Actor intelligence pose une question plus large : quel type d'acteur est présent, et que montrent réellement les preuves ? Elle se distingue de la détection classique des bots de trois façons :
- Catégories plus riches. Human, Human + AI, Agent et Unknown, au lieu de humain contre bot.
- Base explicite. Chaque résultat indique s'il repose sur des preuves Verified, Declared ou Inferred, ou sur aucune, afin qu'un contrôle cryptographique ne soit jamais confondu avec une supposition comportementale.
- Décisions séparées. Le résultat éclaire la politique de votre application au lieu d'appliquer une décision par défaut. Les équipes observent d'abord, puis décident route par route.
Les deux approches peuvent coexister. Les principaux opérateurs de crawlers prennent déjà en charge des vérifications qui vont au-delà de la chaîne user-agent, comme la vérification des crawlers de Google par reverse DNS et plage d'IP, et les requêtes signées étendent cette idée à n'importe quel opérateur. Pour les signaux que vous pouvez utiliser dès aujourd'hui, voir comment savoir si le trafic d'un site web provient d'agents IA. Les contrôles d'abus à la périphérie restent utiles ; l'intelligence des acteurs donne à l'application elle-même le contexte nécessaire pour concevoir la bonne expérience pour chaque type d'interaction.
Idées reçues fréquentes
- "Les agents ne sont que des bots." Certains sont abusifs ; beaucoup sont des utilisateurs légitimes de votre produit agissant pour le compte de quelqu'un.
- "Un score de bot est un fait." C'est une inférence avec un taux d'erreur. Traitez-le comme une preuve assortie d'un niveau de confiance, pas comme un verdict.
- "Unknown signifie bloquer." Unknown signifie que les preuves sont insuffisantes. Ce qui se passe ensuite doit être un choix explicite, route par route (voir fail open vs fail closed).
Comment Proof of Actor s'intègre
Proof of Actor est une intelligence des acteurs pour les apps, websites, APIs et MCP servers. Detect collecte des signaux et sépare les affirmations vérifiées des inférences ; Understand montre les types d'interaction, les tendances et les preuves ; Route permet à vos propres politiques d'autoriser, d'adapter, de défier, d'examiner ou de limiter des interactions spécifiques. Rien n'est bloqué par défaut.
Découvrez le produit ou demandez un accès anticipé.
Sources
- OWASP Automated Threats to Web Applications: taxonomie des menaces automatisées telles que le credential stuffing, le scraping et la création de comptes
- Google: Verifying Google's crawlers and fetchers: vérification des crawlers publiée par l'opérateur