Cloudflare se trouve devant une grande partie du web. Pour de nombreuses équipes, c'est le CDN, le fournisseur DNS, le pare-feu et la première ligne de défense contre les automatisations abusives, tout en un seul endroit. Ses produits bot sont conçus pour cette position : ils voient le trafic tôt, décident s'il doit être challenged ou arrêté, et donnent aux propriétaires de sites le contrôle sur la manière dont les crawlers, y compris les crawlers IA, accèdent à leur contenu.
Votre application doit répondre à une autre question. Une fois qu'une requête a franchi la périphérie, votre code doit savoir qui ou quoi agit pour choisir la bonne expérience. Est-ce une personne, une personne qui travaille avec un assistant IA, un agent agissant pour un client, ou quelque chose que les preuves ne peuvent pas expliquer ? Et à quel point votre code doit-il être certain ?
C'est le rôle pour lequel Proof of Actor a été conçu. C'est une couche ciblée, au niveau de l'application, qui renvoie une classe d'acteur avec une base de preuve explicite, livrée au code qui détient la décision. Cette page compare les deux de manière équitable, en s'appuyant sur la documentation de Cloudflare disponible en novembre 2026, afin que vous puissiez voir où chacun s'inscrit.
La version courte
| Produits bot de Cloudflare | Proof of Actor | |
|---|---|---|
| Conçu pour | Protéger l'infrastructure et le contenu à la périphérie | Donner à votre application un contexte d'acteur pour les décisions produit et politique |
| Où cela s'exécute | Réseau edge de Cloudflare, devant votre origine | Votre serveur, votre couche edge, les pages navigateur approuvées, une HTTP API ou un MCP server |
| Sortie principale | Challenges et actions de règle; pour Enterprise Bot Management, un bot score de 1 à 99 et des champs bot | Human, Human + AI, Agent ou Unknown, plus une base: verified, declared, inferred ou unknown |
| Où la sortie arrive | Règles Cloudflare, analytics et Workers | Code de votre application et analytics des acteurs par route et workflow |
| Personnes assistées par l'IA | Pas une catégorie distincte dans le bot score | Leur propre classe, Human + AI, lorsqu'elle est declared ou observée via une intégration prise en charge |
| Trafic incertain | Score et traitement par des règles edge | Unknown comme résultat de première classe avec un fallback que vous définissez par route |
| Agents signés | Vérification Web Bot Auth et signaux d'agent signé | Vérifications de signature RFC 9421 signalées comme base verified dans votre code |
| MCP servers et appelants API | Protégés comme trafic HTTP à la périphérie | Contexte de l'appelant à l'intérieur du serveur qui traite l'appel d'outil ou la requête API |
| Dépendance au CDN | S'applique au trafic qui passe par le réseau de Cloudflare | Indépendant du CDN que vous utilisez, s'il y en a un |
| Valeur par défaut à l'installation | Dépend du produit et des paramètres que vous activez | Mode observation; rien ne change tant que vous n'ajoutez pas de policy |
Le reste de cette page explique chaque ligne.
Vous cherchez une alternative à Cloudflare Bot Management pour le trafic d'agents IA ?
La plupart des équipes qui cherchent une alternative ne sont pas mécontentes de la périphérie. Elles ont une nouvelle question que la périphérie n'a pas été conçue pour résoudre : un agent IA, une personne assistée par l'IA et un visiteur ordinaire atteignent tous le même formulaire d'inscription, la même route API ou le même outil MCP, et le produit doit les traiter différemment. Voici une séparation simple.
Où Proof of Actor remplace la décision. Si vous utilisez actuellement des bot scores ou des champs bot pour piloter le comportement du produit, par exemple pour étiqueter des soumissions rédigées par IA, orienter des agents vers un endpoint structuré, ou choisir un fallback pour des appelants incertains sur un workflow précis, Proof of Actor est mieux adapté à ce travail. Il renvoie une classe d'acteur, Human, Human + AI, Agent ou Unknown, avec une base de preuve, directement à votre code d'application. La décision de routage et de policy passe dans le code qui connaît déjà le rôle de chaque route, et cela fonctionne de la même manière quel que soit le CDN que vous utilisez.
Où Proof of Actor s'ajoute à Cloudflare. Proof of Actor n'est pas un produit de sécurité réseau. Selon la documentation de Cloudflare en date de novembre 2026, sa protection DDoS détecte et atténue automatiquement les attaques et est disponible sur tous les plans, et son Web Application Firewall vérifie les requêtes web et API entrantes par rapport à des règles gérées et personnalisées. Conservez cette couche. Les attaques volumétriques, les tentatives d'exploitation et les automatisations abusives doivent être stoppées avant d'atteindre votre origine, et Proof of Actor ne cherche pas à faire cela.
La réponse directe à « est-ce une alternative ? » est donc : oui pour la classification d'acteurs et le routage par route dans votre application, et non pour la protection edge contre les DDoS et le WAF. La plupart des équipes de production finissent avec les deux couches, chacune faisant le travail pour lequel elle a été conçue.
À quoi servent les produits bot de Cloudflare
Selon la documentation de Cloudflare en date de novembre 2026, elle propose trois produits spécifiques aux bots :
- Bot Fight Mode, disponible sur le plan Free, qui challenge le trafic bot détecté sur un domaine avec un simple interrupteur.
- Super Bot Fight Mode, pour les plans Pro, Business et Enterprise sans l'add-on Bot Management, qui ajoute des actions configurables par catégorie de bot.
- Bot Management for Enterprise, qui ajoute des bot scores par requête, des règles personnalisées, un traitement par endpoint et des analytics détaillées.
Le bot score est, selon les mots de Cloudflare, un score de 1 à 99 qui indique la probabilité qu'une requête provienne d'un bot, où 1 signifie une très forte confiance que la requête était automatisée et 99 une très forte confiance qu'elle provenait d'un humain. La documentation de Cloudflare indique que les scores granulaires sont disponibles pour les clients Enterprise qui ont acheté Bot Management, tandis que les autres plans voient des résultats groupés tels que automated, likely automated, likely human et verified bot. Les scores peuvent être utilisés dans les règles personnalisées du WAF pour bloquer, challenger ou autoriser des requêtes, et ils sont aussi disponibles dans Workers.
Cloudflare maintient aussi des verified bots, que sa documentation décrit comme des bots ou agents qui sont transparents sur leur identité et leurs actions, comme les crawlers des moteurs de recherche, les services de surveillance et les agents pilotés par l'utilisateur. La vérification repose sur des méthodes comme une signature Web Bot Auth ou une validation IP, ainsi qu'un comportement non abusif.
Pour le trafic IA en particulier, AI Crawl Control donne aux propriétaires de sites de la visibilité sur les services IA qui accèdent à leur contenu, leur permet d'autoriser ou de bloquer des crawlers individuels, et suit dans quelle mesure les crawlers respectent robots.txt. La documentation de Cloudflare le सूची? No. We'll avoid unneeded. It is listed as available on all plans.
Ce sont des outils solides pour le travail pour lequel ils ont été conçus : décider à la périphérie quel trafic automatisé atteint votre origine et votre contenu.
Où chacun s'exécute, et où sa sortie arrive
La différence la plus pratique est l'emplacement.
Les produits bot de Cloudflare s'exécutent sur le réseau de Cloudflare, devant votre origine. Leur sortie arrive là où vivent les contrôles de Cloudflare : les règles personnalisées du WAF, les analytics bot et, selon la référence des variables de bot management de Cloudflare, l'objet request.cf dans Cloudflare Workers. C'est le bon endroit pour décider si une requête doit être stoppée ou challengée.
Proof of Actor s'exécute là où vit la logique de votre application : middleware Node.js, Next.js, la couche edge que vous contrôlez, un collecteur navigateur sur les pages que vous approuvez, une HTTP API générique ou votre MCP server. Sa sortie arrive dans le code de votre application sous la forme d'un résultat structuré, et dans des analytics des acteurs ventilées par route et workflow. Voir les chemins d'intégration pour plus de détails.
Cet emplacement compte pour les décisions produit. Votre code sait à quel workflow appartient une route, si votre propre assistant a effectué une action, si un client s'est déclaré, et quel est l'impact business de cette route. Une décision par route comme « servir l'endpoint structuré à un agent vérifié, garder les personnes sur le parcours normal, étiqueter les soumissions assistées par l'IA » doit être placée à côté de cette connaissance. Proof of Actor place le contexte d'acteur exactement là, et comme il s'exécute dans votre pile plutôt que dans le réseau d'un fournisseur, il fonctionne de la même manière derrière Cloudflare, un autre CDN, ou sans CDN du tout.
Scores contre classe avec base de preuve
Un score est une entrée efficace pour une règle de protection : choisissez un seuil et agissez au-dessus ou au-dessous. Il est conçu pour répondre à la question de savoir à quel point une requête a des chances d'être automatisée.
Les décisions produit ont besoin d'une réponse plus riche. Proof of Actor renvoie l'une de quatre classes :
- Human: des signaux observables indiquent une interaction dirigée par un humain.
- Human + AI: une personne a dirigé l'interaction avec une assistance IA qui a été declared ou observée via une intégration prise en charge.
- Agent: interaction automatisée ou d'origine agent.
- Unknown: les preuves ne permettent pas une détermination fiable.
Chaque résultat porte aussi sa base de preuve: verified, par exemple une RFC 9421 HTTP Message Signature vérifiée par rapport à une clé publiée; declared, lorsque le client ou votre application l'a indiqué; inferred, clairement signalé comme inférence; ou unknown. Votre équipe peut lire chaque résultat et voir la preuve qui le soutient, ce dont vous avez besoin lorsque la décision affecte l'expérience d'un client plutôt qu'une surface d'attaque.
Agents IA, agents signés et personnes assistées par l'IA
Cloudflare a investi dans la vérification des agents. Selon sa documentation en date de novembre 2026, Cloudflare prend en charge Web Bot Auth, une méthode d'authentification qui utilise des signatures cryptographiques dans les messages HTTP, basées sur RFC 9421, pour vérifier les bots et les agents. Sa documentation décrit un signal signed agent, exposé comme le champ cf.bot_management.signed_agent pour les clients Enterprise disposant de Bot Management, et à partir du 1er juillet 2026 un champ d'accès Direct versus Intermediary qui distingue les bots à opérateur unique des services agentiques que de nombreux utilisateurs finaux peuvent exploiter. Cloudflare propose également des politiques d'accès pour les crawlers IA et les agents sur tous les plans.
Proof of Actor traite les requêtes signées comme une partie d'un tableau plus large. Lorsqu'une requête contient une HTTP Message Signature valide vérifiée par rapport à une clé publiée, le résultat est Agent avec une base verified, livré directement à votre gestionnaire de route. Le guide sur la vérification des requêtes d'agents signés montre le flux. Une signature valide prouve quelle clé a signé la requête, pas ce que cet agent est autorisé à faire, donc l'autorisation reste dans votre application, là où elle doit être.
La différence la plus importante concerne les personnes au milieu. Certains de vos utilisateurs travaillent avec un assistant IA à leurs côtés : ils rédigent des tickets de support, remplissent des formulaires, avancent dans l'onboarding. Le bot scoring edge est conçu pour séparer l'automatisation des personnes, et n'a aucune raison de distinguer ce groupe. Votre produit, souvent, oui. Proof of Actor signale Human + AI comme sa propre classe, uniquement lorsque l'assistance est déclarée ou observée via une intégration prise en charge, afin que vous puissiez étiqueter des soumissions rédigées par IA, mesurer la manière dont les utilisateurs assistés par l'IA se déplacent dans un workflow, ou leur offrir un parcours plus fluide. En savoir plus dans l'entrée de glossaire interaction assistée par l'IA.
Unknown est un résultat, pas un seuil
Tout système de détection rencontre du trafic qu'il ne peut pas expliquer. À la périphérie, le trafic incertain est traité par la règle dans laquelle le score tombe. Cela maintient une protection cohérente sur une zone entière.
Dans une application, un seul paramètre s'adapte rarement à toutes les routes. Une requête incertaine vers une page de documentation publique et une requête incertaine pour modifier des identifiants de compte méritent un traitement différent. Proof of Actor renvoie Unknown comme résultat de première classe, suit votre taux Unknown dans le temps, et vous permet de choisir le fallback par route : l'autoriser sur le contenu public, conserver les vérifications existantes sur les changements de compte, l'envoyer en review pour les actions à fort impact. Le guide sur la gestion du trafic Unknown couvre les modèles, et l'entrée classification Unknown explique pourquoi un Unknown honnête vaut mieux qu'une supposition forcée.
MCP servers et API
Cloudflare protège les MCP servers et les API de la même manière qu'il protège tout trafic HTTP qui passe par son réseau. C'est précieux, et cela se produit avant que la requête n'atteigne votre service.
Ce dont un MCP server ou une API a généralement besoin ensuite, c'est du contexte de l'appelant à l'intérieur du gestionnaire : quel agent appelle cet outil, cette identité est-elle verified ou seulement declared, et cet appel d'outil doit-il être allowed, adapté, rate-limit ou envoyé en review. Proof of Actor fournit une intégration MCP server et une HTTP API générique afin que ce contexte arrive là où s'exécute la logique de l'outil ou du endpoint. Voir identification de l'appelant d'un MCP server et le cas d'usage API pour des exemples.
Comment les utiliser ensemble
La configuration la plus solide donne à chaque outil sa propre couche :
- À la périphérie, Cloudflare absorbe les attaques, challenge les automatisations abusives, vérifie les bots connus et applique vos policies de crawler IA.
- Dans votre application, Proof of Actor classe le trafic qui vous atteint comme Human, Human + AI, Agent ou Unknown, avec une base.
- Dans votre code, les policies par route utilisent ce contexte pour allow, adapt, challenge, send for review ou rate-limit, avec un fallback explicite pour Unknown.
- Dans vos analytics, les équipes produit et sécurité voient quelles routes et quels workflows chaque classe d'acteur utilise.
Proof of Actor commence en mode observation, donc l'ajouter derrière Cloudflare ne change rien le premier jour. Vous voyez votre mix réel d'acteurs, vous prévisualisez une policy sur le trafic réel, et vous appliquez l'enforcement route par route. Le guide sur le déploiement sûr de policies conscientes des acteurs l'explique pas à pas. Proof of Actor ne réalise aucun contrôle d'identité, KYC ni biométrie; il signale qui ou quoi agit et vous laisse la décision.
Quand choisir l'un ou l'autre
Choisissez les produits bot de Cloudflare lorsque votre besoin principal est la protection edge: stopper les automatisations abusives avant qu'elles n'atteignent votre origine, challenger le trafic suspect sur une zone entière, et contrôler la manière dont les crawlers IA accèdent à votre contenu.
Choisissez Proof of Actor lorsque votre besoin principal est le contexte d'acteur au niveau de l'application: savoir si des personnes, des personnes assistées par l'IA ou des agents utilisent chaque route, voir la preuve derrière chaque résultat, traiter Unknown délibérément, donner un contexte d'appelant aux handlers MCP server et API, et écrire des policies produit par route qui fonctionnent indépendamment de votre CDN.
Si vous exploitez un site web de production, une API ou un MCP server, vous avez probablement besoin des deux réponses, ce qui explique pourquoi les deux s'intègrent naturellement dans la même pile. Pour une comparaison de catégorie plus large, voir Proof of Actor vs bot management.
Commencer
Proof of Actor est en beta privée. Grâce au programme Founding Developer, les équipes sélectionnées peuvent bénéficier de jusqu'à 12 mois gratuits dans les limites d'utilisation convenues, sans facturation automatique. Demandez un accès anticipé et dites-nous quelle application, API ou quel MCP server vous souhaitez comprendre en premier.
Les détails produit concernant Cloudflare dans cette page sont basés sur la documentation publique de Cloudflare, notamment la référence du bot score et la référence Web Bot Auth, la vue d'ensemble de la protection DDoS et la vue d'ensemble du WAF, en date de novembre 2026.
Cloudflare est une marque déposée de Cloudflare, Inc.