Passer au contenu principal
TRAFIC INCONNU

Rendre visible le trafic automatisé inconnu

La plupart des applications ne peuvent pas déterminer ce qu'est une grande partie de leur trafic automatisé. Proof of Actor maintient ce trafic visible comme une classe à part entière, afin que vous puissiez le mesurer, le réduire et le traiter de manière délibérée.

Obtenir un accès anticipéDécouvrir le fonctionnement
Toshendra Sharma

Par Toshendra SharmaFondateur et CEO, AgentCredia · Updated November 13, 2026

Le trafic que personne ne peut nommer

Regardez de près les logs d'une application et vous trouverez des requêtes qui résistent à l'explication. Elles proviennent de clients sans contexte de navigateur. Leurs chaînes user-agent sont génériques, vides ou copiées depuis un navigateur populaire. Ils ne signent pas leurs requêtes. Ils ne disent pas qui les a envoyées. Certaines sont des scripts inoffensifs. Certaines sont des agents qui travaillent pour de vrais utilisateurs. Certaines sont des outils que vous préféreriez ne pas servir du tout.

Il s'agit de trafic automatisé inconnu, et la plupart des équipes le gèrent de l'une de deux façons. Soit il est discrètement compté comme humain, ce qui fausse les analyses et laisse passer des activités risquées, soit il est traité par défaut comme hostile, ce qui bloque des utilisateurs et des agents légitimes avec tout le reste. Les deux approches partagent le même défaut: elles remplacent des preuves manquantes par une supposition.

Proof of Actor adopte le point de vue inverse. Si les preuves ne permettent pas une détermination fiable, la bonne réponse est Unknown, et Unknown doit rester visible, mesurable et traité intentionnellement. L'article de blog why Unknown is a valid result for AI traffic présente l'argument complet.

Pourquoi Unknown est un résultat de première classe

Proof of Actor classe chaque interaction dans l'une des quatre classes: Human, Human + AI, Agent ou Unknown. Unknown n'est pas un état d'erreur ni une lacune du produit. C'est un résultat délibéré avec un sens précis: les preuves disponibles ne permettent pas une détermination fiable.

Cette honnêteté a des avantages pratiques.

  • Vos analyses restent exactes. Les comptes Human et Agent n'incluent que les interactions appuyées par des preuves, ils signifient donc exactement ce qu'ils disent.
  • Votre couverture est mesurable. La part de Unknown sur chaque route vous indique précisément où vous avez besoin de plus de preuves.
  • Vos politiques sont plus sûres. Les cas incertains sont envoyés vers un repli que vous avez choisi, au lieu d'être traités silencieusement comme fiables ou bloqués par hypothèse.

Unknown n'est jamais converti en Human, et il n'est jamais traité comme malveillant par défaut. Vous pouvez en savoir plus dans l'entrée de glossaire Unknown classification, dans Detection & Limitations, et dans why Unknown is a valid result for AI traffic. Les cas d'usage websites et APIs montrent comment les équipes définissent des replis Unknown en pratique.

D'où vient le trafic automatisé inconnu

Comprendre les sources vous aide à décider comment le traiter.

Clients automatisés non signés

La signature des requêtes avec HTTP Message Signatures, définie dans RFC 9421, est facultative, et le groupe de travail IETF Web Bot Auth working group est encore en train de normaliser la manière dont les clients automatisés devraient s'authentifier de cette façon. Sans signature, l'identité d'un client repose sur ce qu'il choisit de dire de lui-même.

User agents copiés ou génériques

Les chaînes user-agent sont triviales à définir. Un client qui prétend être un navigateur ou un robot d'exploration bien connu peut l'être réellement, ou peut l'imiter. L'entrée user-agent spoofing explique pourquoi cet en-tête, à lui seul, ne peut pas porter une classification. C'est aussi pourquoi les moteurs de recherche documentent des méthodes de vérification distinctes: Google décrit des recherches DNS inverses et directes ainsi que des plages d'adresses IP publiées pour verifying Googlebot, et Bing décrit la même vérification DNS pour verifying Bingbot.

Routes sans intégration

Si une route n'a ni intégration navigateur ni contexte côté serveur au-delà des bases, il y a tout simplement moins à observer. Unknown sur ces routes est le signe d'une couverture, pas d'une menace.

Preuves manquantes ou retardées

Un délai d'attente, un script bloqué ou une requête incomplète peuvent laisser un résultat sans assez de preuves. Proof of Actor le signale honnêtement au lieu de combler l'écart.

Comment Proof of Actor rend Unknown exploitable

Proof of Actor organise son travail autour de trois capacités. Chacune aide à gérer le trafic automatisé inconnu.

Detect: garder Unknown séparé

Les signaux sont vérifiés et étiquetés par base: verified, declared, inferred ou unknown. Lorsqu'ils ne permettent pas une détermination, le résultat est Unknown avec un résumé de ce qui était disponible et de ce qui ne l'était pas. Rien n'est supposé pour rejoindre une autre classe.

Understand: voir où vit Unknown

La vue Understand montre Unknown dans chaque répartition, par route et dans le temps. Vous pouvez voir quelles routes concentrent le plus d'activité inconnue, comment cela évolue après l'ajout d'une intégration et quelles preuves étaient présentes pour chaque interaction. Cela transforme une inquiétude vague en une carte concrète.

Route: choisir le repli par route

Des routes différentes méritent des replis différents. Un point de départ raisonnable pour de nombreuses applications:

  • Pages publiques et documentation: autoriser Unknown avec vos limites de débit standard.
  • Inscription et onboarding: conserver vos contrôles existants, et n'ajouter une review que lorsque vos propres conditions l'exigent.
  • Modifications de compte et autres actions sensibles: s'appuyer sur votre authentification existante et sur vos contrôles step-up, jamais sur une supposition d'acteur.
  • Opérations API à fort impact: exiger les identifiants ou contrôles renforcés déjà pris en charge par votre API.

Le guide sur handling unknown traffic explique comment concevoir ces replis, y compris les choix fail-open et fail-closed pour chaque niveau de risque.

Réduire Unknown au fil du temps

L'objectif n'est pas d'éliminer Unknown du jour au lendemain. C'est de le rendre plus petit chaque mois, pour les bonnes raisons.

  • Ajoutez des intégrations là où cela compte. Une intégration navigateur sur les pages clés et une intégration côté serveur sur les routes clés augmentent les preuves disponibles.
  • Prenez en charge les requêtes signées. À mesure que les opérateurs d'agents adoptent HTTP message signatures, le trafic qui était Unknown devient un trafic Agent vérifié.
  • Enregistrez les déclarations dans votre propre application. Lorsque votre application sait qu'une assistance par IA est impliquée, dites-le. Cette preuve est précise et peu coûteuse.
  • Offrez aux agents une porte d'entrée. Publier un chemin structuré pour les agents les encourage à s'identifier plutôt qu'à se fondre dans le reste.

Comme Proof of Actor suit Unknown par route, vous pouvez voir chacun de ces changements dans les chiffres.

Comment cela fonctionne

Chaque interaction suit le même chemin evidence-first, décrit en détail dans How It Works: votre application reçoit une requête ou un événement, l'intégration collecte les signaux disponibles dans ce contexte, les signaux sont normalisés et classés avec une base explicite, le résultat est enregistré pour l'analytique, et votre application applique sa propre politique ou se contente d'observer.

Les délais d'attente et les télémétries manquantes sont gérés explicitement. Votre intégration utilise le repli que vous avez choisi pour cette route, et le résultat n'est jamais rehaussé en Human parce que les preuves manquaient.

À quoi ressemble une bonne situation après quelques mois

Les équipes qui gèrent bien le trafic automatisé inconnu atteignent généralement le même état sain. Unknown est une quantité connue sur chaque route importante, suivie dans le même tableau de bord que l'activité human et agent. Chaque route dispose d'un repli écrit, défini conjointement par les équipes produit, plateforme et sécurité. Le trafic Agent vérifié augmente à mesure que davantage d'opérateurs signent leurs requêtes, et ces agents sont servis via un chemin structuré plutôt que de scraper des pages. Les actions sensibles sont protégées par l'authentification et les contrôles step-up que l'application accepte déjà, avec le contexte d'acteur comme entrée supplémentaire plutôt que comme gardien.

Le plus important est que personne ne devine. Quand quelqu'un demande quelle part du trafic de la semaine dernière était automatisée, la réponse vient avec sa base: tant de verified, tant de declared, tant de inferred, et tant encore Unknown. C'est un chiffre sur lequel une équipe peut bâtir sa planification. Cela change aussi la conversation avec la direction, parce que la question cesse d'être de savoir si les bots posent problème et devient de savoir quelles routes méritent plus de preuves et quels replis doivent être affinés.

Commencez en mode observation

Proof of Actor ne bloque rien par défaut. En mode observation, les résultats sont enregistrés tandis que votre application répond exactement comme avant. Votre équipe voit combien de trafic automatisé inconnu chaque route reçoit, le compare avec les résultats que vous connaissez déjà, et conçoit des replis fondés sur des schémas réels. Les politiques sont activées route par route, uniquement lorsque votre équipe est sûre qu'elles conviennent.

Rejoignez le Founding Developer Program

Proof of Actor est en private beta. Les équipes fondatrices sélectionnées peuvent recevoir jusqu'à 12 mois d'accès gratuit, dans les limites d'utilisation convenues, en échange de retours produit concrets, avec un support d'intégration direct de nos ingénieurs.

Si le trafic automatisé inconnu brouille vos analyses ou vos décisions de sécurité, apply for early access. Parlez-nous de votre application et des routes pour lesquelles Unknown compte le plus.

Explorez Proof of Actor, lisez how it works, ou voyez what the evidence can establish.

Sources

POUR LES DÉVELOPPEURS

What your code receives

Every interaction resolves to one result record. Your application reads the class and the basis and applies its own policy.

Result record
{
  "route": "GET /api/v1/catalog",
  "class": "agent",
  "basis": "verified",
  "evidence": [
    { "signal": "http_message_signature", "result": "valid", "keyid": "assistant.example" },
    { "signal": "client_declaration", "value": "assistant.example" }
  ],
  "observed_at": "2026-11-13T10:42:07Z"
}
class
Human, Human + AI, Agent ou Unknown.
basis
Niveau de solidité des preuves : Verified, Declared, Inferred ou Unknown.
evidence
Les signaux derrière le résultat, pour que votre équipe puisse voir pourquoi.

Commencez en mode observation : enregistrez les résultats à côté de vos logs et ne changez rien tant que vous n'avez pas choisi une politique. Lire le guide d'intégration Node.js

Questions fréquentes

Qu'est-ce que le trafic automatisé inconnu ?

Il s'agit d'une activité pour laquelle les preuves disponibles n'indiquent pas de manière fiable si une personne, une personne avec l'aide de l'IA ou un agent autonome agit, souvent des clients non signés, sans contexte de navigateur et avec des chaînes user-agent génériques ou copiées.

Pourquoi ne pas simplement bloquer le trafic inconnu ?

Unknown n'est pas synonyme de malveillant. Il inclut des clients légitimes, des navigateurs axés sur la confidentialité et des outils qui ne s'identifient tout simplement pas. Le bloquer systématiquement cause de réels dommages. Un repli délibéré par route fonctionne bien mieux.

Proof of Actor convertit-il parfois Unknown en Human ?

Jamais. Un résultat Unknown reste Unknown, y compris lorsque des preuves manquent ou qu'une vérification expire. Votre politique choisit le repli pour chaque route.

Peut-on réduire le trafic inconnu au fil du temps ?

Oui. Ajouter des intégrations sur davantage de routes, prendre en charge les requêtes signées et enregistrer les déclarations dans votre application font tous passer le trafic de Unknown vers des classes avec une base claire.

Où puis-je voir le trafic inconnu ?

Dans la vue Understand, Unknown a sa propre classe dans chaque répartition, par route et dans le temps, avec les preuves qui étaient disponibles pour chaque interaction.

Savoir qui utilise votre app.

Private beta pour un petit groupe de développeurs fondateurs.

Obtenir un accès anticipéVoir les prix

Vous préférez en parler d'abord ? Parler aux fondateurs