Cloudflare : la frontière entre bot et humain est obsolète

Cloudflare déclare dépassée la distinction entre bot et humain. Un visiteur peut flâner dans la boutique en tant qu’humain, un agent finalise l’achat. La confiance est évaluée sur l’ensemble de la session, le risque reste une métrique à part entière.

L’essentiel en bref

À lire aussi :Cloudflare Containers : quand Workers est trop limité

Qu’est-ce que BotBase ? L’annuaire de Cloudflare recensant les bots et agents connus. Il recense l’origine, la finalité et le comportement, y compris ceux des clients qui ne portent pas le sceau Verified. Dans la documentation produit, BotBase figure au sein de Bot Management et est répertorié comme offre Enterprise.

En plein milieu de la session, l’agent prend le relais

Jin-Hee Lee décrit le 7 août 2026 sur le blog de Cloudflare une scène que beaucoup de boutiques connaissent déjà : quelqu’un flâne et place des articles dans son panier, puis un agent prend en charge le paiement. La session reste la même, seul l’acteur change. Qui ne contrôle qu’à la première requête authentifie l’humain et laisse l’agent passer inaperçu.

C’est précisément cette session hybride qui rend l’ancienne logique binaire inutilisable. Un bot peut être utile, un humain peut abuser de la confiance. Les deux peuvent se produire l’un après l’autre au sein d’une même session. Cloudflare en tire une conclusion sans appel : Risk et Trust sont des valeurs indépendantes. Un score de confiance élevé ne dit rien du caractère risqué de l’étape suivante. Un Risk-Score à l’entrée ne dit rien de la trajectoire ensuite, qui peut encore sembler humaine.

Pour les exploitants, cela signifie concrètement : les allowlists basées sur le User-Agent et la plage d’IP perdent de leur force dès qu’un client vérifié transmet la tâche à un autre acteur. La question se déplace de « S’agit-il d’un bot ? » à « Ce visiteur se comporte-t-il comme le sceau le promet ? »

BotBase connaît aussi les visiteurs indésirables

BotBase répond à la question de l’origine. Sur le comportement lors de la session, le tampon ne dit rien. BotBase répertorie tous les agents que Cloudflare connaît, y compris les moins polis. Le sceau « Verified » pose deux conditions : le client se présente honnêtement et n’abuse pas de la confiance obtenue.

Honnête signifie, selon les docs du 1er juillet 2026 : une signature d’authentification cryptographique Web Bot Auth, une liste d’IP publiée avec un User-Agent stable ou un Reverse-DNS. Abus signifie : ignorer le robots.txt, exploser les limites de débit, contourner les consignes. Selon les docs, BotBase distingue l’accès Direct (un seul opérateur) et l’accès Intermediary (de nombreux utilisateurs finaux derrière un même service d’agent). Un agent d’achat que n’importe quel utilisateur peut déclencher porte ainsi une étiquette différente de celle de son propre vérificateur de disponibilité.

La taxonomie va plus loin que Block ou Allow. Search, Agent et Training sont les classes que Cloudflare rend séparément paramétrables depuis le 1er juillet 2026 pour tous les clients, même sans Bot Management Enterprise. S’y ajoutent Transact pour le paiement au nom d’autrui, Data Collection, Security Testing, SEO, Ads Verification, les aperçus sociaux et de liens, le Feed Fetching ainsi que le Monitoring. Un agent qui achète reçoit une classe différente d’un crawler qui s’entraîne.

La restriction figure dans le contrat : le répertoire lui-même est consultable publiquement sur Cloudflare Radar. Qui souhaite utiliser la classification dans ses propres règles de firewall a besoin de Bot Management au niveau Enterprise.

Precursor vérifie au milieu de la session

Precursor comble la lacune laissée par le tampon. Le système injecte du JavaScript via le CDN dès qu’un client l’active. Il évalue en continu si l’interaction semble humaine. Mouvement du curseur, rythme, parcours à travers la page : des signaux qu’un navigateur headless peut reproduire individuellement. Sur plusieurs minutes, il parvient plus rarement à les maintenir crédibles.

Cloudflare a présenté Precursor le 13 juillet 2026, dans le cadre du Bot Management Enterprise. Jusqu’à la disponibilité générale plus tard dans l’année, il reste gratuit. Le blog du mois d’août mentionne la première mesure issue du réseau.

Un comportement suspect se manifeste souvent seulement au milieu de la session. Avec Precursor Trace, Cloudflare met à disposition une démo publique : votre propre mouvement de souris est évalué comme humain ou bot. Le parcours révèle le changement plus clairement que le premier en-tête.

Adaptive Intelligence est actif depuis fin août

La troisième étape s’appelle Adaptive Intelligence : un modèle qui se réentraîne lui-même et remplace les modèles de détection déployés jusqu’ici en versions. Annoncé le 7 août, il a été activé par Cloudflare le 31 août 2026 : les clients Enterprise activent dans le tableau de bord Bot Management l’interrupteur « Auto Update Machine Learning ». Cela libère la première de trois composantes, le réentraînement continu du modèle. Les règles jetables générées automatiquement et l’apprentissage à partir de l’ensemble du trafic réseau doivent suivre. Vers la fin de l’année, Cloudflare annonce des contre-mesures supplémentaires, notamment des actions aléatoires, des extensions d’AI Labyrinth dans les modes Maze, Summary et Poison ainsi que du Queuing pour les bots reconnus comme légitimes.

AI Labyrinth, lui, existe déjà. La documentation du 3 août 2026 décrit des liens Honeypot en Nofollow invisibles qui envoient les crawlers non autorisés dans une impasse. Maze, Summary et Poison sont l’extension annoncée de cet appât, et non l’interrupteur actuel du tableau de bord.

Ce faisant, Cloudflare décide qui est digne de confiance. BotBase classe, Precursor vérifie, Adaptive Intelligence confirme le verdict de lui-même depuis fin août. Les exploitants qui gèrent leur propre Allowlist liront désormais le verdict de Cloudflare. Qui active Precursor laisse du JavaScript tiers dans chaque session. Qui s’identifie honnêtement figure dans l’annuaire avec origine et finalité. Mais le tampon reste l’apanage exclusif de Cloudflare.

Questions fréquentes

Source de l’image : générée par IA (août 2026)

Traduit de l’original allemand par intelligence artificielle. La version allemande fait foi.