Un changement subtil mais significatif s'opère dans la manière dont Internet gère les bots. Le dernier protocole en date est PACT (Private Access Control Tokens), développé par Cloudflare. Il sera implémenté par Google Chrome, Microsoft Edge, Mozilla Firefox et Shopify. Son principe est simple : autoriser les agents d'IA légitimes tout en bloquant les bots malveillants.
L'importance de ce problème réside dans la présence de bots sur Internet, un problème qui ne cesse de s'amplifier.
Le problème des bots s'aggrave.
D'après les données Radar de Cloudflare, les bots automatisés représentent désormais environ 58 % des requêtes HTTP adressées au contenu web. Les visiteurs humains ne représentent donc plus qu'environ 42 % du trafic web. Matthew Prince, PDG de Cloudflare, a évoqué cette tendance début juin. Comme il l'a indiqué, le web est de plus en plus souvent parcouru par des bots dotés d'intelligence artificielle tels que ChatGPT et Gemini.
Le problème, c'est que les techniques de filtrage du trafic utilisées par les sites web sont obsolètes. Captchas, connexion obligatoire, empreinte numérique du navigateur, suivi comportemental : toutes ces techniques supposaient que ce soient des humains qui cliquent sur les liens. Or, lorsque ce sont des agents d'IA qui naviguent, toutes ces techniques deviennent des obstacles, tout en restant inefficaces.
Dane Knecht, directeur technique de Cloudflare, a été très clair sur le problème. Il a expliqué que face à l'augmentation du trafic généré par l'IA, les outils existants pour le gérer sont trop rudimentaires et génériques pour suivre le rythme. PACT est conçu pour offrir à tous, humains ou agents, une expérience plus fluide sans compromettre la confidentialité.
Que fait réellement PACT ?
En résumé, PACT fonctionne en dissociant l'authentification de l'intervention humaine de la divulgation d'informations concernant cette personne. Concrètement, un site ayant déjà établi une relation de confiance avec un utilisateur peut émettre un jeton anonyme à destination de son navigateur. Ce jeton permet ensuite de prouver l'intervention humaine auprès d'autres sites, sans révéler d'informations sur l'utilisateur et sans permettre son suivi par le site destinataire.
Selon Cloudflare, les sites web qui maîtrisent la notion d’« identité » sont considérés comme des émetteurs de ces jetons. Plus précisément, les plateformes auxquelles les utilisateurs font confiance et avec lesquelles ils interagissent régulièrement, comme leurs navigateurs ou leurs boutiques en ligne, émettent ces identifiants anonymes.
Le protocole fonctionne aussi bien pour les visites humaines que pour celles effectuées par des agents. Il ne bloque donc pas tout le trafic automatisé ; il permet plutôt aux sites web de faire la distinction entre un agent IA recherchant un produit et un robot récupérant du contenu ou lançant des campagnes abusives.
Pourquoi Shopify est impliqué
L'implication de Shopify dans le développement de PACT est tout à fait logique compte tenu de l'impact des bots sur les commerçants en ligne.
Dans ce contexte, Ilya Grigorik, ingénieur émérite chez Shopify et ancien responsable du rapport sur l'expérience utilisateur Chrome chez Google, s'est exprimé sans détour : « Dans le commerce, chaque difficulté supplémentaire et chaque faux positif se traduit par un panier abandonné. Les marchands ont besoin d'une véritable protection contre les abus, mais les acheteurs ne devraient pas avoir à surmonter des obstacles supplémentaires ni à subir un suivi intrusif pour finaliser leurs achats. » C'est précisément ce que PACT vise à résoudre.
Grigorik a déclaré que Shopify participe à l'effort visant à aider les millions d'entreprises présentes sur sa plateforme à faire la distinction entre les acheteurs légitimes et les agents d'IA autorisés d'une part, et le trafic abusif d'autre part, le tout sans compromettre la confidentialité des clients.
Où Cloudflare s'intègre-t-il ?
Il est essentiel de définir clairement dès le départ ce qu'est PACT et ce qu'il n'est pas. Avant tout, il ne s'agit pas d'un produit Cloudflare, mais d'un protocole ouvert proposé que Cloudflare entend soumettre à une procédure de normalisation.
Cette distinction est importante car si le protocole est suffisamment largement accepté, il régirait le web multi-agents à l'échelle mondiale, et pas seulement au sein de l'infrastructure de Cloudflare.
Cela dit, Cloudflare n'est certainement pas un acteur neutre. L'entreprise fournit déjà l'infrastructure à une part importante du web. Elle héberge et gère des agents d'IA via la plateforme Cloudflare Agents, achemine le trafic via Cloudflare Tunnels et exploite AI Gateway, plateforme par laquelle différents systèmes d'IA se connectent. Cloudflare ne cache d'ailleurs pas ses intentions, affirmant que l'utilisation de PACT sur son réseau renforce la fiabilité et l'intégrité en ligne sans frais supplémentaires.
Questions qui restent sans réponse
Néanmoins, quelques points restent flous concernant le protocole. Le plus important est la question de la désignation de l'émetteur des jetons d'identité. Selon Cloudflare, les sites disposant d'une connaissance approfondie de l'identité des utilisateurs seront chargés de l'émission des jetons, mais ce critère n'a pas été précisé.
Si la capacité d'émettre des jetons de confiance se retrouve concentrée entre les mains de quelques grandes plateformes, cela soulèvera assurément de sérieuses questions de pouvoir et de responsabilité. Un standard véritablement ouvert doit être accessible aux sites qui n'utilisent pas Cloudflare et aux utilisateurs qui ne sont liés à aucune plateforme majeure.
Security Boulevard a souligné que dans l'énoncé officiel du problème du protocole, actuellement accessible au public, aucune architecture n'a été décrite et aucun calendrier de normalisation ou de déploiement n'a été établi.
Un Internet post-CAPTCHA
L'une des implications les plus notables de PACT, si elle est adoptée, pourrait être la disparition progressive des CAPTCHA sur Internet. Cela peut paraître anodin, mais cela témoigne en réalité d'un changement de perspective important concernant la question de la vérification.
Les CAPTCHA et les connexions obligatoires ont été conçus en partant du principe que le web était destiné aux humains et que les bots étaient majoritairement indésirables. Ce principe n'est plus valable. Les agents d'intelligence artificielle, agissant pour le compte des utilisateurs, sont désormais des acteurs incontournables des activités de navigation, notamment le commerce électronique, la recherche, la réservation de billets, etc. Le protocole PACT a été développé spécifiquement pour ce nouveau contexte où la présence de bots sur le web n'est plus problématique, dès lors qu'elle est justifiée.
Que ce passe t-il après
PACT n'est pas encore opérationnel et aucune date de déploiement n'a été annoncée. Cloudflare et ses partenaires prévoient de poursuivre le développement du protocole et de le soumettre à la normalisation. La participation de Chrome, Edge et Firefox à son développement est un signe très encourageant.
Pour les propriétaires de sites web, les spécialistes du marketing et tous ceux qui travaillent dans le domaine du commerce électronique, il sera intéressant de suivre ce projet, car le mécanisme de vérification des utilisateurs et de leurs représentants par les sites web sera bientôt modifié.
Questions fréquemment posées
Q1 : Qu'est-ce que le protocole PACT de Cloudflare ?
PACT signifie Private Access Control Tokens (jetons de contrôle d'accès privé). Il s'agit d'un protocole proposé par Cloudflare qui permet aux sites web de confirmer qu'une personne physique légitime se cache derrière un agent agissant en son nom, sans pour autant permettre de retracer ni d'identifier cette personne.
Q2 : Qui soutient le développement de PACT ?
Google Chrome, Microsoft Edge, Mozilla Firefox et Shopify, aux côtés de Cloudflare, participent au développement de PACT. Cloudflare prévoit de soumettre ce protocole à une procédure de normalisation.
Q3 : Pourquoi le programme PACT est-il nécessaire maintenant ?
D'après les statistiques de Cloudflare Radar, la part des systèmes automatisés parmi toutes les requêtes web atteint aujourd'hui environ 58 %. Alors que les agents d'IA effectuent de plus en plus de recherches à la place des utilisateurs, les anciens outils comme le CAPTCHA et les murs de connexion créent des obstacles aux actions légitimes et ne parviennent plus à empêcher les acteurs malveillants.
Q 4 : Comment fonctionne PACT sur le plan technique ?
Un site de confiance, ayant déjà établi une relation avec un utilisateur humain, peut émettre un jeton anonyme pour le navigateur de cet utilisateur. Ce jeton permet d'authentifier une personne réelle sur d'autres sites.
Q5 : PACT est-il un produit Cloudflare ?
Non, PACT est un protocole ouvert proposé, et non un produit Cloudflare. Néanmoins, l'infrastructure de Cloudflare est essentielle à la mise en œuvre pratique de ce protocole.
Q 6 : Pourquoi Shopify est-il impliqué dans PACT ?
Shopify participe à la création de PACT car les abus de bots nuisent aux intérêts des marchands. Les faux paiements, les scrapers et les CAPTCHA inutiles sont sources de pertes pour les marchands. PACT vise à aider ces derniers à distinguer les clients légitimes du trafic indésirable sans leur créer de difficultés supplémentaires.
Q 7 : PACT bloquera-t-il tous les bots IA ?
Non, ce n'est pas l'objectif du protocole. Il vise à distinguer les agents autorisés, qui agissent pour le compte d'utilisateurs réels, des robots et des bots qui commettent des abus. L'activité légitime de l'IA sera autorisée.
Q 8 : Quand PACT sera-t-il disponible ?
Aucune date de déploiement n'a été annoncée pour PACT. Cloudflare et ses partenaires prévoient de poursuivre le développement du protocole et de le soumettre à une procédure de normalisation, mais aucune date de déploiement n'a été communiquée.
