Humains, bots, agents. Qui possède cette couche ?

Publié le

2 sept. 2026

Temps de lecture

9 min

La matinée a l’air normale. La conversion a baissé sans pic de trafic humain. Un crawler « officiel » envoie des erreurs 403 depuis deux jours. Une API interne, celle du catalogue, est occupée à une heure où le mobile dort. Trois tickets s’ouvrent. Aucun ne contient les deux autres.

Sécurité voit un challenge qui a « tenu ». SEO voit un crawl qui s’est calmé. Produit voit un stock qui bouge trop vite pour des paniers réels. Chacun a une console. Chacun a une partie de la vérité. Personne n’a la couche.

Ce n’est pas un trou de produit. C’est un trou de structure.

Trois visages, une entrée

Le site premium ne sert plus un visiteur. Il en sert trois, sur le même edge.

Hostile. Scrapers sur les fiches, stuffing sur le login, bots d’inventaire sur le stock. Le projet Automated Threats d’OWASP les nomme comme des événements distincts — OAT-011 Scraping, OAT-008 Credential Stuffing, OAT-021 Denial of Inventory — pas comme un blob « bot ». Les confondre, c’est punir le mauvais flux.

Utile. Googlebot, les crawlers qui alimentent les réponses, les agents d’achat qui terminent un parcours qu’une app a été conçue pour un humain. Les bloquer « pour être sûrs », c’est disparaître d’un index, puis d’une réponse. Cloudflare, depuis le 1er juillet 2026, classe ce trafic en Search, Agent et Training : trois intentions, pas une case.

Interne. Outils non approuvés, agents sur vos APIs, appels à un modèle que le registre sécu n’a jamais vu. L’edge voit déjà ce qui arrive à la porte. Ce qui part vers une API de modèle, souvent non — jusqu’à la facture. Deux portes. Toujours un responsable manquant.

Traiter les agents comme des attaques, et le site s’éteint dans la recherche. Traiter les attaques comme des clients, et le stock, les comptes, la confiance sortent par la même porte. La question n’est pas « bot ou pas bot ». C’est qui décide allow, challenge, block — pour les trois.

Les plateformes ont livré les boutons

Cloudflare Bot Management, les contrôles Search / Agent / Training, AI Gateway. Fastly Bot Management, AI Bot Management, inspection avant le cache et challenges après. Google teste Web Bot Auth pour que certains agents signent leurs requêtes au lieu de se contenter d’un User-Agent.

C’est réel. C’est utile. C’est aussi une console de plus, une ligne de plus, une équipe de plus qui ne décrochera pas à 2 h du matin.

Les knobs ne sont pas la politique. Une règle User-Agent contains bot → challenge est un bouton. Une signature en est un autre : elle prouve qui, pas allow, challenge ou block. Les noms de confiance se prêtent. Distinguer un agent signé d’un headless qui porte le même masque, laisser un crawler de recherche et tenir un stuffing sur /login, vivre avec le résultat quand SEO et sécu ne sont pas d’accord : ça, c’est un métier.

Le 15 septembre, de nouveaux défauts Cloudflare s’appliquent aux nouveaux domaines. Training et Agent bloqués sur les pages avec publicité ; Search autorisé. Les crawlers à usage mixte prennent la règle la plus stricte — bloquer Training, et la recherche peut partir avec. La plateforme vient de faire un choix de politique. Quelqu’un, dans le compte, doit encore en répondre.

Les plateformes continueront de livrer des fonctionnalités. La question, à la rentrée, n’est pas laquelle cocher. C’est qui est responsable quand elles se contredisent.

Ce que nous revendiquons

Optimi n’est pas une nouvelle console. Nous n’hébergeons pas de modèles. Nous ne remplaçons pas Cloudflare ni Fastly : ce sont des partenaires, de l’approvisionnement que nous opérons.

Nous sommes le responsable. Un point d’entrée intelligent devant l’origine. DDoS, WAF, bot, API — managés, pas seulement licenciés. MYO pour voir le trafic non-humain sur des logs non échantillonnés. Une politique écrite : allow, challenge, block, par visage. Et quelqu’un qui reste quand la règle, propre en staging, rencontre le peak.

Nous ne vendons pas la configuration. Les plateformes la rendent self-serve. Nous vendons le jugement, et une gorge à étrangler.

Ce qu’il faut faire maintenant

Pas une démo de logiciel. Une lecture de votre trafic non-humain : ce qui passe, ce qui est challengé, ce qui est bloqué, et qui possède ces trois verbes aujourd’hui.

Si la réponse est « un peu tout le monde, donc personne », vous avez nommé le trou. C’est par là que commence un POV.