En bref : comment détecter les bots sur votre site
- Empilez trois couches : Empilez trois couches : réseau (IP, ASN, empreinte TLS), navigateur (empreinte, flags headless), comportement (souris, timing, séquence).
- Une seule couche échoue : Toute couche unique est contournée. Les proxies résidentiels battent la réputation IP. Playwright stealth bat les empreintes de navigateur. Seul le comportement attrape les agents LLM.
- Un score de confiance : Combinez en un score de confiance de session sur lequel vous pouvez agir en direct. Autorisez 0-30, escaladez 31-70, bloquez 71-100.
Peu de temps ? Découvrez la détection d'agents IA de cside. Elle couvre tout ce qui suit en un seul déploiement.
Pourquoi la détection des bots est devenue plus difficile
Les bots traditionnels envoyaient des requêtes HTTP brutes, sans contexte navigateur. Les repérer était simple : chercher des en-têtes manquants, des chaînes user agent étranges ou des débits de requêtes qu'aucun humain ne pourrait produire.
Les bots modernes sont différents. Des agents IA comme OpenAI Operator, Claude for Chrome, Playwright, Puppeteer et Selenium s'exécutent dans de vrais moteurs de navigateur. Ils affichent le JavaScript, exécutent les gestionnaires d'événements et produisent des schémas de requêtes qui ressemblent, en surface, à ceux de vrais utilisateurs. Puppeteer et Playwright pilotent Chromium directement. Selenium contrôle un navigateur entièrement rendu. Les contrôles de user agent et la simple inspection des en-têtes ne les distinguent pas des visiteurs humains.
Le problème est passé du repérage d'imposteurs bon marché à l'identification d'acteurs sophistiqués qui ont fait des efforts délibérés pour paraître humains.
Signaux réseau : ce qu'ils attrapent et leurs limites
Les signaux réseau constituent la couche de détection la plus externe. Ils sont rapides et peu coûteux, et filtrent le trafic massif et peu élaboré avant que des traitements plus coûteux ne s'exécutent.
Chaînes user agent
L'en-tête user agent nomme le navigateur et le système d'exploitation à l'origine de la requête. Beaucoup de scrapers simples envoient des chaînes user agent génériques ou révélatrices, ce qui les rend faciles à signaler.
La limite est évidente : n'importe quel client HTTP peut définir la chaîne user agent qu'il souhaite. Un bot qui envoie Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 est indiscernable d'un vrai utilisateur de Chrome à la couche réseau. Le filtrage par user agent attrape les bots paresseux et guère plus.
Débit des requêtes
Les vagues scriptées, le credential stuffing et les scrapers agressifs génèrent souvent des débits de requêtes qu'aucun humain ne pourrait atteindre. La limitation de débit et la détection d'anomalies sur les requêtes par seconde ou par session attrapent ces schémas.
L'écueil, c'est que les agents IA à vitesse humaine, de plus en plus courants en 2026, émettent des requêtes à des débits qui restent dans les plages humaines normales. Un agent IA qui remplit un formulaire peut prendre 8 à 15 secondes par action, ce qui reste dans le cadre du comportement d'un utilisateur ordinaire.
Réputation de l'IP
Les recherches de réputation d'IP signalent les plages de centres de données connues et les nœuds de sortie VPN, ce qui aide à filtrer le trafic de bots courant acheminé via des infrastructures cloud.
Les proxys résidentiels contournent cela entièrement. Notre guide sur comment détecter le trafic VPN et proxy traite en détail la détection des proxys.
Les bots automatisés qui testent à grande échelle des listes d'identifiants volés restent un vecteur de compromission majeur. Le Verizon Data Breach Investigations Report a constaté que 39 % des compromissions de 2025 impliquaient des identifiants volés, la charge utile que ces bots livrent.
| Vecteur de compromission (2025) | Part |
|---|---|
| Compromissions impliquant des identifiants volés | 39 % |
| Autres vecteurs | 61 % |
Source : Verizon Data Breach Investigations Report.
Signaux navigateur : ce qu'ils attrapent et leurs limites
Les signaux navigateur examinent l'environnement JavaScript à l'intérieur du navigateur pour juger s'il correspond à un vrai navigateur piloté par un humain.
Indicateurs de navigateur headless
Le contrôle le plus basique lit navigator.webdriver, qui vaut true dans les navigateurs pilotés par le protocole WebDriver, dont Puppeteer et Selenium. Lire cette propriété attrape les configurations de bots prêtes à l'emploi et non paramétrées.
La limite, c'est qu'il s'agit d'un correctif d'une seule ligne. Tout framework de niveau production met navigator.webdriver à false avant d'exécuter la logique de la page, si bien que cet indicateur seul n'attrape que les tests en phase de développement.
API navigateur manquantes
Les vrais navigateurs exposent un ensemble cohérent d'objets JavaScript : window.chrome, navigator.plugins, navigator.mimeTypes et d'autres API qui reflètent un navigateur fonctionnel. Les environnements headless ou minimaux les omettent souvent, ou les exposent d'une manière qui diffère d'un vrai navigateur.
La même réserve s'applique : les bots sophistiqués corrigent ces propriétés. La valeur de détection vient du contrôle des combinaisons d'API et de leur cohérence interne, plutôt que d'une propriété isolée.
Entropie des empreintes canvas et WebGL
Quand un navigateur affiche un élément canvas ou une scène WebGL, le rendu varie légèrement selon le matériel graphique, la version du pilote et le pipeline de rendu. Un vrai appareil doté d'un GPU produit un rendu avec une entropie naturelle sur ces dimensions.
Les bots qui tournent dans des environnements minimaux ou virtualisés produisent souvent un rendu canvas et WebGL à faible entropie parce qu'ils n'ont pas de véritable matériel GPU. Des empreintes anormalement uniformes ou à faible entropie sont un signe significatif que l'environnement de rendu n'est pas un appareil d'utilisateur réel.
cside analyse plus de 250 signaux, dont l'entropie du canvas, les caractéristiques de rendu des polices, l'empreinte WebGL, les métriques d'écran et les propriétés navigator, pour produire une empreinte d'appareil stable qui tient face au mode navigation privée, aux connexions VPN et à l'effacement des cookies. Combiner autant de signaux rend très difficile pour un bot de simuler un résultat conforme sur toutes les dimensions à la fois.
Signaux comportementaux : les plus difficiles à falsifier
Les signaux comportementaux observent la façon dont un utilisateur interagit avec la page, plutôt que l'apparence de l'environnement du navigateur. Ils sont les plus coûteux à générer, car ils nécessitent une véritable interaction pour être mesurés, et ils sont aussi les plus difficiles à falsifier de façon convaincante pour les bots.
Schémas de mouvement de la souris
Les vrais utilisateurs déplacent la souris le long de trajectoires courbes et accélérées. La physique du mouvement de la main humaine produit des courbes d'accélération caractéristiques, des dépassements et des micro-corrections. Les bots qui génèrent des événements de souris synthétiques ont tendance à produire des lignes parfaitement droites, des courbes parfaitement lisses ou des schémas statistiquement impossibles, comme une vitesse à variance nulle.
La variance temporelle dans le mouvement de la souris est particulièrement révélatrice. Le mouvement humain présente une gigue naturelle à l'échelle de la milliseconde. Le mouvement scripté, non.
Schémas de timing des événements
Les vrais utilisateurs présentent une variance de temps de réaction. L'écart entre le chargement d'une page et le moment où un utilisateur clique sur un bouton, commence à taper ou fait défiler n'est jamais parfaitement constant, car il reflète un véritable temps de traitement cognitif.
Les bots exécutent des actions à des intervalles précis et reproductibles. Le timing entre les événements DOM d'un script automatisé présente une signature statistique qui diffère de façon mesurable des flux d'événements générés par des humains.
Entropie d'interaction
L'utilisateur a-t-il réellement lu la page avant d'envoyer le formulaire ? Le curseur s'est-il déplacé vers le champ avant qu'une valeur n'y apparaisse ? Des événements de défilement ont-ils précédé le clic ? Les vrais utilisateurs laissent une trace d'interaction. Les bots qui passent directement à l'envoi du formulaire sans interaction préalable produisent un profil de session à l'entropie anormalement basse.
Pourquoi vous avez besoin des trois catégories réunies
Aucune catégorie prise isolément ne suffit à une détection fiable des bots en 2026. Les signaux réseau sont contournés par les proxys résidentiels, les indicateurs navigateur sont corrigés par les frameworks de niveau production, et les signaux comportementaux ont besoin de suffisamment d'interaction avec la page pour produire des données exploitables.
C'est la combinaison qui rend la détection solide. Un bot peut passer chaque contrôle réseau, corriger les indicateurs navigateur évidents et même produire un timing d'interaction plausible sur une page simple. Produire un résultat conforme sur plus de 250 signaux à la fois, dont l'entropie de canvas dérivée du GPU, la micro-variance temporelle naturelle du mouvement de la souris et une empreinte TLS TLS handshake fingerprint qui correspond au navigateur déclaré, est extrêmement difficile à réaliser à la couche d'automatisation.
cside combine les trois catégories en une seule réponse d'API. Un appel renvoie un score de bot dérivé de l'ensemble complet des signaux, un identifiant d'empreinte d'appareil pour l'analyse de vélocité, et des verdicts de signaux individuels pour les équipes qui veulent bâtir une logique sur mesure à partir des données brutes.
En quoi les agents IA sont différents
Les agents IA comme OpenAI Operator, Claude for Chrome, Playwright et Puppeteer représentent un défi de détection particulier. Ils s'exécutent dans un vrai Chromium, si bien qu'ils passent la plupart des contrôles au niveau navigateur. Leurs caractéristiques réseau paraissent normales, et leurs API navigateur sont présentes et cohérentes.
Là où ils échouent, c'est au niveau du comportement de session. Les agents IA accomplissent des tâches, ils ne naviguent pas. Leur cadence de session est façonnée par la tâche : aller vers un élément précis, effectuer une action, passer à l'étape suivante. Les vraies sessions humaines comportent de l'exploration, du décrochage de l'attention, des relectures et de l'incohérence. Une session d'agent est optimisée et orientée vers un but d'une manière qui produit un profil statistiquement distinct.
cside identifie des agents IA nommés, dont OpenAI Operator, Claude for Chrome, Playwright, Puppeteer et Selenium, grâce à un mélange d'analyse de l'environnement navigateur et de signatures de cadence de session. Il renvoie un verdict en temps réel qui signale les sessions d'agents IA et automatisées au sein de la réponse d'API.
Placez la détection des bots dans vos flux critiques
La détection des bots n'est pas un contrôle unique. C'est un composite de signaux réseau, navigateur et comportementaux évalués ensemble par rapport à une empreinte cohérente. cside livre ce verdict composite en un seul appel d'API, avec la détection des agents IA nommés incluse, pour que vous puissiez l'exécuter dans votre flux d'inscription, de connexion ou de paiement. La détection des agents IA de cside et la détection des bots fonctionnent toutes deux à partir d'une seule balise de script, et l'offre gratuite couvre 1 000 appels d'API par mois sans carte de crédit.
Pour aller plus loin
- Détection des agents IA
- Détection des bots
- Empreinte d'appareil
- Comment détecter le credential stuffing
