PACT et Cloudflare : vers un web moins encombré de CAPTCHA

Imaginez un web où les CAPTCHAs agaçants et les portails de connexion sans fin s'estompent progressivement. C'est la promesse que Cloudflare et plusieurs grands éditeurs de navigateurs présentent alors qu'ils tentent de reprendre le contrôle d'un internet de plus en plus dominé par des bots.

Au cœur de ce changement se trouve une proposition appelée Private Access Control Tokens, ou PACT. Développé avec la contribution des équipes de navigateurs de Chrome, Edge et Firefox ainsi que des partenaires tels que Google, Microsoft, Mozilla et Shopify, PACT vise à fournir aux sites web un signal compact et respectueux de la vie privée : la requête entrante provient-elle d'une session réellement pilotée par un humain ou d'un agent automatisé agissant pour le compte de quelqu'un ?

La particularité est que ce seraient les navigateurs, et non les sites eux-mêmes, qui émettraient des attestations anonymes. Un site ayant une forte confiance qu'un visiteur est humain pourrait générer un jeton, lequel pourrait ensuite être présenté ailleurs comme preuve de la présence humaine, sans révéler l'identité de la personne, son historique de navigation ni aucun identifiant durable. Pensez-y comme un résultat réutilisable et privé d'un CAPTCHA qui atteste de l'intégrité de la session de l'utilisateur, et non de son identité.

Pourquoi maintenant ? Parce que l'internet n'est plus celui d'il y a quelques années. La direction de Cloudflare a averti que le trafic des bots dépasse déjà le trafic humain, avec des pics encore plus élevés sur de courtes périodes. L'essor d'agents pilotés par l'IA capables de parcourir des pages, comparer des prix, remplir des formulaires et accomplir des tâches autrefois réservées aux humains a estompé la frontière entre scripts bénins et automatisation malveillante. Les défenses héritées - blocages basés sur l'IP, limitations de fréquence et simples puzzles challenge-réponse - perdent de leur efficacité.

Les systèmes de défense conçus pour les anciens crawlers ne peuvent pas repérer de manière fiable les agents modernes qui se comportent comme des humains. Plutôt que de bloquer par réflexe tout ce qui semble automatisé, les concepteurs de PACT souhaitent un signal plus nuancé : pas un simple binaire humain-ou-pas, mais un indicateur permettant de savoir si une session doit être considérée comme digne de confiance ou traitée avec suspicion.

Cette nuance est importante. Un site de commerce, par exemple, peut souhaiter accepter le trafic d'un bot de comparaison de prix légitime parrainé par un détaillant, tout en rejetant un scraper qui collecte des images de produits. PACT permet aux sites de recevoir un feu vert compact sans demander un nom, une connexion de compte ou un cookie de suivi intersites.

Cela dit, les détails comptent et beaucoup restent flous. Qu'est-ce qui constitue en pratique une "attestation solide de l'identité humaine" ? La définition pourrait-elle avantager certains navigateurs ou logiciels clients et pénaliser involontairement des plateformes de niche ? Les jetons seront-ils également accessibles aux applications natives de confiance, aux navigateurs sans interface (headless) ou aux agents tiers agissant avec le consentement de l'utilisateur ? Les réponses détermineront qui bénéficiera d'un accès privilégié et qui sera orienté vers des processus de vérification plus stricts.

L'argumentaire de Cloudflare inclut une mesure de protection de la vie privée : les jetons sont conçus pour être non traçables et éphémères, protégeant l'historique de navigation tout en transmettant des signaux de confiance utiles. Mais le système confère aussi aux navigateurs une sorte d'autorité de filtrage. Cela soulève des questions non seulement techniques, mais aussi politiques : quelles parties décideront des règles d'attestation et quelle transparence entourera ce processus ?

Les lecteurs techniquement avertis doivent noter un autre point important : PACT n'est pas une solution miracle pour la mitigation des bots. C'est un compromis au niveau du protocole, échangeant une certaine friction conventionnelle (CAPTCHAs, pop-ups, vérifications d'identité) contre des attestations coordonnées émises par un logiciel qui se place entre les utilisateurs et les sites. Les aspects d'ingénierie les plus complexes, comme la preuve de travail pour les jetons, la résistance à la relecture, le contrôle des taux et des garanties solides de confidentialité, devront faire l'objet d'un examen rigoureux avant une adoption plus large.

Si les navigateurs deviennent les arbitres de la confiance des sessions, il faudra des règles claires et vérifiables et une large participation de l'écosystème pour éviter toute centralisation ou biais involontaire.

Pour les propriétaires de sites, développeurs et défenseurs de la vie privée, PACT mérite d'être suivi car il propose de changer l'endroit où la confiance est produite sur le web. Sommes-nous prêts à nous fier aux navigateurs comme arbitres neutres, ou cela déplace-t-il simplement le pouvoir vers un nouveau groupe d'intermédiaires ? Les prochains mois de discussions de conception et de tests de prototypes diront si PACT peut remplacer la friction par des signaux de confiance plus intelligents et plus respectueux de la vie privée, ou s'il introduira de nouveaux compromis qui méritent débat.

Dans tous les cas, un web plus calme et moins encombré de CAPTCHAs est une idée séduisante. La question est de savoir qui décidera du degré de calme souhaitable.