Cloudflare dévoile Precursor, détecteur de bots par session

Un petit changement de doctrine dans la détection des bots signalé cette semaine par Cloudflare mérite qu'on s'y arrête, parce qu'il touche à la manière dont on décide qui est humain sur le web. Sur le blog de Cloudflare, Marina Elmore et Benedikt Wolters présentent Precursor, un système qui remplace le contrôle ponctuel par une évaluation continue tout au long de la session.

Le fonctionnement tient en quelques principes. Cloudflare injecte automatiquement un script léger dans les réponses HTML qui traversent son réseau, sans configuration supplémentaire. Ce script capture des signaux d'interaction: mouvements du pointeur, activité du clavier, changements de focus, visibilité de la page. Les données sont sérialisées en format compact, bufferisées en mémoire, puis évaluées côté serveur. Le clavier n'enregistre que le rythme et le timing, pas les touches frappées, et les signaux sont analysés comme des motifs agrégés plutôt que des actions individuelles, précise l'entreprise.

L'enjeu est d'un ordre différent des CAPTCHAs, et les auteurs le reconnaissent explicitement: les bots modernes exécutent du JavaScript, utilisent de véritables environnements de navigateur, et passent les CAPTCHAs individuels sans éveiller les soupçons. Ce qui reste difficile à imiter, c'est un comportement humain cohérent dans la durée. Precursor accumule les signaux tout au long de la session, ce qui empêche un agent de réinitialiser sa signature en rechargeant la page. Cloudflare cite quelques marqueurs biologiques que les bots peinent à reproduire, comme les arcs limités du poignet, les délais cognitifs entre perception et action, et l'oscillation physiologique de la main.

Pour l'ordre de grandeur, Cloudflare rappelle que Turnstile tourne près de 3 milliards de fois par jour et que la plateforme analyse plus d'un billion de requêtes quotidiennes, soit une couverture de plus de 20 % du web. Precursor s'intègre à Enterprise Bot Management en complément de Turnstile, et reste gratuit jusqu'à la disponibilité générale prévue plus tard cette année.

La réserve honnête est double. D'abord, le billet est publié par Cloudflare, donc les performances effectives face aux agents IA les plus récents restent à mesurer par un tiers. Ensuite, le texte ne dit rien du traitement réservé aux utilisateurs de technologies d'assistance ni du tarif qui s'appliquera après la GA, deux points qui pèseront dès que le mode observation basculera en blocage. Ce qui rend l'outil intéressant à surveiller, c'est moins le score en soi que le fait qu'un acteur d'infrastructure aussi central déplace la ligne de front vers le comportement de session: si l'approche devient la norme, les agents légitimes devront s'authentifier explicitement plutôt que de mimer un humain.