Cloudflare multiplie les initiatives pour reprendre la main sur un trafic web de moins en moins humain.

Le 13 juillet, l’entreprise a rendu disponible Precursor, un système qui analyse en continu le comportement d’un visiteur. Une annonce qui intervient trois semaines à peine après PACT, un protocole encore au stade de projet censé remplacer les CAPTCHA par des jetons anonymes réutilisables.

Les deux initiatives partagent le même constat de départ : les bots ont dépassé les humains sur le trafic web. Une bascule que l’entreprise attribue à la multiplication des agents IA capables de piloter un navigateur et de passer un CAPTCHA isolé sans éveiller de soupçon.

Simuler une action ponctuelle est devenu trivial pour un bot, reproduire un parcours humain complet reste, en revanche, un vrai défi d’ingénierie.

Precursor s’appuie notamment sur les différences de mouvements de souris constatées entre un bot (à gauche) et un humain (à droite) // Source : Cloudflare

Une surveillance qui ne s’arrête plus au clic

C’est précisément ce pari que fait Precursor. Plutôt que de vérifier un visiteur une seule fois à son arrivée, un script injecté à la volée dans les pages du site collecte en continu des signaux tout au long de la session : mouvements de souris, rythme de frappe, changements de focus, activité du presse-papiers, durée d’affichage de la page.

Ces données sont envoyées aux serveurs de Cloudflare, qui recoupent leur cohérence. Le raisonnement s’appuie sur la physiologie du geste : la trajectoire d’une main humaine suit un arc limité par le pivot du poignet, tremble légèrement, et marque un temps de latence mesurable entre la perception d’un élément et le clic. Un bot, à l’inverse, trace des lignes parfaitement droites ou des courbes trop régulières, et clique avec une précision qu’un humain n’atteint jamais.

La persistance est un autre atout de la solution mise en avant par Cloudflare. Le score comportemental attribué à l’utilisateur reste attaché à la session via le cookie « cf_clearance », si bien qu’un bot ne peut plus repartir de zéro en rafraîchissant simplement la page.

Comment s’active Precursor ?

Cloudflare affirme n’enregistrer que le rythme des frappes, jamais leur contenu, et ne pas relier ces signaux à un compte ou une identité. Ces données ne sont pas exposées aux clients, seulement agrégées dans des tableaux de bord de session.

Reste que l’entreprise n’a publié aucun chiffre sur le taux de faux positifs ni sur la latence induite par cette surveillance permanente.

Enfin, Precursor s’active côté propriétaire du site, depuis le tableau de bord Cloudflare avec le choix entre un mode discret (vérification en arrière-plan, sans interruption visible) et un mode plus strict qui affiche un challenge si aucune session valide n’existe déjà. Pour un internaute, en revanche, impossible de savoir avec certitude si Precursor tourne en arrière-plan sur le site qu’il visite. Dans sa documentation technique, Cloudflare ne prévoit aucun indicateur public ni mention explicite de sa présence.