L'échelle de défis : de la preuve de travail au robot vérifié

Le problème du blocage binaire

Face à un client suspect, la tentation est de trancher : bloquer ou laisser passer. Mais cette décision binaire se trompe dans les deux sens. Bloquer, c’est risquer de couper un vrai utilisateur qui a juste un comportement inhabituel — un client derrière un VPN d’entreprise, un partenaire qui appelle votre API à un rythme soutenu mais légitime. Laisser passer, c’est ouvrir la porte à l’automatisation abusive.

L’échelle de défis résout ce dilemme en remplaçant la décision unique par une gradation. Au lieu de juger définitivement un client sur une seule requête, on lui demande de prouver, à un coût croissant, qu’il est ce qu’il prétend être. Un humain ou un agent légitime franchit la marche sans effort perceptible ; une machine qui abuse à grande échelle voit son coût grimper jusqu’à l’absurde. La séparation se fait par l’économie, pas par un verdict.

Les trois marches

1. La preuve de travail (proof-of-work)

La première marche est invisible pour l’utilisateur. Le navigateur du client doit résoudre un petit problème de calcul avant que sa requête soit acceptée. Pour un visiteur unique, c’est imperceptible — quelques millisecondes de calcul. Pour un attaquant qui veut lancer des dizaines de milliers de requêtes, ce coût, multiplié à l’échelle, devient prohibitif. La preuve de travail ne prouve pas que vous êtes humain ; elle rend simplement l’abus de masse coûteux.

2. Le CAPTCHA

Si le comportement reste suspect après la première marche, on monte d’un cran avec un défi conçu pour être facile à un humain et difficile à automatiser. C’est plus intrusif — l’utilisateur le voit — donc on ne l’impose qu’aux clients qui n’ont pas été départagés en amont. La plupart des visiteurs légitimes ne le rencontrent jamais.

3. L’authentification de robot vérifié (Web Bot Auth)

Tous les robots ne sont pas malveillants : moteurs de recherche, agrégateurs, intégrations que vos clients utilisent. La marche la plus haute ne cherche pas à bloquer ces robots mais à vérifier leur identité. Un robot légitime signe ses requêtes avec des signatures de messages HTTP cryptographiques, dont la partie publique est connue. La signature prouve l’identité de l’émetteur sans échange de secret et sans qu’un imitateur puisse la rejouer. Un scraper qui se fait passer pour un moteur de recherche connu échoue à cette étape ; le vrai robot passe.

Pourquoi la gradation est le bon modèle

L’intelligence de l’échelle tient dans le fait qu’on n’applique la marche suivante que si nécessaire. La décision de savoir quelle marche imposer s’appuie sur le contexte : réputation de l’origine, rythme, géographie, et scoring d’entité par apprentissage qui juge le comportement dans le temps plutôt qu’une requête isolée. Un visiteur clairement humain ne rencontre rien. Un client ambigu affronte une preuve de travail silencieuse. Seul un comportement franchement automatisé remonte jusqu’au CAPTCHA ou à la vérification de robot.

C’est ce mécanisme qui alimente concrètement plusieurs de nos défenses : le contrôle des robots d’IA laisse passer les agents vérifiés et défie le reste ; la limitation contre le bourrage d’identifiants transforme une attaque de rejeu en gouffre économique pour l’attaquant.

Coût et honnêteté

Une échelle de défis ajoute forcément un peu de travail sur le chemin de la requête. Ce coût tient dans notre budget de conception de ≤5 ms, mesuré en staging et jamais présenté comme un benchmark de production ; la méthodologie de latence explique comment nous l’évaluons.

Ce que nous ne prétendons pas

Aucune marche n’est infaillible. Une preuve de travail se résout avec assez de puissance ; un CAPTCHA se contourne avec assez de moyens ; une signature valide prouve une clé, pas une intention. L’échelle ne promet pas d’arrêter un adversaire déterminé et bien financé — elle rend l’abus de masse suffisamment coûteux pour ne plus être rentable, et rend visible ce qui passe. C’est un déplacement de l’économie de l’attaque, pas une barrière absolue.

Vous voulez voir l’échelle de défis à l’œuvre sur votre trafic ? Donnez-nous votre domaine.