Protection contre les bots et rate limiting : filtrer le trafic automatisé

Tous les bots ne se valent pas

Une part importante du trafic de n’importe quel site provient de bots — et c’est normal. Robots d’indexation, sondes de disponibilité, webhooks de paiement : autant de clients automatisés que vous voulez laisser passer. Le problème vient de l’autre catégorie : scanners de vulnérabilités, bourrage d’identifiants (credential stuffing), aspirateurs de contenu. L’objectif de la protection contre les bots n’est pas de tout bloquer, mais de distinguer l’utile du nuisible — sans toucher aux vrais visiteurs.

Le rate limiting, première ligne

La limitation de débit est l’outil le plus simple et le moins coûteux : un client qui frappe votre point d’entrée de connexion des centaines de fois par minute ne se comporte pas comme un humain. Le point clé, dans un WAF cloud, c’est où compter. Chez Smart WAF, le chemin critique passe d’abord par la mémoire partagée du worker (nanosecondes), puis par Redis comme compteur distribué, et seulement en dernier recours par la base. Cet ordre maintient les limites en périphérie, sans charger votre origine.

L’échelle de défis plutôt qu’un mur

Le rate limiting filtre le flood grossier, mais un bot plus habile reste sous le radar. C’est là qu’intervient l’échelle de défis — un client suspect n’est pas bloqué à l’aveugle, il gravit des marches de difficulté croissante :

1. Preuve de travail (proof-of-work) — le navigateur résout un petit calcul. Imperceptible pour un humain, coûteux pour l’automatisation de masse.
2. CAPTCHA — l’étape suivante (Turnstile ou hCaptcha) pour les clients qui échouent à la précédente.
3. Web Bot Auth (signatures de messages HTTP cryptographiques) — permet aux bots vérifiés de prouver leur légitimité par signature cryptographique, au lieu d’être bloqués avec les malveillants.

Par-dessus, un ML entity-scoring : l’évaluation du risque suit les étapes detection → verify → enforce, si bien qu’un nouveau signal fait ses preuves avant d’être autorisé à bloquer.

Pourquoi cela sert la visibilité

Chaque action — limite, défi, blocage — est consignée dans un journal d’audit immuable (en ajout seul). Vous voyez non pas un simple « bloqué », mais ce qui s’est déclenché et pourquoi. Les règles s’appliquent presque instantanément : les changements atteignent la périphérie en moins d’une seconde via une surveillance du magasin de configuration.

Honnêtes sur les limites

Nous ne sommes pas un CDN et ne promettons pas de capacité « illimitée ». Notre créneau est un WAF managé avec protection contre les bots en périphérie, avec des nœuds dans l’UE (Hetzner, OVH, Scaleway) et résidence des données dans l’UE. Notre budget de latence ajoutée est de ≤5 ms par conception ; nous ne citons pas de chiffres de production que nous n’avons pas mesurés sur du matériel réel.

Envie de filtrer le trafic automatisé nuisible sur votre domaine ? Écrivez-nous.