Cloudflare a déployé hier la détection de bots à l'échelle de la session
Le 13 juillet 2026, Cloudflare a lancé Precursor, un moteur d'analyse comportementale continue qui surveille l'ensemble de la session, pas seulement l'arrivée du visiteur. Leur challenge Turnstile actuel tourne environ 3 milliards de fois par jour lors des connexions, inscriptions et paiements. Precursor étend cette même visibilité côté client à toutes les pages intermédiaires.
L'approche change la donne. Turnstile posait une question à un instant précis : ce visiteur est-il humain ? Precursor pose la même question en continu, à chaque mouvement de souris, frappe au clavier, défilement et changement de focus, puis injecte le résultat dans un score dynamique qui suit la session.
Ce changement est bien plus important que ce que laisse entendre le communiqué de presse.
La session devient la nouvelle empreinte
Pendant des années, la détection de bots fonctionnait par à-coups : un contrôle à l'entrée, puis un cookie qui validait le visiteur pendant un certain temps. Même les vérifications plus récentes au niveau du réseau et des headers restaient limitées à la requête. Si vous passiez le premier contrôle, vous étiez tranquille jusqu'au suivant.
La détection comportementale à l'échelle de la session casse ce modèle. Comme l'indique l'article de lancement de Cloudflare : les bots peuvent exécuter du JavaScript, utiliser des environnements de navigation complets et résoudre des challenges individuels sans éveiller les soupçons. Ce qui reste difficile à reproduire, c'est un comportement humain cohérent dans la durée.
Ils citent la physique des interactions humaines comme la limite contre laquelle bute l'automatisation. Le mouvement d'une souris humaine forme un arc, contraint par le pivot du poignet et la rotation de l'avant-bras. Il existe un délai mesurable entre le moment où l'on voit une case à cocher et le clic (charge cognitive). Même une main stable tremble à une fréquence physiologique. Les bots génèrent des lignes droites et des courbes de Bézier mathématiquement parfaites. Ils cliquent avec une précision qu'aucun humain n'atteint jamais.
Pris isolément, chacun de ces signaux est à peine perceptible. Cumulez-les sur une session de cinq minutes, et l'écart devient flagrant.
Pourquoi actualiser la page ne vous sauvera plus
L'ancien réflexe face à la détection par requête était simple : si le score d'une session augmentait, il suffisait d'actualiser la page, de changer d'identité et de recommencer. Precursor ferme cette porte.
Cloudflare est clair : « Le suivi à l'échelle de la session est essentiel, car un bot ne peut plus réinitialiser sa signature comportementale en actualisant la page ou en recommençant avec un nouveau challenge. » Les sessions suspectes accumulent du contexte. Le score de bot suit le visiteur.
Mais ce changement frappe particulièrement une catégorie intermédiaire de scrapers. Le modèle entièrement headless avec rotation à chaque requête échouait déjà face aux vérifications standard. Rien de neuf ici. Les opérateurs qui gèrent réellement leurs sessions, en maintenant une seule identité de navigateur pendant toute la durée d'une visite réelle, ne sont pas impactés. Precursor pénalise l'entre-deux : les équipes qui utilisent Puppeteer ou Playwright avec des réglages par défaut, qui traitent chaque URL comme une tâche indépendante et qui actualisent entre les crawls pour paraître propres.
Ce type de scraping est économique parce qu'il est jetable. Precursor rend le jetable coûteux.
Les conséquences pour les scrapers agentiques
Il existe un deuxième groupe que Precursor a clairement été conçu pour intercepter : les scrapers basés sur des agents IA. Cloudflare le précise explicitement dans son sous-titre : détecter le comportement agentique grâce à des signaux continus côté client.
Les agents de navigation autonomes (ceux pilotés par des LLM qui planifient une tâche et l'exécutent étape par étape) ont tendance à se déplacer par séquences courtes et nettes. Naviguer, extraire, naviguer, extraire. Prise individuellement, chaque action ressemble à ce qu'un visiteur réel pourrait faire. Mais il n'y a pas de temps d'arrêt, pas de schéma de défilement pour lire, pas de micro-correction, pas de dépassement de cible avec le curseur. Sur l'ensemble d'une session, ces absences sont tout aussi flagrantes qu'un faux tremblement de souris.
Si vous développez un agent qui extrait des données au fil de ses réflexions, la taxe sur les lois de la physique devient bien réelle. Le blog de Cloudflare note que Precursor « augmente le coût d'exploitation de l'automatisation en obligeant à simuler une session complète. C'est nettement plus difficile à construire, plus coûteux à maintenir et bien moins fiable à exploiter à grande échelle. »
C'est là tout l'objectif de conception. Non pas de rendre l'automatisation impossible, mais de la rendre non rentable.
Ce que cela implique pour les équipes data
Trois paramètres changent, et aucun d'entre eux n'est bon marché.
Premièrement, les budgets par session remplacent les budgets par requête. Si vous planifiez la capacité pour une cible protégée par Cloudflare, cessez de raisonner en requêtes par seconde et commencez à penser en sessions par heure : combien de parcours utilisateurs indépendants et d'apparence continue pouvez-vous maintenir, et quelle est la durée de chacun ? Les rafales courtes correspondent exactement à la signature que Precursor est calibré pour détecter. La nouvelle approche du calcul des proxys dont nous avons parlé en mai s'applique ici également. La taille du pool n'est plus la limite maximale ; le réalisme de la session l'est.
Deuxièmement, l'arbitrage entre développer en interne et acheter penche encore plus vers l'achat. Maintenir un scraper face à une protection au niveau de la requête se résume à une intégration initiale et à des correctifs occasionnels. En maintenir un face à une protection à l'échelle de la session exige de la R&D comportementale continue : modèles de cadence, trajectoires du curseur, distributions des temps d'arrêt, ainsi qu'un moyen de conserver une couverture de test sur l'ensemble. Si vous hésitiez à externaliser la collecte de données web, cela dégrade encore les chiffres en faveur du développement interne.
Troisièmement, le premier acteur à déployer Precursor à grande échelle établira la nouvelle référence de détection pour l'ensemble du secteur. Cloudflare protège environ 20 % du web. Si les clients de l'e-commerce et de la finance activent Precursor de manière agressive au cours du prochain trimestre, la stack de scraping de tous les autres acteurs en subira les effets, y compris sur des sites qui n'installeront jamais Precursor eux-mêmes, car l'écosystème défensif observe ce qui fonctionne et le réplique rapidement.
Le changement d'échelle de temps que personne ne nomme
Nous avons évoqué l'évolution vers la détection comportementale il y a trois mois. Precursor est la version commercialisée de cette tendance, et il redéfinit la fenêtre de mesure.
La détection de bots s'effectuait auparavant à l'échelle d'une seule request. Aujourd'hui, elle se déroule sur une session de plusieurs minutes, voire plus. Ce simple changement remet en cause chaque tactique de scraping conçue à l'époque où l'unité de détection était un appel isolé. Rotation de proxy, fuzzing de header, espacement des requests à la seconde, toutes perdent de leur pertinence si la fonction de perte repose sur la cohérence comportementale observée sur cinq minutes d'interaction.
La question n'est pas de savoir si la détection de bots continue d'évoluer. C'est une certitude. La question est de savoir si votre stack de collecte de données raisonne toujours en requests alors que les systèmes de défense analysent des sessions.