Le signal au niveau de la connexion est le socle de la détection de bots
98,6 %.
C'est la précision de classification atteinte par un modèle CatBoost en utilisant uniquement des caractéristiques au niveau de la connexion. Aucun en-tête. Aucune adresse IP. Aucun comportement. Juste la forme du handshake initial. L'article arXiv est paru en février 2026, et ce résultat n'est pas une anomalie. Cloudflare, AWS, VirusTotal et Akamai utilisent tous la prise d'empreinte au niveau de la connexion en production. Si vous effectuez du scraping en 2026 avec un simple client HTTP, le verdict est rendu avant que votre requête n'atteigne la couche applicative.
C'est la partie que la plupart des tutoriels sur la détection de bots omettent. La majorité des articles sur le contournement des systèmes anti-bot se concentrent encore sur la rotation du User-Agent, les cookies et les CAPTCHA. Ce sont les couches faciles. Mais la couche de connexion est celle sur laquelle vous ne pouvez pas bluffer avec un en-tête.
Ce que l'empreinte voit réellement
L'empreinte au niveau de la connexion est un hash du message de handshake initial. Elle encode le protocole (TCP ou QUIC), la version, la présence du SNI, les suites de chiffrement ordonnées, les extensions, les algorithmes de signature et l'ALPN. Deux clients prétendant être le même navigateur produiront le même hash. Un script Python requests prétendant être Chrome produit une empreinte qui n'existe nulle part dans le monde, sauf dans les scrapers.
La génération actuelle de ces empreintes a corrigé la plus grande faiblesse de la génération précédente : la permutation des extensions, que les principaux navigateurs ont introduite en 2023 pour briser la prise d'empreinte naïve. Le nouveau design trie les extensions et les compte, la randomisation n'aide donc pas. Il n'y a pas d'échappatoire facile.
Akamai a révélé une précision de classification des bots de 92 à 98 % grâce à l'analyse inter-couches. La partie inter-couches est importante. Le signal au niveau de la connexion seul est dominant, mais sa combinaison avec l'ordre des frames HTTP/2, l'ordre des en-têtes et le timing des requêtes pousse le taux de faux positifs bien en deçà de ce que la plupart des scrapers peuvent tolérer.
Le rebondissement post-quantique
C'est la partie que personne n'a vue venir. Le 31 janvier 2026, Akamai a fait de l'échange de clés post-quantique le standard pour toutes les connexions. Début 2026, 57,4 % des vraies connexions initiées par un navigateur incluent la part de clé X25519MLKEM768. La part de Chrome compatible PQ se situe autour de 93 %. Firefox est à 85 %. Safari est en cours de déploiement.
La part de clé PQ est volumineuse. 1 124 octets contre 36 octets pour le X25519 classique. Le message de handshake initial est passé de 300 à 500 octets à plus de 1 400. Cette croissance est visible dans l'empreinte au niveau de la connexion, dans la capture de paquets et dans l'observation passive au niveau du WAF.
Si votre client de scraping n'inclut pas la part de clé PQ, vous faites une affirmation qu'aucun Chrome ou Firefox actuel ne ferait. Deux CVE du premier trimestre 2026 signalent exactement cette incohérence : la CVE-2026-26995 (extension de padding) entraîne une probabilité de détection de 25 à 50 % par requête, et la CVE-2026-27017 (incohérence ECH et GREASE) se situe autour de 50 %. Combinée sur une session, l'exposition grimpe vers une quasi-certitude.
C'est un problème de 12 mois qui se transforme en un problème de 3 mois. La plupart des stacks de scraping open source n'ont pas encore intégré de handshakes compatibles PQ. Celles qui l'ont fait ont des semaines de retard sur les builds réels des navigateurs.
Pourquoi les proxys ne résolvent pas ce problème
Il y a une histoire réconfortante qui circule selon laquelle des pools de proxys plus importants résolvent la détection moderne des bots. Ce n'est pas le cas. L'incident de scalping de janvier 2026 couvert par Security Boulevard a utilisé 16 millions de requêtes sur 3,9 millions d'adresses IP uniques. Le blocage par IP s'est avéré inutile. La défense qui a fonctionné était, principalement, la prise d'empreinte au niveau de la connexion et du comportement.
L'économie des proxys résidentiels s'est également effondrée ce trimestre. Help Net Security a rapporté en avril 2026 que la perturbation du réseau IPIDEA en janvier a réduit la capacité résidentielle de l'industrie d'environ 40 % du jour au lendemain. Le litige sur les brevets entre Bright Data et Oxylabs (la Cour suprême a rejeté la requête de Bright Data le 23 février 2026, avec un procès fixé au 18 mai) est un détail à côté de cette perte de capacité. Les acheteurs qui recherchent des adresses IP résidentielles pour se défendre contre la prise d'empreinte paient plus cher pour une réponse dont le WAF ne se soucie pas.
Les proxys comptent toujours, mais pas pour la raison que la plupart des gens pensent. La répartition géographique et le type de FAI influencent les décisions de routage et les profils de rate limit. Ils ne vous aident pas à survivre au handshake.
Ce que cela signifie pour les équipes de données
Trois choses changent si vous construisez ou achetez une infrastructure de scraping en 2026.
Premièrement, la stack au niveau de la connexion est désormais une exigence stricte. Tout client qui ne correspond pas au handshake d'un navigateur actuel (part de clé PQ, ordre des extensions, ALPN, algorithmes de signature) produit une empreinte qui est classée comme bot avec un niveau de confiance élevé. Envelopper Python requests dans de meilleurs en-têtes ne résout rien. Le transport est le révélateur.
Deuxièmement, la détection des navigateurs headless s'est empirée, et non améliorée. Le rapport State of Web Scraping 2026 de Browserless indique que l'écart entre les instances de navigateurs headless et avec interface graphique se creuse. Les fournisseurs d'anti-bots ont catalogué les différences d'empreinte et partagent les informations sur les menaces entre les sites clients en temps quasi réel. Une instance headless qui fonctionnait en décembre peut être classée comme bot en mai. Les signaux comportementaux s'ajoutent au transport, et les deux sont des cibles mouvantes.
Troisièmement, le calcul entre développer et acheter a changé. Maintenir une signature de connexion qui correspond à une cible mouvante (les navigateurs publient des mises à jour PQ toutes les quelques semaines, l'ordre des extensions change entre les versions mineures, les préférences en matière de suites de chiffrement évoluent) est désormais un travail à temps plein. Les équipes qui consacraient 20 % du temps d'un ingénieur à la maintenance des scrapers en 2024 y consacrent plus de la moitié de l'effectif en 2026. Nous avons déjà écrit sur les raisons pour lesquelles les scrapers continuent de casser. En 2026, la réponse est plus souvent "transport" que "DOM".
Le scraper le moins cher est celui qui n'est pas classifié
La prédiction intéressante n'est pas de savoir si les fournisseurs d'anti-bots continueront à relever le niveau. Ils le feront. La prédiction intéressante est de savoir quels outils de scraping survivront sur un marché où une précision de 98 % est le socle de détection minimal.
La plupart n'y survivront pas. Mais ceux qui le feront traiteront le handshake comme une partie de la requête, et non comme un détail de transport. Et les acheteurs commenceront à poser aux fournisseurs une question qui ne figurait pas sur la liste de contrôle d'évaluation il y a douze mois : quelle signature de connexion fournissez-vous et à quelle vitesse la mettez-vous à jour ?
Le handshake tranche la question avant que la requête n'ait la chance de plaider sa cause.