Cloudflare ajoute des outils d’analyse des agents personnels et des contrôles d’accès par agent

Cloudflare a annoncé le 4 novembre 2026 le lancement d’outils d’analyse de l’activité des agents personnels et de politiques d’accès plus granulaires, permettant aux propriétaires de sites d’identifier les agents qui agissent pour le compte de personnes et de définir des règles différentes pour chaque agent pris en charge.

Ces produits répondent à un problème de classification pour les sites web. Un client peut demander à un agent de comparer des produits, de trouver des articles d’assistance ou d’effectuer un achat, mais ces trois interactions arrivent sous forme de trafic automatisé. Sans savoir quel agent visite le site et ce qu’il fait, une entreprise ne peut pas facilement distinguer une activité utile, effectuée pour le compte d’un client, d’un risque ; bloquer tous les agents peut aussi revenir à refuser l’accès à des clients.

Le trafic des agents personnels devient visible

Security Analytics répertorie désormais les assistants personnels comme catégorie d’analyse des bots, aux côtés des bots vérifiés, des activités probablement humaines, probablement automatisées et automatisées. En sélectionnant cette catégorie, on isole dans le temps le trafic des agents personnels et on sépare ces requêtes de la vue plus générale du trafic automatisé.

Un widget « Assistants personnels » dans « Statistiques principales » indique quels agents visitent un site et compte les requêtes de chacun. Le filtrage par agent actualise les autres widgets pour afficher les chemins demandés, les codes d’état reçus et les réseaux d’origine. Cette vue permet de savoir si un agent se connecte, consulte des pages de produits, accède au paiement ou rencontre des erreurs sur des pages qu’il ne peut pas utiliser.

Les sites qui utilisent Account Abuse Protection, actuellement en accès anticipé, disposent d’une vue supplémentaire au niveau des utilisateurs. La vue d’ensemble de la population indique quels agents personnels sont actifs parmi les utilisateurs et combien de comptes les utilisent. Les événements de connexion et d’inscription précisent si la requête a été effectuée par un agent personnel et lequel, tandis que les équipes antifraude peuvent filtrer les comptes selon les événements liés aux assistants IA ou selon le nombre d’assistants.

La vue d’ensemble d’un compte individuel répertorie également les agents associés à ce compte, ce qui permet à un analyste de distinguer un agent utilisé depuis plusieurs semaines d’un agent qui apparaît pour la première fois. Si l’activité semble indiquer une utilisation abusive du compte, l’analyste peut appliquer une règle de pare-feu pour applications web à l’Hashed User ID de ce compte, au lieu de bloquer l’agent pour tous les autres utilisateurs.

Le tableau de bord sous-jacent Account Abuse Protection a été lancé le 2 octobre 2026. Le système prend un identifiant configuré par le client dans le processus de connexion ou d’inscription, comme une adresse e-mail, un nom d’utilisateur ou un numéro de téléphone, puis le hache de manière cryptographique pour créer un Hashed User ID propre au domaine et respectueux de la vie privée, qui sert de point d’ancrage à l’historique d’activité du compte.

Les politiques d’accès peuvent varier selon l’agent

Cloudflare enrichit sa politique Agents existante en ajoutant des contrôles pour les agents personnels pris en charge et en renommant le paramètre « Politiques d’accès aux robots d’exploration et aux agents IA ». Dans les paramètres de sécurité, un site peut définir une politique générale pour les agents, puis choisir, pour chaque agent personnel pris en charge, l’une des options suivantes : autoriser (ne pas bloquer), bloquer sur les pages comportant des publicités ou bloquer.

Cette structure permet de prévoir des exceptions au lieu de prendre une décision unique qui s’applique à tous les agents. Par exemple, un site peut bloquer les agents de façon générale sur les pages comportant des publicités, tout en autorisant un agent personnel pris en charge. Les politiques de recherche et d’entraînement restent inchangées.

Ces contrôles étendent les politiques de trafic liées à l’IA que Cloudflare a introduites le 1er juillet 2026 et qui distinguaient les comportements de recherche, d’agent et d’entraînement. La catégorie Agent couvre les automatisations qui agissent, généralement en temps réel, pour le compte d’une personne, notamment les robots qui récupèrent des données pour les conversations et les agents qui utilisent un navigateur. Les nouvelles options propres à chaque agent s’appliquent au sein de cette catégorie, sans modifier les politiques distinctes de recherche ou d’entraînement.

Lors de la configuration initiale d’une nouvelle zone, Cloudflare demande également si le site tire des revenus des publicités affichées sur ses pages et adapte ses recommandations de politiques en fonction de la réponse. Les contrôles restent accessibles par la suite dans les paramètres de sécurité, ce qui permet de revoir les recommandations initiales si les préférences du site évoluent.

L’identité de l’agent ne précise pas le contexte de l’utilisateur

Cloudflare a indiqué que son prochain objectif est de préserver le contexte de la relation entre un site et ses utilisateurs lorsque des agents personnels jouent le rôle d’intermédiaires. Identifier un agent ne permet pas de savoir si la personne qui l’utilise est déjà cliente, quelles actions elle a autorisées, si un abonnement s’applique ni quelles protections devraient s’appliquer.

Les prochaines pistes de travail proposées par l’entreprise comprennent des mécanismes respectueux de la vie privée pour transmettre le contexte de l’utilisateur par l’intermédiaire d’un agent, aider les sites à évaluer la réputation et établir clairement les responsabilités en cas de problème. Cloudflare prévoit d’en dire davantage à mesure qu’elle collabore avec les opérateurs d’agents et d’autres acteurs de l’écosystème afin de déterminer si les sites peuvent accorder davantage d’accès aux agents tout en préservant leurs relations avec les utilisateurs.

Pour les propriétaires de sites, l’accès des agents devient un choix commercial concret plutôt qu’une réponse systématique à l’automatisation. La possibilité d’accorder un accès plus étendu reste liée à une exigence plus difficile : préserver les relations avec les clients lorsqu’un agent s’interpose entre l’entreprise et l’utilisateur.