Cloudflare et les trois principaux fabricants de navigateurs veulent prouver qu’il y a un humain derrière votre trafic. Ils l’ont annoncé le 22 juin 2026, car une part de plus en plus importante de ce trafic provient d’agents sans aucun humain derrière. PACT répond au cas où une personne est dans le coup. Le cas vers lequel se dirige le Web, celui d’un agent agissant seul, est quelque chose que PACT n’aborde pas.
Le 22 juin, Cloudflare a annoncé PACT (Private Access Control Tokens) avec Mozilla Firefox, Google Chrome, Microsoft Edge et Shopify. L’idée : un site Web qui possède, selon les mots de Cloudflare, une « solide connaissance de la personnalité » émet un jeton anonyme, et votre navigateur transmet ce jeton à d’autres sites Web pour prouver qu’un humain est dans le circuit ou qu’un robot est un agent autorisé. Il est destiné à remplacer les CAPTCHA et les connexions forcées. La raison de Cloudflare est le changement agentique lui-même : Internet passe des clics humains à l’activité des agents, et l’ancien système binaire de blocage ou d’autorisation ne convient plus.
Si cela ressemble à un cauchemar de suivi, un site Web se portant garant de vous et la preuve qui vous suit sur le Web, c’est exactement ce que PACT est conçu pour éviter. Les jetons sont anonymes et ne peuvent pas être liés de par leur conception, la même approche derrière les jetons de préservation de la vie privée qui remplacent déjà les CAPTCHA sur une grande partie du Web : le site Web qui en émet un ne peut pas voir où vous le dépensez, le site Web auquel vous le remettez ne peut pas vous le lier, et deux utilisations ne peuvent pas être liées. L’objectif est de prouver qu’un humain est présent sans les connexions, les CAPTCHA et les empreintes digitales qui le font de manière invasive aujourd’hui. La question la plus difficile est de savoir qui peut devenir un émetteur de confiance de la personnalité, ce qui représente un véritable pouvoir sur qui compte comme être humain en ligne, et cela se concentre sur les mêmes quelques sociétés d’infrastructure.
3 navigateurs rivaux soutenant 1 protocole sont le signal
Il est rare de réunir Chrome, Firefox et Edge dans la même pièce sur quoi que ce soit au niveau de la couche d’accès, et l’ajout de Cloudflare et Shopify signifie que la proposition couvre à la fois le navigateur, la périphérie du réseau et une plate-forme commerciale majeure. Lorsque ce groupe s’engage sur un protocole partagé, celui-ci tend à devenir réel, comme l’ont fait le Privacy Pass et les clés d’accès. PACT vaut donc la peine d’être surveillé.
Ce n’est d’ailleurs aujourd’hui qu’une proposition. Les collaborateurs se sont engagés à le développer et à le soumettre à la normalisation. Rien n’a été publié, il n’y a pas d’essai d’origine et il n’y a aucune version que votre site Web puisse vérifier ce trimestre. Cet écart entre une coalition sérieuse et un protocole utilisable se mesure généralement en années.
PACT répond si un humain est présent, pas si un agent est autorisé
PACT vérifie qu’un humain est présent. C’est le cas dirigé par l’homme : une personne clique sur quelque chose ou pointe un agent vers une tâche, et il y a une personne dans la boucle dont elle peut se porter garante. Il s’agit d’un cas réel, et le prouver proprement sans CAPTCHA ni suivi serait une véritable amélioration.
Détecter un véritable être humain en vaut la peine, et à mesure que les robots inondent le Web, cela devient plus précieux, pas moins. Un signal humain clair est ce que veut quiconque lutte contre la fraude, les faux comptes ou les avis manipulés, et plus les personnes réelles sont rares dans le trafic, plus ce signal vaut. Mais PACT ne répond qu’à l’une des deux questions qui divisent le Web agent. Une fois qu’aucun humain ne conduit, il reste à savoir si l’agent autonome est autorisé à être là, agissant pour qui, autorisé à faire quoi. PACT ne répond pas à cela. De par sa conception, il répond à l’autre.
Cette deuxième question a sa propre piste, et d’autres personnes la construisent. Google a enregistré son agent Web sous une identité vérifiable. Web Bot Auth permet aux robots d’exploration identifiables de signer leurs demandes. L’Estonie a décidé de délivrer aux agents des codes d’identification garantis par l’État avec des autorisations limitées, pour afficher, modifier ou payer, jusqu’à une limite. Ce sont toutes des tentatives pour identifier et autoriser l’agent lui-même. PACT est la piste de la personnalité. La couche d’accès est divisée en deux et elles ne sont pas interchangeables.
Décidez du suivi dont votre trafic a besoin
Il n’y a rien à implémenter, car rien n’est encore opérationnel. La démarche utile, même s’il s’agit encore d’une proposition, est de déterminer de quel type de suivi votre trafic a réellement besoin, car il s’agit de problèmes différents avec des infrastructures différentes. Si votre risque est celui de la fraude et des abus liés au trafic se faisant passer pour des personnes, vous voulez avoir la trace de la personnalité, et PACT est la chose à suivre. Si votre avenir est constitué d’agents effectuant des transactions sur votre site Web au nom d’un client, vous voulez la piste d’autorisation, et PACT ne vous aidera pas. La plupart des sites Web n’ont jamais eu à séparer ces deux éléments, car jusqu’à cette année, un visiteur était une personne par défaut.
PACT est une vraie réponse à une vraie question : y a-t-il une personne ici ? L’erreur sera de le lire comme une réponse à la question que le Web agent active réellement, à savoir que faire d’un agent lorsqu’il n’y a personne derrière lui. Celui-là est toujours ouvert, et c’est celui qui mérite d’être surveillé.
Plus de ressources :
Cet article a été initialement publié sur No Hacks.
