Une bascule inédite : plus de la moitié du trafic n’est plus humain
C’est une première sur le réseau de Cloudflare : plus de la moitié du trafic y est désormais automatisé. Sur un an, les requêtes quotidiennes émises par des agents d’intelligence artificielle ont progressé de plus de 1 700 %.
Le spécialiste américain de l’infrastructure et de la sécurité web traite en moyenne 115 millions de requêtes HTTP par seconde, contre 63 millions fin 2024.
Ces données figurent dans un billet de blog intitulé « The Internet has a second audience » (« Internet a un second public »), publié mercredi pour la 16e semaine anniversaire de l’entreprise. Les annonces couvrent la monétisation, la sécurité, les outils pour développeurs et le contrôle des contenus. Leur fil conducteur : un site doit désormais servir autant de visiteurs logiciels que de visiteurs humains.
Monetization Gateway : facturer les agents, pas les humains
Pièce maîtresse du dispositif, la Monetization Gateway est proposée en bêta fermée aux clients américains éligibles. Elle permet de faire payer l’accès à toute ressource qui transite par le réseau de Cloudflare : pages web, API, jeux de données ou outils MCP.
Le mécanisme s’appuie sur x402, un protocole ouvert. Lorsqu’une règle correspond à une requête, Cloudflare renvoie une réponse HTTP 402 « Payment Required », et l’agent règle directement le vendeur.
Des milliers de vendeurs se sont inscrits sur liste d’attente depuis l’annonce initiale de juin. Leur demande la plus fréquente se résume en une phrase : facturer les agents, pas les humains.
Pay Per Use : rémunérer l’usage, non l’exploration
Tous les éditeurs ne sont pas en position de négocier des licences sur mesure avec les entreprises d’IA. Pay Per Use vise précisément ceux qui n’y parviendront jamais.
Le service ne facture pas le simple passage d’un robot. Il rémunère le contenu lorsqu’il est effectivement utilisé, chaque acheteur opérant comme un crawler vérifié. La valeur se déplace ainsi de la visite vers l’usage.
Disallow AI Training : rester indexé sans nourrir les modèles
Lancé le 15 septembre, Disallow AI Training répond à une attente ancienne des éditeurs. Le site reste indexé pour la recherche, mais les crawlers reçoivent l’instruction de ne pas exploiter ses données pour entraîner des modèles.
Apple, Google et Microsoft se sont engagés à respecter ce signal.
Sécurité : Threat Signals et profils d’application face à des attaquants dopés à l’IA
Côté cybersécurité, Cloudflare a ouvert sa plateforme Threat Events à tous les comptes, sans frais. Elle s’accompagne de Threat Signals, un ensemble d’outils d’IA qui analysent les flux de renseignement sur les menaces en sources ouvertes, en extraient les indicateurs de compromission et les stockent 30 jours sous forme d’événements étiquetés.
Les formules entreprise payantes ajoutent des flux supplémentaires, des jeux de données propriétaires et des règles WAF personnalisées.
Annoncés lors de la Birthday Week, les profils d’application (Application Profiles) ajoutent une couche de sécurité « positive » au pare-feu d’applications web. Le système apprend à reconnaître les requêtes légitimes et signale tout écart. L’objectif : réduire la surface d’attaque, alors que l’IA permet aux pirates de générer plus facilement de nouvelles charges malveillantes.
Jusqu’à 40 % de trafic humain en moins : le pari d’un web à deux publics
Derrière ces lancements, Cloudflare assume un pari stratégique. Selon l’entreprise, certaines des catégories de sites les plus intensément explorées par les robots, dont le commerce de détail, les logiciels et les services financiers, ont vu leur trafic humain reculer jusqu’à 40 % en moins d’un an.
Dans leur lettre annuelle, les fondateurs écrivent que, si les tendances actuelles se maintiennent, le trafic automatisé pourrait atteindre 1 000 fois le trafic humain d’ici cinq ans. Il s’agit d’une projection de l’entreprise, non d’un constat établi.
Éditeurs et équipes techniques tunisiens : ce qui change, et ce qui reste à voir
La portée immédiate est inégale. La Monetization Gateway demeure réservée à des clients américains éligibles : les éditeurs et plateformes de la région ne peuvent pas s’en saisir à ce stade. En revanche, l’accès gratuit à Threat Events concerne tout compte Cloudflare, quelle que soit sa taille.
Pour les sites d’information, les boutiques en ligne et les services financiers, le signal est surtout stratégique. Si une part croissante des requêtes vient d’agents, les indicateurs habituels (visites, pages vues, taux de rebond) mesurent de moins en moins l’audience réelle, et la question du contrôle des accès devient aussi un sujet de modèle économique.
Un nouveau contrat à écrire
Le billet de Cloudflare le résume : l’ancien accord est révolu, et le nouveau est encore en cours d’écriture. Reste à savoir qui en fixera les termes, des plateformes d’infrastructure, des entreprises d’IA ou des éditeurs eux-mêmes, et à quel prix chaque requête sera facturée.
