Les bots représentent désormais plus de la moitié du trafic web, et la plupart des défenses sont passées au cloud
Le trafic automatisé correspond désormais au trafic humain ou le dépasse sur la plupart des sites publics. Les scrapers collectent du contenu et des prix ; les bots de credential stuffing testent des mots de passe volés contre les endpoints de connexion ; les bots de carding valident des numéros de carte volés à la caisse ; les scrapers IA parcourent les API pour entraîner des modèles de langage. Le trafic semble plausible : empreintes de vrais navigateurs, plages IP résidentielles, timing de requêtes semblable à celui des humains. Et le coût d'exécution de ces campagnes diminue chaque année.
La réponse du secteur a été les plateformes de gestion des bots ; presque toutes des cloud SaaS. Pour fonctionner, elles ont besoin que votre trafic, vos empreintes et vos décisions vivent sur leur réseau. Pour les secteurs réglementés ou les déploiements souverains, c'est un problème structurel. Et la plupart de ces plateformes fonctionnent comme des boîtes noires : un score arrive, une action est prise, mais l'opérateur ne peut pas inspecter ce que le modèle a réellement pesé.
TR7 adopte une position différente. La défense bot s'exécute sur votre plateforme ; le moteur de scoring évalue 46 facteurs nommés ; l'opérateur voit quel signal a pesé combien. Le même moteur de règles content-aware qui alimente le WAAP et la sécurité des API s'applique également ici — une règle bot peut agir sur une valeur dans un corps JSON sans une seule ligne de script.
Cinq différenciateurs de TR7 Bot Management
Chacun apporte de la valeur seul. Ensemble, ils redéfinissent ce qu'est une défense bot lorsqu'elle ne dépend pas du cloud d'un tiers et ne cache pas sa logique à l'opérateur.
On-prem first — les décisions bot restent sur votre plateforme
La plupart des plateformes modernes de gestion des bots sont SaaS — vos empreintes, votre trafic et les décisions résultantes vivent sur leur réseau. TR7 s'exécute sur votre hardware. Les bots arrivant à votre edge sont scorés et actés à l'intérieur de votre réseau.
Scoring transparent à 46 facteurs — pas une boîte noire
Le score bot combine 46 facteurs nommés avec des pondérations nommées — empreintes TLS, réputation IP sur 25 catégories, rythme des requêtes, forme des requêtes, baseline comportementale et plus encore. Un opérateur peut voir quels facteurs ont contribué à une décision, ajuster les pondérations individuelles et expliquer un blocage lors d'une revue de sécurité. Aucune sortie de modèle opaque que vous ne pouvez pas interroger.
Règles content-aware — y compris les valeurs de corps JSON
Le même moteur de règles content-aware utilisé pour le WAAP et la sécurité des API s'applique à la politique bot. Rate limit, challenge ou blocage sur les valeurs de headers, les contenus de cookies, les paramètres d'URL et même les valeurs parsées des corps de requêtes JSON. Exemple : une règle qui throttle lorsque le champ « action » du corps est « add_to_cart » et que le comportement de l'IP source correspond aux patterns de scraper. Tout est configuré visuellement ; aucun scripting.
Sensibilité par vService — la connexion n'est pas comme le statique
L'endpoint de connexion d'un site nécessite une politique bot différente de l'endpoint d'actifs publics du même site. La politique bot s'attache au vService, de sorte que chaque surface applicative obtient la sensibilité dont elle a réellement besoin. Un ensemble de règles pour /login, un autre pour /api/v1/search, un autre pour /assets/*.
Le trafic bot bloqué ne compte jamais dans votre facture
Les requêtes challengées, les scrapers throttlés, les tentatives de credential stuffing abandonnées et les bots de carding supprimés silencieusement sont tous exclus du compteur de bande passante. Plus votre défense bot travaille, plus le gap entre le débit et la bande passante facturable est important.
Ce qu'inclut TR7 Bot Management
Chaque capacité ci-dessous est fournie dans le cadre de la plateforme et s'attache à vos vServices existants.
Être un vrai client connecté fait baisser votre score de bot
La plupart des plateformes ne font qu'ajouter du soupçon. TR7 en retire aussi : un client connecté via la couche d'accès voit 40 points retirés de son score de bot, et 20 points s'il a résolu un challenge. L'intérêt apparaît le pire jour. Quand une attaque commence et que vous durcissez tous les seuils, ceux que vous voulez le moins toucher — vos clients connectés — sont désormais les plus éloignés de la ligne de blocage. Ici l'identité et la protection partagent un seul moteur ; c'est la seule façon pour l'une de faire baisser le score de l'autre.
Scoring bot pondéré à 46 facteurs
Signaux nommés combinés avec une courbe de scoring exponentielle calibrée pour un faible taux de faux positifs — empreintes TLS, réputation IP sur 25 catégories, rythme des requêtes, forme des requêtes, patterns comportementaux, taux d'erreurs récents, taux de création de session, et plus encore. L'opérateur peut voir, ajuster et expliquer.
Être une personne réelle et authentifiée fait baisser votre score de bot
Une session AAM vérifiée retire 40 points au score et un challenge résolu 20 de plus. C'est le résultat concret du fait que l'identité et la protection tournent sur le même moteur, sur la même session : quand vous durcissez les protections pendant une attaque, ce ne sont pas vos clients connectés qui sont pris. Les plateformes qui gardent la gestion des accès et la protection web dans des produits séparés ne peuvent tout simplement pas partager ce signal.
Sept des signaux viennent du navigateur — et sont jugés sur l'équipement
Sept des 46 facteurs décrivent l'environnement même du client : déclare-t-il une automatisation, peut-on la déduire d'incohérences qu'il n'a pas pensé à masquer, le moteur de rendu correspond-il au navigateur revendiqué, à quelle vitesse un formulaire a-t-il été rempli par rapport à ce qu'une main humaine peut faire, y a-t-il eu une véritable interaction, comment la session s'est-elle comportée, et est-elle tombée dans un piège. Les produits concurrents collectent cela dans le navigateur et l'envoient dans leur cloud pour le scorer. Ici, c'est collecté dans le navigateur et scoré sur votre propre équipement : ni contenu de page ni télémétrie de visiteur ne sortent. C'est ce qui rend la chose utilisable en réseau fermé.
Vous pouvez voir pourquoi une requête a obtenu ce score
Les scores tombent dans quatre classes — propre, suspect, bot, mauvais bot — chacune avec son action graduée. Derrière elles, un graphique découpe la plage de scores en vingt tranches : un coup d'œil répond à la vraie question — mon trafic se rassemble-t-il du côté propre, ou une accumulation se forme-t-elle vers le haut ? Et pour une requête donnée, le panneau énumère quels facteurs ont fait monter le score et de combien. C'est la différence entre un verdict qu'il faut croire et un verdict que l'on peut vérifier — et c'est ce qui rend le réglage fin possible, puisque vous voyez quel facteur produit le faux positif avant de toucher au moindre seuil.
Le type de réseau comme signal de bot — un datacenter n'est pas un téléphone
Chaque source arrive déjà classée dans l'un des 21 types de réseaux — grands clouds, hébergement générique, CDN, bots vérifiés, sorties Tor, résidentiel, mobile/CGNAT — et cette classification est l'un des facteurs qui composent le score de bot. Une tentative de connexion depuis une plage d'hébergement et la même tentative depuis un opérateur mobile ne sont pas le même événement, et le score le dit avant que quiconque n'écrive une règle. Le même vocabulaire se retrouve dans le rapport : l'analyste lit pourquoi une session a été notée ainsi, pas seulement qu'elle l'a été.
25 catégories de réputation IP
Les IPs source classifiées sur 25 catégories — scrapers connus, pools de proxies résidentiels, plages de datacenter, sorties Tor, opérateurs de bots connus et autres. La catégorisation alimente le score et peut être actée directement en politique.
Adaptation de la baseline comportementale
Le moteur de scoring apprend les patterns de trafic normal de votre application au fil du temps. Les anomalies se distinguent par rapport à la baseline plutôt que par rapport à un seuil global arbitraire.
Double détection signature + comportement
Détection basée sur les signatures pour les familles de bots connues avec des empreintes caractéristiques. Détection comportementale pour les bots inconnus, les scrapers évasifs et les tentatives lentes. Les deux alimentent la même décision de scoring.
Règles de trafic content-aware
Rate limit, challenge ou blocage sur n'importe quel attribut du trafic — valeurs de headers, contenus de cookies, paramètres d'URL, valeurs de corps JSON parsés. Configuration visuelle ; aucun scripting propriétaire.
Actions d'atténuation — bloquer, challenger, throttle, suppression silencieuse
Choix d'action par politique. Bloquez l'automatisation manifestement malveillante. Challengez le trafic ambigu avec CAPTCHA. Throttlez les scrapers suspectés sans bloquer directement. Supprimez silencieusement le trafic de credential stuffing pour que l'attaquant ne reçoive pas de retour utile.
Défense contre la prise de contrôle de compte (ATO)
Les patterns de credential stuffing sur les endpoints de connexion reconnus comme distincts de l'automatisation abusive générique. Les tentatives distribuées low-and-slow, l'impossible travel et les taux anormaux de création de session remontent ici, pas seulement sous le scoring bot générique.
Ciblage par vService avec niveaux de sensibilité
Chaque vService peut exécuter une politique bot différente. La capacité de licence est ciblée sur la taille du déploiement (1, 10, 100 vServices ou illimité).
Défense bot sur les flux d'accès également — pas seulement le web public
Le même moteur de scoring et la même logique de règles s'exécutent à l'intérieur de la couche de gestion des accès de TR7. Les portails SSO, les flux de connexion, les proxies identity-aware et les sessions gateway sans client bénéficient de la même défense bot que les applications WAAP publiques — sans déployer un moteur bot séparé pour chaque surface.
Intégration des signaux de sécurité des endpoints
Pour les scénarios B2B et d'accès corporate où les utilisateurs se connectent depuis des appareils gérés par la couche de sécurité des endpoints de TR7, les signaux de confiance d'appareil — appareil connu, posture actuelle, état de conformité — alimentent le moteur de scoring bot comme facteur pondéré supplémentaire.
Gestion du trafic de scrapers IA et d'agents
Les scrapers IA qui parcourent des données d'entraînement ont des patterns caractéristiques — traversée séquentielle à haut volume, chaînes user-agent atypiques, formes d'appels API inhabituelles. Le moteur comportemental reconnaît ces patterns ; la politique décide d'autoriser, throttler ou bloquer selon le cas d'usage.
Intégration avec WAAP, DDoS et sécurité des API
Les signaux bot alimentent les règles WAAP et les seuils L7 DDoS ; les signaux WAAP et DDoS alimentent le scoring bot. Une source vue abusant d'une surface applicative augmente le score sur chaque autre surface immédiatement.
Mises à jour managées des signatures et de la réputation
La bibliothèque de signatures bot et les flux de réputation IP se mettent à jour en continu — aucun cycle de téléchargement manuel, aucune désynchronisation de version entre les sites.
Mapping CWE, CAPEC et MITRE ATT&CK
Les détections bot se mappent à la même taxonomie de sécurité que le reste du WAAP — codes CWE, patterns CAPEC, techniques MITRE ATT&CK. La corrélation SIEM et la réponse aux incidents utilisent le même langage.
Visibilité et audit complets
Chaque décision bot est journalisée avec la décomposition des signaux contributifs — quel facteur a pesé combien, pourquoi le score a atterri là. Les investigations et l'ajustement se font dans la même console que le WAAP et la livraison.
Types de bots défendus
Le trafic bot n'est pas une seule chose. TR7 Bot Management couvre le spectre moderne de l'automatisation qui cible les applications web et les API.
Scrapers web
Bots collectant du contenu, des prix, des catalogues de produits, des annonces ou d'autres données publiques à grande échelle. Détectés par le rythme des requêtes, la réputation IP, la dérive de baseline comportementale et les formes de requêtes caractéristiques.
Credential stuffing
Bots testant des paires nom d'utilisateur/mot de passe volées contre les endpoints de connexion. La détection ATO combinée à la politique par endpoint identifie et arrête les campagnes de credential stuffing distribuées que les rate limits par IP unique manquent.
Bots de carding
Bots validant des numéros de carte volés sur les endpoints de paiement. Reconnus par le rythme de requêtes caractéristique contre les API de paiement et les ratios anormaux d'échec/succès.
Vol de contenu et scrapers d'inventaire
Concurrents automatisés copiant des fiches produit, descriptions, avis et données de prix. La baseline comportementale capture les scrapers qui imitent le rythme humain en alternant des taux de requêtes rapides et lents.
Scrapers IA et crawlers d'entraînement non autorisés
Crawlers collectant du contenu pour entraîner des modèles de langage sans permission. Reconnus par les patterns de traversée séquentielle à haut volume et les signatures client atypiques ; la politique décide d'autoriser / throttler / bloquer selon le cas d'usage.
Bots de spam et d'abus de formulaires
Bots soumettant de fausses inscriptions, du spam de commentaires, de faux avis et des soumissions de formulaires abusives. Détection combinée via le scoring bot et les règles content-aware sur la forme du corps de formulaire.
Inondations de bots de classe DDoS
Trafic bot à haut volume agissant comme DDoS au niveau applicatif — vagues de credential stuffing, fermes de scrapers, inondations coordonnées de botnets IoT. Les signaux bot alimentent la couche L7 DDoS pour une atténuation combinée.
Scanners de vulnérabilités
Bots sondant l'application pour des CVE connus, des endpoints d'administration exposés, des identifiants par défaut et des services mal configurés. Détection combinée via les signaux bot et le moteur de signatures WAAP.
Où ce résultat apparaît
E-commerce — ventes flash et carding
Les vrais acheteurs font un pic lors des ventes flash ; les bots de carding tentent de se cacher dans le pic. La politique par vService, la baseline comportementale et les règles content-aware séparent les vrais clients des bots de credential stuffing et de carding sans bloquer les véritables acheteurs.
Banque — credential stuffing sur la connexion
Les endpoints de connexion sous pression constante de credential stuffing. La détection ATO reconnaît les tentatives distribuées low-and-slow que les rate limits par IP unique manquent ; le CAPTCHA challenge est appliqué de manière sélective, pas à chaque utilisateur légitime.
Éditeurs et médias — scraping de contenu à grande échelle
Articles, vidéos et bibliothèques d'images parcourues par des concurrents et des scrapers d'entraînement IA. La baseline comportementale capture les scrapers qui imitent le rythme humain ; la politique décide si les scrapers sont bloqués, throttlés ou autorisés sous licence.
API publiques sous abus
Endpoints API soumis au scraping, aux tests d'identifiants et aux abus de ressources. La politique bot par endpoint combinée au moteur de règles content-aware gère les abus sans affecter les consommateurs d'API légitimes.
Portails gouvernementaux — tentatives de fraude par bots
Services du secteur public ciblés par des abus de formulaires automatisés et des tentatives de fraude par bots. Le déploiement on-prem maintient les flux de données citoyennes à l'intérieur du périmètre ; la journalisation d'audit soutient les investigations.
B2B SaaS — trafic d'appareils gérés avec confiance élevée
Lorsque les utilisateurs B2B accèdent depuis des appareils gérés par votre couche de sécurité des endpoints, les signaux de confiance d'appareil alimentent le score bot — appareil géré connu + bonne posture réduit la suspicion. Les bots arrivant depuis des endpoints non gérés reçoivent toujours une inspection complète.
Fonctionnalités qui implémentent cette solution
Capacités référencées par cette solution — les pièces techniques qui composent les contrôles décrits ci-dessus.
Évaluation continue de la confiance
La confiance gagnée à la connexion n'est pas portée éternellement. Chaque session reste sous évaluation, à chaque étape.
Mise en quarantaine du trafic
Au lieu d'un blocage instantané, observez le comportement ; mettez la source qui dépasse le seuil en quarantaine pour une durée définie, puis relâchez-la automatiquement.
Rapports d'Attaques WAAP
3 000+ règles, taxonomie OWASP / API Top 10 / CWE, 14 axes de corrélation, rollups par host-group + cross-group.
CAPTCHA Auto-hébergé
Génération, diffusion et vérification — tout à l'intérieur de l'ADC. Zéro appel vers un service cloud tiers.
Protection contre la prise de contrôle de compte
Arrêtez le credential stuffing, la force brute et les tentatives de détournement de session en vous basant sur une décision de risque combinée — pas un seul signal.
Limitation de débit
Une IP, un compte, une clé API — vous décidez quelle dimension limiter.
Protection contre les attaques de connexion
Trois niveaux de friction graduée — avertir, challenger, verrouiller — sur IP, nom d'utilisateur, ou les deux. CAPTCHA self-hosted, aucun cloud externe.
Protection de session
De la génération du session ID à la sécurité des cookies, du contrôle de bind IP+UA à la gestion des idle et absolute timeouts, protégez la session sous un seul policy graph.
Questions fréquentes
En quoi est-ce différent d'un WAAP générique ?
Est-ce que cela va bloquer des clients légitimes ?
Ai-je besoin d'un SDK côté client dans mon application mobile ?
Une règle bot peut-elle agir sur le contenu d'un corps de requête JSON ?
Quelles actions d'atténuation sont disponibles ?
Le modèle de bande passante exclut-il le trafic bot bloqué ?
En quoi le scoring bot est-il différent du machine learning des concurrents ?
TR7 fait-il de la gestion des bots uniquement sur le trafic web public ?
Une défense bot qui s'explique — sur votre plateforme
Demandez une démo en direct de TR7 Bot Management. Nous exécuterons le scoring sur du trafic réel, présenterons les 46 facteurs et montrerons comment les règles content-aware agissent sur les valeurs de corps JSON sans scripting.