N'importe qui peut se faire passer pour ChatGPT sur votre site. Google l'écrit, et voici comment vérifier

Depuis un an, les tableaux de bord se multiplient : « les robots d'IA ont visité votre site 340 fois ce mois-ci », avec un joli camembert par éditeur. C'est devenu un argument de vente, y compris le nôtre. Voici ce qui se cache derrière ces chiffres, et pourquoi ils méritent une réserve que presque personne n'écrit.

Comment un site reconnaît un robot, et pourquoi c'est fragile

Quand un visiteur, humain ou machine, demande une page, il envoie une petite phrase d'identification. Un robot d'OpenAI annonce par exemple qu'il s'appelle GPTBot. Les outils de suivi lisent cette phrase et comptent.

Le problème est que cette phrase est déclarative. Elle n'est pas vérifiée, elle n'est signée par personne, et n'importe qui peut écrire ce qu'il veut dedans. Google le dit lui-même, dans un encadré d'avertissement de sa documentation :

Ce n'est pas une hypothèse d'école. Se faire passer pour un robot connu est une technique courante : les robots légitimes sont souvent autorisés à passer les protections, donc usurper leur identité est un moyen simple de contourner un filtre. La mise en garde de Google mentionne explicitement « spammers or other troublemakers ».

La vérification existe, et elle est publique

Google publie une page entière consacrée à ce contrôle, et il classe ses accès en trois familles, chacune avec ses plages d'adresses publiées dans un fichier à part : les explorateurs courants, les explorateurs à cas particuliers, et les récupérateurs déclenchés par un utilisateur.

Deux méthodes sont documentées : la résolution de nom inversée (l'adresse doit se résoudre vers un nom de domaine appartenant à Google, et ce nom doit se résoudre à son tour vers la même adresse), et la comparaison aux plages d'adresses officielles, publiées dans des fichiers mis à jour.

Et ce n'est pas propre à Google. En lisant les documentations des autres éditeurs pour un autre article, j'ai constaté qu'ils font la même chose et le recommandent explicitement :

Autrement dit, la matière pour faire une vérification sérieuse est disponible gratuitement, chez chacun d'eux. Ce qui manque, ce n'est pas la donnée, c'est que les outils s'en servent.

Ce que ça implique pour les chiffres qui circulent

Cette fragilité se propage à tout ce qui est construit dessus. Quand vous lisez qu'un robot représente tel pourcentage du trafic automatisé, ou qu'un éditeur explore X pages pour une visite renvoyée, la première question à poser n'est pas « est-ce beaucoup », c'est comment l'identité du robot a été établie.

Deux réponses possibles. Si c'est par les plages d'adresses ou la résolution inversée, le chiffre mérite d'être discuté. Si c'est par la seule signature déclarée, il faut le lire comme une limite basse mêlée d'imposteurs : les vrais robots y sont, mais les faux aussi, et rien ne permet de faire la part.

C'est aussi pour ça que ces pourcentages varient autant d'une étude à l'autre. Ils ne mesurent pas la même chose, et la plupart ne disent pas laquelle.

Ce que ça change pour vous

Traitez ces tableaux de bord comme un indice, pas comme une mesure. Voir passer un robot d'IA est une information utile, savoir combien exactement en est une autre, et le second chiffre est plus faible qu'il n'en a l'air.

Demandez la méthode avant le chiffre. À un prestataire, à un éditeur d'outil, à une étude : comment l'identité du robot a-t-elle été vérifiée ? L'absence de réponse est une réponse.

Si vous bloquez sur la signature, sachez ce que vous bloquez. Une règle qui refuse tout ce qui s'annonce comme un robot d'IA laisse évidemment passer celui qui ment, et peut bloquer un vrai robot que vous vouliez accueillir. Les plages d'adresses publiées servent aussi à ça.

Et retenez la règle générale de cette rubrique : un chiffre se publie avec sa méthode, son échantillon et sa date, sinon il ne se publie pas. Celui-ci ne fait pas exception, y compris quand il vient de nous.