Nous vendons un journal qui dit quels robots d'assistants lisent votre site. Un en-tête HTTP se falsifie en trois secondes. Voici donc, avant tout chiffre, comment nous distinguons une visite réelle d'une visite revendiquée.
Un site qui veut savoir si les assistants le lisent regarde son journal serveur et compte les lignes où figure « GPTBot ». C'est le réflexe, il est naturel, et il produit un chiffre qui ne veut rien dire.
Le nom d'un robot voyage dans un en-tête HTTP, l'User-Agent.
C'est une chaîne de caractères libre, écrite par celui qui appelle, et personne
ne la contrôle.
Trois conséquences, et elles ne sont pas théoriques.
Un compteur public devient un mur d'affichage. Notre page d'accueil montre en direct les visites d'assistants sur notre propre domaine. Si elle affichait les agents déclarés, n'importe qui pourrait y écrire la ligne de son choix depuis un terminal. Un concurrent, un plaisantin, ou simplement un robot d'aspiration qui emprunte un nom connu pour passer les filtres.
Une décision d'ouverture se prend sur qui frappe. Une entreprise qui décide d'autoriser ou de refuser tel robot a besoin de savoir qui vient réellement. Une politique écrite à partir de noms revendiqués protège contre les honnêtes et laisse passer les autres.
Un budget se déplace sur ces chiffres. « Vingt pour cent de notre trafic vient des IA » est une phrase qui fait bouger des lignes budgétaires. Si la mesure compte des déclarations, elle mesure la popularité d'un nom, pas la réalité d'une visite.
La première est la plage d'adresses publiée. Plusieurs fournisseurs publient, à une adresse stable et dans un format lisible par une machine, la liste des adresses IP depuis lesquelles leurs robots appellent. OpenAI, Google et Anthropic le font. Vérifier une visite consiste alors à demander si l'adresse appelante appartient à l'une de ces plages. C'est binaire, c'est rejouable, et cela ne demande aucune coopération du site visité.
La seconde est la résolution inverse confirmée dans les deux sens. On demande à quel nom correspond l'adresse appelante, puis on demande à quelle adresse correspond ce nom, et on vérifie qu'on retombe sur l'adresse de départ. C'est la méthode historique de vérification des robots de moteurs, et elle suppose que le fournisseur tienne correctement sa zone.
Il n'existe rien d'autre. Aucune signature cryptographique n'accompagne aujourd'hui les requêtes des robots d'assistants. Il n'y a pas de jeton, pas de certificat client, pas de preuve d'identité dans la requête elle-même. Qui ne publie pas ses adresses est invérifiable, point.
Chaque ligne de journal tombe dans l'un de trois états, et nous ne les mélangeons jamais.
La proportion entre les deux premiers états est instructive en elle-même. Sur notre propre domaine, l'écart entre le déclaré et le vérifié est large, et il figure sur notre page d'accueil sans commentaire flatteur. C'est aussi ce qui nous permet de dire à un client que la moitié de ce que son outil d'analyse appelle « trafic IA » ne l'est pas.
Elle sous-compte, et nous préférons l'écrire nous-mêmes.
Un robot légitime derrière une infrastructure intermédiaire peut appeler depuis une adresse absente des plages publiées. Il est réel, il n'est pas compté chez nous.
Les agents déclenchés par un utilisateur, ceux qui vont chercher une page parce que quelqu'un vient de poser une question, n'ont pas toujours le même régime d'adresses que les robots de collecte. Nous les traitons avec les mêmes plages quand elles existent, et nous les laissons de côté quand elles n'existent pas.
Un fournisseur qui ne publie rien est invisible chez nous. Ce n'est pas un jugement sur son sérieux : c'est la conséquence directe de notre règle, et elle joue contre nous puisqu'elle réduit le chiffre que nous affichons.
Et une adresse non publiée n'est pas nécessairement une usurpation. Un fournisseur peut passer par des adresses qu'il ne documente pas. Cela s'est vu, cela a fait polémique, et notre règle ne tranche pas cette question : elle se contente de ne pas compter ce qu'elle ne peut pas prouver.
Elles tiennent en une minute, et elles suffisent à trier.
Sur quoi repose la vérification ? Si la réponse est « le User-Agent », le chiffre est décoratif. Que devient une visite non vérifiable ? Si elle est comptée avec les autres, le total est faux. D'où viennent les plages d'adresses, et à quelle fréquence sont-elles rafraîchies ? Une liste figée vieillit en quelques semaines. Puis-je voir les lignes brutes ? Un journal qu'on ne peut pas relire est une opinion avec un graphique dessus.
Nous appliquons cette règle à notre propre domaine avant de l'appliquer à celui d'un client, et le résultat est affiché en page d'accueil, y compris les jours où il est bas. Un instrument de mesure qui s'exempte de sa propre mesure n'en est pas un.
Nous branchons le même journal chez vous, et nous vous montrons l'écart entre le déclaré et le vérifié. Sans accès à vos systèmes, et sans une ligne modifiée sur votre site.
Nous lisons vos pages comme le fait un robot d'assistant, nous posons les questions de votre marché, et nous vous montrons ce qu'une IA répond à votre place.