Quelle est la différence entre les bons bots et les bots malveillants ?

Bot management Scraping

Qu’est-ce qu’un bot ?

Un bot est une application logicielle qui exécute automatiquement certaines tâches rapidement et à grande échelle. C’est un outil qui peut être utilisé à bon ou à mauvais escient. Les bons bots font partie intégrante de notre vie quotidienne en ligne, tandis que les “bad bots” peuvent gravement nuire à votre entreprise si vous ne vous protégez pas correctement.

Cet article traite des différences entre les bons bots et les bots malveillants. Il traitera également des différents types d’attaques de bots, et expliquera comment vous pouvez vous protéger des bots malveillants tout en laissant les bons faire leur travail.

Les bons bots vs les bots malveillants

La façon la plus simple de classer les bots est de se baser sur leur intention : ont-ils été créés pour faire le bien ou le mal ? Cette heuristique fonctionne parce que les bots varient tellement en complexité que les autres catégorisations échouent rapidement. Les bots peuvent se résumer à quelques lignes de code destinées à automatiser une tâche répétitive, ou à plusieurs scripts travaillant ensemble pour imiter le comportement d’un être humain.

Qu’est-ce qu’un bon bot ?

Un bon bot est un bot qui exécute une tâche utile pour votre entreprise ou pour les visiteurs de votre site web. Il n’est pas conçu avec de mauvaises intentions. La plupart du temps, il ne nuit pas à l’expérience utilisateur sur les sites qu’il parcourt.

Un bon bot est généralement conçu par une entreprise réputée. Il respecte les règles du webmaster qui régissent la fréquence à laquelle les bots peuvent parcourir et indexer un site internet. Ces règles sont habituellement définies dans le fichier robots.txt du site web. Un bon bot devrait être programmé pour rechercher ce fichier, le lire et suivre ses règles avant de faire quoi que ce soit d’autre.

Voici quelques exemples de bons bots :

Les bots des moteurs de recherche, tels que Googlebot, Baiduspider, Bingbot, YandexBot et d’autres. Ces bots parcourent la vaste toile mondiale pour trouver le contenu qui améliorera les résultats des moteurs de recherche.
Les bots des réseaux sociaux, tels que Facebook Crawler et Pinterest Crawler. Ces bots parcourent les sites web qui ont été partagés sur les réseaux sociaux afin de faire de meilleures recommandations, de lutter contre le spam, de créer un environnement en ligne plus sûr, etc.
Les bots agrégateurs, tels que Feedly Fetcher. Ces bots parcourent les flux RSS ou Atom des sites web pour construire leurs flux générés automatiquement en fonction des préférences de leurs utilisateurs.
Les bots marketing, tels que SEMrush bot et AhrefsBot. Tous les logiciels de référencement et de marketing de contenu utilisent des bots qui parcourent les sites web pour chercher des liens secondaires, des mots clés organiques et payants, pour analyser la quantité de trafic, etc.
Les bots de surveillance de sites, tels que Uptimebot, les pingbacks de WordPress et PRTG Network Monitor. Ces bots pinguent votre site internet pour détecter sa performance globale et savoir s’il est en panne ou non.
Les bots de recherche vocale, tels que le crawler d’Alexa et Applebot (Siri). Tout comme les bots des moteurs de recherche, ces bots parcourent le web afin de pouvoir répondre précisément aux questions que vos utilisateurs posent à leurs assistants vocaux.

Comme vous pouvez le constater, de nombreux types de bons bots voudrons parcourir votre site web. Cela ne signifie pas que vous devez tous les laisser faire. Les bons bots occupent aussi de la bande passante.

Il n’est parfois pas utile qu’ils parcourent votre site. Par exemple, si votre entreprise n’est pas présente sur les marchés chinois ou russe, il n’est pas nécessaire que Baiduspider et YandexBot se baladent sur votre site web. Vous pouvez facilement les en empêcher à l’aide du fichier robots.txt. Le fait que ces bots obéissent à ces règles en fait de bons bots.

Qu’est-ce qu’un bot malveillant ?

Un bot malveillant est programmé pour effectuer une tâche qui nuira à votre entreprise ou aux visiteurs de votre site web. Il est conçu avec de mauvaises intentions, et détériorera directement ou indirectement l’expérience utilisateur des sites qu’il parcourt.

Les “bad bots” sont généralement conçus par des cybercriminels, des fraudeurs ou toute autre personne impliquée dans des activités illégales. Vos concurrents peuvent, eux aussi, utiliser des bots malveillants pour vous nuire. Ces bots ne lisent pas ou ignorent tout simplement les règles du fichier robots.txt.

Les bots malveillants sont malheureusement de plus en plus sophistiqués. Il s’agissait dans le passé de simples robots d’indexation, facilement identifiables en tant que bots. Aujourd’hui, un nombre croissant de bots imitent le comportement humain et utilisent des logiciels tels que Chrome Headless, Playwright et Puppeteer pour tromper toutes les solutions de gestion des bots, à l’exception des meilleures.

Différents types d’attaques de bots malveillants

1. Les attaques DDoS de la couche 7

DDoS signifie Distributed Denial of Service (déni de service distribué). Pendant les attaques DDoS de la couche 7, les bots malveillants cibleront des processus spécifiques de la couche applicative et submergeront ces fonctions ou fonctionnalités jusqu’à ce que vos sites web, applications ou API ralentissent considérablement ou tombent en panne. Selon Neustar, en 2017, ces attaques ont coûté en moyenne 2,5 millions de dollars de chiffre d’affaires.

2. Le web scraping

Les scraping bots volent les prix, les descriptions de produits ou d’autres contenus précieux de votre site web et les utilisent ailleurs sans votre autorisation. Les concurrents peuvent utiliser ces bots pour casser vos prix ou réutiliser rapidement votre contenu. Leurs résultats sont parfois mieux classés dans les moteurs de recherche, ce qui nuit à votre référencement et vous fait perdre des clients.

3. La fraude au clic

La fraude au clic ou la fraude publicitaire consiste à générer de fausses pages consultées, de faux clics et de fausses impressions pour faire perdre de l’argent aux annonceurs sans générer de ventes. Les bots malveillants font cela à grande échelle, ce qui coûte aux entreprises des milliards de dollars par an. C’est une mauvaise chose pour les annonceurs, mais aussi pour les éditeurs, qui veulent entretenir de bonnes relations avec leurs annonceurs. La fraude au clic peut gravement nuire à leur réputation.

4. L’Account Takeover (ATO)

On parle d’Account takeover lorsque des bots malveillants s’emparent de comptes utilisateurs pour accéder à leurs données personnelles, à leurs comptes bancaires et cartes bancaires associées. Ils utilisent pour cela des techniques de credential stuffing et de credential cracking attack : ils collectent des informations provenant de fuites de données pour bourrer ou forcer les noms d’utilisateur et les mots de passe à grande échelle. Une fois dans le système, ils peuvent voler l’identité d’une personne ou utiliser frauduleusement sa carte bancaire. Lisez ici comment prévenir les attaques de carding

5. Le spam

Les bots malicieux peuvent envahir votre site web pour poster de mauvais commentaires partout où c’est possible, faire de la publicité pour des marchandises et services illicites ou distribuer des logiciels malveillants. Ils peuvent également rechercher sur votre site web des adresses e-mail auxquelles ils enverront ensuite des e-mails non sollicités. Statista a observé que 53,95 % de l’ensemble du trafic d’e-mails en mars 2020 était du spam. Bien qu’il s’agisse plus souvent d’une nuisance que d’une véritable menace, le spam peut néanmoins nuire à votre réputation et épuiser vos ressources.

Comment pouvez-vous prévenir les attaques de bots ?

Utilisez une solution de protection contre les bots

Vous avez besoin d’une solution dédiée à la gestion des bots. Les principaux bureaux d’études indépendants considèrent que les entreprises sont de plus en plus matures en matière de gestion de bots et qu’elles ont tout intérêt à investir dans ce domaine, et ce, pour une raison bien précise. Les solutions de gestion des bots sont aujourd’hui des logiciels de cybersécurité indispensables pour protéger vos sites web, vos applications et vos API. Ces solutions sont particulièrement cruciales pour bloquer les bots alimentés par l’IA, qui utilisent des techniques avancées pour imiter le comportement humain et contourner les défenses traditionnelles.

DataDome est un logiciel de gestion des bots en temps réel qui protège votre entreprise contre toutes les attaques énumérées ci-dessus. Il détecte et bloque les bots malveillants en moins de 2 ms, même si ces bots passent par des milliers d’adresses IP pour être plus difficiles à détecter.

DataDome sait en outre que chaque entreprise dispose d’une pile technologique différente. L’architecture de votre site web, aussi complexe soit-elle, ne doit pas vous empêcher d’investir dans la bonne solution de gestion des bots. DataDome fonctionne sur n’importe quelle infrastructure web et peut être déployé en quelques minutes. Il n’y a pas d’installation complexe, bien que vous puissiez personnaliser DataDome à votre guise si vous le souhaitez.

L’univers des bots malveillants est en constante évolution. Si l’algorithme de DataDome détecte une nouvelle menace de bot sur l’un des domaines qu’il protège, il propagera cette information en moins de 50 ms à tous les clients de DataDome. Ainsi, plus il y a de sites sous sa protection, mieux il protège.

Exclure les bots de Google Analytics

Les bots peuvent vous faire croire que votre site internet reçoit bien plus de visiteurs qu’il ne le fait en réalité. Il est alors impossible d’utiliser Google Analytics pour prendre des décisions fondées sur des données. Bien qu’il soit possible d’exclure les bots malveillants connus de vos données dans les paramètres de l’interface d’administration, Google Analytics n’est pas un logiciel de détection de bots.

Google Analytics sera incapable d’identifier de nombreux bots moins connus, nouveaux et avancés. Ces bots peuvent parfois représenter la majorité de votre trafic web. Il arrive souvent que les bots représentent 70 % du trafic (nous l’avons vu, de nos yeux vu). En outre, même si Google Analytics comprenait parfaitement quel visiteur est un bot et lequel est un humain, il n’empêcherait pas le “bad bot” d’essayer de faire des ravages sur vos sites web, vos applications et vos API.

Utiliser des CAPTCHA

Les CAPTCHA permettaient auparavant de se protéger assez efficacement contre les bots. Toutefois, au cours de ces dernières années, les bots ont trouvé comment contourner les CAPTCHA, à tel point que ces derniers sont aujourd’hui difficiles pour les humains et faciles pour les bots. Alors que les CAPTCHA étaient autrefois une nuisance qui avait au moins une certaine utilité, ils tuent aujourd’hui vos conversions, rendent Internet moins accessible et n’offrent en échange qu’une protection très limitée.

Mettre en place un WAF

Un bon pare-feu d’application web peut bloquer les menaces courantes qui s’appuient sur des agents utilisateurs et des adresses IP malveillantes connues. Cependant, les bots passent désormais par des centaines, voire des milliers d’adresses IP résidentielles ayant une bonne réputation. Les WAF et leurs règles centrées sur l’IP ne sont plus en mesure de détecter et de prévenir les bots modernes.

Mettez en place une MFA

L’authentification multifacteur est un excellent outil de sécurité pour bloquer les mauvais bots sur vos pages de connexion. Vous ne pouvez toutefois pas forcer vos utilisateurs à utiliser une MFA, même si vous soulignez son importance dans votre interface utilisateur. Malheureusement, de nombreux utilisateurs ne prendront pas la peine de l’utiliser, car ils pensent que cela introduit des frictions inutiles. Ils sont donc vulnérables aux usurpations de compte.

Conclusion

Cet article a expliqué la définition d’un bot, la différence entre les bons bots et les bots malveillants, les différents types d’attaques de bots et comment vous pouvez les empêcher.

DataDome propose un essai gratuit de 30 jours qui vous montrera la quantité de bots qui parcourent déjà votre site web. Vous pouvez facilement mettre en place l’essai par vous-même, sans carte bancaire. Démarrez l’essai dès aujourd’hui pour mieux comprendre les menaces qui pèsent sur vous.

Paige Tester

Director of Content Marketing

Paige est directrice du marketing de contenu chez DataDome. Forte d'une expertise de plus de dix ans dans la création de contenu, elle dirige le développement de contenu stratégique approfondi qui met en avant les techniques avancées de détection des bots et de la fraude en ligne. Son travail fournit aux professionnels de la cybersécurité des informations exploitables et des connaissances de pointe, qui leur permettent de garder une longueur d'avance sur les menaces émergentes.