Que sont les « sneaker bots » ? Comment les détecter et les éviter ?

Le marché des baskets (ou sneakers) est un secteur très lucratif. Et là où il y a de l’argent, les fraudeurs et les bots ne sont jamais loin.

Si vous travaillez pour un détaillant de sneakers ou pour tout site vendant des produits en quantité limitée, vous avez probablement déjà assisté à ce scénario en temps réel : une mise en vente très attendue est lancée, le trafic explose, le stock s’épuise en quelques secondes… et la majeure partie a été accaparée par des bots, et non par de vrais acheteurs. Vos vrais clients se retrouvent les mains vides et frustrés, et expriment leur mécontentement sur les réseaux sociaux. Votre site a peut-être même cessé de fonctionner sous l’effet de cette charge.

C’est là tout le problème des bots spécialisés dans les baskets. Et il devient de plus en plus difficile à résoudre, car ces bots sont de plus en plus intelligents.

Dans cet article, nous allons vous expliquer en détail comment fonctionnent les sneakers bots, pourquoi ils peuvent être difficiles à détecter, et enfin, vous proposer quelques solutions pour vous aider à empêcher le trafic généré par ces bots d’affecter votre site.

Qu’est-ce qu’un sneaker bot ?

Un sneaker bot est un logiciel automatisé conçu pour acheter des sneakers en édition limitée plus rapidement que n’importe quel utilisateur humain.

Lorsqu’une paire de sneakers très convoitée est mise en vente, elle peut être épuisée en quelques secondes. Les sneaker bots exploitent cette fenêtre en automatisant chaque étape du processus d’achat — navigation, ajout au panier, remplissage des formulaires et finalisation du paiement — souvent en moins de temps qu’il n’en faut à un client humain pour charger la page du produit.

Certains utilisateurs de « sneaker bots » sont des collectionneurs qui cherchent à augmenter leurs chances d’obtenir une paire qu’ils souhaitent réellement porter. La plupart, cependant, sont des revendeurs.

Selon StockX, l’un des nombreux sites de revente de baskets, le marché mondial de la revente de sneakers est actuellement évalué à 6 milliards de dollars, près de 30 % des chaussures étant achetées en ligne.

Les chaussures les plus convoitées peuvent atteindre plusieurs milliers de dollars la paire, et ces marges font de l’utilisation de sneaker bots haut de gamme un investissement très rentable.

Pourquoi les sneaker bots sont-ils difficiles à détecter ?

Les bots de baskets comptent parmi les bots les plus sophistiqués. Leurs développeurs savent exactement comment fonctionne la détection des bots, et ils conçoivent leurs bots en tenant compte de cela.

Les opérateurs de sneaker bots utilisent les tactiques suivantes pour éviter la détection :

Fausses empreintes digitales de navigateur

Les meilleurs sneaker bots usurpent avec précision les empreintes de navigateur et HTTP. Ils suppriment les indicateurs `navigator.webdriver`, créent de faux agents utilisateurs réalistes et maintiennent des ensembles de fonctionnalités de navigateur cohérents en interne, qui semblent impossibles à distinguer du trafic légitime de Chrome ou de Safari.

Simulation du comportement humain

Les bots modernes ne se précipitent pas toujours pour finaliser leur commande en un temps record ; ils doivent simplement être plus rapides que les acheteurs humains. Pour éviter de déclencher la détection comportementale, ils simulent les mouvements de souris, les événements clavier et des schémas de navigation réalistes.

Proys résidentiels

Les meilleurs opérateurs de bots spécialisés dans les sneakers n’utilisent pas d’adresses IP de centres de données. Ils ont recours à des proxys résidentiels jouissant d’une réputation irréprochable et d’un historique de longue date. Chaque requête provient d’une adresse différente, à un volume normal. Il n’y a donc pas de pic de trafic provenant d’une seule adresse IP susceptible d’attirer l’attention.

Faible volume de requêtes par adresse IP

Contrairement aux scrapers ou aux « credential stuffers », les sneaker bots ne bombardent pas votre site à partir d’une seule source. Chaque proxy gère un volume de requêtes faible et réaliste, ce qui rend la détection basée sur le volume pratiquement inefficace.

Contournement des CAPTCHA

Les bots sophistiqués confient la résolution des CAPTCHA à des services tels que 2captcha, ou font résoudre les défis par des utilisateurs en temps réel via l’interface du bot. Certains opérateurs disposent de comptes Google anciens jouissant d’une excellente réputation afin de recevoir des défis plus simples.

Pourquoi les stratégies de protection courantes échouent face aux « sneaker bots »

Blocage d’IP et limitation de débit

La limitation de débit part du principe qu’un bot envoie de nombreuses requêtes depuis une seule adresse IP. Ce n’est pas le cas des sneaker bots. Ils répartissent les requêtes sur des réseaux de proxys résidentiels, de sorte que chaque adresse IP envoie une ou deux requêtes à un volume tout à fait normal. Il n’y a donc pas de pic à signaler, ni de groupe à bloquer. La limitation de débit est utile contre les robots d’indexation peu sophistiqués. Face à une opération de sneaker bots disposant de ressources importantes, elle n’a pratiquement aucun effet.

Les CAPTCHA

Un CAPTCHA n’est qu’un ralentisseur, pas un mur. Les services commerciaux de résolution de CAPTCHA peuvent venir à bout des défis standard en moins de 10 secondes pour moins d’un dollar aux mille résolutions. Les bots plus avancés les contournent complètement, en utilisant l’IA ou en redirigeant le défi vers un résolveur humain via leur propre interface.

Les CAPTCHA créent des frictions. Ils n’arrêtent pas les bots qui sont préparés à ces frictions.

Salles d’attente virtuelles

Ce point mérite qu’on s’y attarde davantage, car de nombreux détaillants se contentent d’ajouter une file d’attente et considèrent que le problème est résolu. Ce n’est pas le cas.

Les salles d’attente virtuelles traditionnelles ont été conçues pour absorber les pics de trafic et éviter la surcharge des serveurs, pas pour détecter les bots. Elles prennent une seule décision de confiance : passer un contrôle d’entrée, obtenir un jeton de session, rejoindre la file d’attente. Ce jeton bénéficie d’une confiance totale pour le reste de la session. Il n’existe aucun mécanisme permettant de le réexaminer.

Les bots sophistiqués spécialisés dans les baskets le savent. Ils procèdent à une ingénierie inverse des signaux d’entrée : mouvements de souris, variations de timing, empreintes du navigateur, puis les reproduisent à l’identique pendant la fenêtre d’évaluation de 3 à 5 secondes. Une fois à l’intérieur, ils sont invisibles. Pas de pics de vitesse, pas d’en-têtes suspects, rien à signaler.

Puis, le stock s’épuise. En quelques millisecondes, le bot passe en mode entièrement automatisé : ajout au panier, remplissage de formulaire, paiement. C’est terminé. Comme l’ensemble du processus se déroule à l’intérieur du périmètre de sécurité, les systèmes de contrôle d’accès ne le détectent jamais.

Comment DataDome bloque-t-il les sneaker bots ?

Le logiciel de lutte contre les bots de DataDome propose plusieurs solutions pour bloquer les sneaker bots :

Bot Protect : bloquer les bots à la périphérie

DataDome Bot Protect analyse 100 % des requêtes adressées à votre site à l’aide de milliers de modèles d’IA, en combinant des signaux côté serveur et côté client. Il évalue en temps réel les empreintes de navigateur, les schémas comportementaux, la réputation des adresses IP et la structure des requêtes, bloquant ainsi les bots dès la première requête avec une latence inférieure à 2 ms.

DataDome traite quotidiennement 5 000 milliards de signaux à travers plus de 85 000 modèles d’IA.