La Fourchette (TripAdvisor) bloque le scraping sur ses applications

L’enjeu : des ressources utilisées inutilement

Le site de la Fourchette propose deux types de contenus à ses utilisateurs : du contenu public (horaires des restaurants, cartes …) et du contenu à valeur ajoutée comme peuvent l’être les avis et les disponibilités de chacun des restaurants référencés. Ce sont ces contenus, à forte valeur ajoutée, qui étaient régulièrement la cible de robots scrapers, ces robots qui aspirent les données soit pour la concurrence soit pour les revendre à d’autres fins.

LaFourchette était également confronté à des tentatives d’Account Takeover : « Bien qu’ils n’aient jamais réussi à passer nos barrières de sécurité, nous constations régulièrement que des hackers venaient sur notre site pour tester des adresses email et voir si ces dernières étaient associées à des comptes (énumération de comptes). S’ils avaient réussi à passer, ces manipulations leur auraient permis d’enrichir leurs bases de données pour les revendre par la suite avec des données consolidées, » constate Damien Gilloz, Ingénieur Système Linux et DevOps chez LaFourchette.

Entraînant des pics de trafic non prévisibles, la combinaison de ces deux sources de trafic malveillant pouvait parfois conduire à une interruption de service du site et de l’application mobile. Les requêtes inutiles, et même nuisibles, surchargeaient les serveurs et entraînaient des coûts d’hébergements et de maintenance supplémentaires.

« Nous avons des pics d’audience naturels, à certaines périodes de l’année, qui peuvent susciter des coûts d’hébergements supplémentaires – comme cela peut être le cas lors de la Saint-Valentin par exemple », précise Damien Gilloz.

« Nos équipes savent les absorber, les gérer et les anticiper. Mais dans le cas de robots scrapers ou impersonators, nous payions pour un trafic sans valeur ajoutée et complètement inutile pour nos clients. »

À cette époque et avant la mise en place de DataDome, les équipes IT procédaient au blocage manuel des adresses IP, travail long et fastidieux, demandant une veille constante du trafic.

La solution : DataDome identifie et filtre tout le trafic automatisé dès la requête

C’est à l’arrivée de Damien Gilloz dans l’entreprise que DataDome a été installé. « L’équipe de LaFourchette avait conscience qu’il y avait un problème sur son trafic, mais ne savait pas forcément qu’il était le fruit de robots. En parallèle de mon arrivée, un de nos partenaires a recommandé DataDome. J’étais pour ma part déjà familier de la solution, nous n’avons eu qu’à nous mettre d’accord sur les conditions », explique-t-il.

La phase d’installation de DataDome a été entièrement gérée par les équipes de LaFourchette qui bénéficie, en interne, d’une solide équipe d’ingénieurs système très compétente et bien au fait de l’architecture de leurs applications.

Les équipes de LaFourchette se servent aujourd’hui principalement de la fonction Custom Rules, qui leur permet de créer des règles, propres à leur trafic, par anticipation.

« Nous avons décidé de bloquer par défaut tous les robots identifiés comme « bad bots ». Ce premier filtre nous permet de nous assurer un trafic de qualité. Ensuite, nous avons travaillé avec tous nos partenaires afin que ces derniers utilisent un user agent spécifique, nous permettant de les autoriser et de leur garantir un accès total au site. Ces Custom Rules, rapides à implémenter, nécessitent un travail en amont avec nos partenaires afin de les préparer à utiliser un user agent spécifique. »

Aujourd’hui, l’équipe IT est en charge du suivi opérationnel de la solution. LaFourchette a également choisi de réserver un accès au dashboard DataDome à son équipe Tech Partenaires et Analytics. Celles-ci peuvent consulter les données du dashboard et alerter en temps réel les équipes IT lorsqu’un nouveau partenariat est signé, ou dans le cas des équipes Analytics, pour comprendre la répartition du trafic.

Les résultats : des ressources 100% disponibles pour du trafic légitime

Après plusieurs mois d’utilisation, les résultats se font ressentir : les tentatives d’account takeover sont bloquées en temps réel par l’intelligence artificielle de DataDome, sans intervention des équipes techniques. Le scraping a, quant à lui, diminué et les ressources sont 100% disponibles pour le trafic légitime du site.

« Nous faisons face à une évolution constante du nombre de visites sur notre site. ll nous est donc difficile de donner des chiffres précis. Cependant, grâce à l’installation de DataDome, nous avons pu constater que nous n’avons plus de pic de consommation de bande passante à des moments incohérents pour des utilisateurs humains. Nous sommes donc maintenant certains que nous concentrons 100% de nos efforts pour nos utilisateurs, particuliers ou professionnels”, conclut Damien Gilloz.