Le bon vieux CAPTCHA pourrait disparaître. Cloudflare, Chrome, Firefox, Edge et Shopify travaillent à un nouveau système de vérification fondé sur des jetons cryptographiques. L’internaute n’aura plus forcément à cliquer sur “Je ne suis pas un robot”, mais en échange, sa légitimité dépendra de plus en plus des outils qu’il utilise et de ce que ces outils acceptent de garantir pour lui.
Pénible voire absurde, certes, ce petit test agaçant avait au moins la vertu de mettre l’utilisateur au centre de la scène. L’acte venait de nous. Comme l’a repéré Siècle Digital, Cloudflare veut remplacer les CAPTCHA classiques par un protocole baptisé PACT, pour Private Access Control Tokens. L’entreprise a annoncé, le 22 juin dernier, une collaboration avec Mozilla Firefox, Google Chrome, Microsoft Edge et Shopify afin de développer un standard permettant aux sites de distinguer les visiteurs légitimes des trafics malveillants, sans recourir aux CAPTCHA ni au pistage invasif.
Sur le papier, cela promet moins de frictions, moins de cases à cocher, moins d’images illisibles. Cloudflare affirme que PACT permettrait à certains sites, capables d’avoir une “connaissance forte” de la personne, d’émettre des jetons anonymes. Le navigateur pourrait ensuite les présenter à d’autres sites pour prouver qu’un humain se trouve bien dans la boucle, sans révéler son identité ni son historique de navigation.
La question n’est plus seulement “êtes-vous humain ?”, mais “votre navigateur, votre appareil ou un service tiers peuvent-ils témoigner pour vous ?”. Alors, oui, ce peut être pratique. Le hic, c’est que la vérification ne dépendra plus de notre geste, mais d’une chaîne de confiance située en amont. Nous serons moins sollicités, mais aussi moins souverains.
Google utilise déjà des Private Access Tokens dans reCAPTCHA pour réduire le nombre de tests affichés aux utilisateurs d’iOS et de macOS. Sa documentation précise qu’un PAT sert d’attestation privée de l’authenticité et de l’intégrité d’un appareil, et que l’absence de jeton ne pénalise pas l’utilisateur. Elle indique aussi que le jeton ne contient pas d’information permettant d’identifier directement une personne ou un appareil.
Cela évite de transformer PACT en passeport numérique assumé, mais ne supprime pas le basculement politique. Demain, être reconnu comme un visiteur légitime pourrait dépendre davantage du bon navigateur, du bon système d’exploitation, du bon écosystème. Ceux qui utilisent des outils minoritaires, anciens, modifiés ou moins intégrés risquent de devenir des passants suspects.
