Cloudflare, Firefox, Chrome et Microsoft Edge s’allient pour créer PACT, un protocole qui veut en finir avec les CAPTCHA

Le constat est officiellement posé depuis le début du mois de juin 2026 : les humains ne sont plus tout à fait les maîtres du web.

Les bots représentent désormais environ 58 % de l'ensemble des requêtes HTTP adressées aux contenus web dans le monde, contre 42 % attribuables à des humains. Un basculement notamment dû à l'essor des agents autonomes, qui naviguent sur le web au nom d'assistants IA.

Face à cette réalité, les sites web ont répondu avec les outils qu'ils avaient sous la main : CAPTCHA, paywalls, vérifications d'identité forcées, collecte de données comportementales. Des méthodes frustrantes pour les utilisateurs soucieux de leur vie privée, et de moins en moins efficaces face à des bots toujours plus sophistiqués.

C'est dans ce contexte que Cloudflare, Mozilla Firefox, Google Chrome et Microsoft Edge ont annoncé le 22 juin 2026 le développement conjoint d'un nouveau protocole : les Private Access Control Tokens, ou PACT.

Concrètement, comment ça marche ?

L'idée centrale est simple. Les PACT permettent à des sites web ayant une connaissance solide de l'identité de leurs visiteurs d'émettre des jetons anonymes. Le navigateur de l'utilisateur stocke ce jeton et peut le présenter à d'autres sites comme preuve qu'un humain réel est à l'origine de la session, ou qu'un agent automatisé agit avec une autorisation légitime, réduisant ainsi le besoin de vérifications d'identité répétées.

Il faut ainsi penser ce jeton comme un résultat de CAPTCHA partageable et réutilisable : au lieu de prouver à chaque site que vous êtes humain, vous le prouvez une fois à un site de confiance, qui vous délivre un jeton que vous présentez ensuite ailleurs.

Défi important : PACT ne doit pas chercher à bloquer tout le trafic automatisé. Un agent IA agissant au nom d'un utilisateur pourrait détenir un jeton valide et naviguer sans friction ; un bot malveillant ou un scraper non autorisé n'aurait pas cette accréditation.

Un protocole encore en phase de projet

Si le projet peut sembler prometteur en matière de confidentialité, le média britannique The Register souligne également sa dimension commerciale. Les PACT pourraient notamment permettre aux entreprises en ligne d'identifier les visiteurs authentiques, afin qu'elles puissent concentrer leurs ressources sur le trafic qui leur importe. Pour l'heure, aucun calendrier de déploiement n'a été annoncé. Les partenaires se sont engagés à développer le protocole et à le soumettre à un processus de standardisation.

Des questions importantes restent ouvertes, à commencer par la définition de qui a le droit d'émettre des jetons. Aussi, si les tokens PACT ne contiendront pas de données personnelles, ils ne remédieront en rien aux autres techniques de pistage en ligne comme le fingerprinting. Ils pourraient également créer un système à deux vitesses entre trafic de confiance et trafic suspect, ce qui pourrait ériger des barrières pour les développeurs indépendants ou les utilisateurs de navigateurs moins courants.

Autant de problématiques que devront résoudre les quatre géants.