PACT, ou la fin des CAPTCHA : reste à savoir qui tiendra le laissez-passer

Il existe une humiliation devenue si banale qu’on ne la remarque même plus : celle d’échouer, nous les humains, au test censé prouver que nous le sommes. On plisse les yeux sur une mosaïque de feux tricolores, on hésite devant un bout de passage piéton qui déborde sur la case voisine, on recommence, et pendant ce temps les robots qu’on prétend filtrer passent la barrière sans ralentir. Le CAPTCHA est arrivé à ce point d’absurdité où il punit précisément ceux qu’il devrait laisser entrer. C’est cette mécanique à l’envers qu’un projet annoncé le 22 juin par Cloudflare, baptisé PACT, promet enfin de renverser. À condition de regarder qui se tiendra, demain, derrière le guichet.

Tous les captchas mènent à la même impasse

Le marché en a aligné de toutes les formes. Le reCAPTCHA de Google, omniprésent, qui a fait de nous les annotateurs gratuits de ses jeux de données avant de nous noter en silence sur un score de comportement. Le hCaptcha, son clone privacy-friendly, qui vous fait étiqueter des images au profit d’algorithmes tiers. Le slider de GeeTest, très répandu en Asie, qui scrute la trajectoire de votre souris. Les mini-jeux de rotation 3D d’Arkose Labs, réservés aux flux à haut risque des banques et des plateformes de jeu. Le Friendly Captcha allemand, qui troque l’énigme contre une preuve de calcul invisible et un argument RGPD. Des philosophies différentes, mais une même destination : ajouter de la friction sur le dos de l’utilisateur honnête en espérant qu’elle gêne davantage la machine que l’homme.

Depuis quelques années, j’ai cessé de jouer à ce jeu-là et je ne déploie pratiquement plus que Cloudflare Turnstile. La raison tient en un mot : il ne me demande rien. Pas de damier, pas de bus à pointer du doigt, juste une sonde discrète qui interroge l’environnement du navigateur et rend un verdict sans m’interrompre. Pour le visiteur, la vérification devient invisible ; pour l’éditeur, l’intégration est triviale et gratuite. C’est, à ce jour, la meilleure expérience que j’aie testée, et elle dessinait déjà la sortie : le bon captcha est celui qu’on ne voit pas.

Le jour où la machine a mieux réussi que nous le test d’humanité

Si ces dispositifs vacillent tous en même temps, ce n’est pas un hasard de calendrier, c’est un basculement de fond. Les modèles de langage lisent désormais une image distordue mieux que la plupart d’entre nous, et les fermes de résolution facturent le millier d’énigmes pour quelques centimes. Le test visuel, qui supposait un avantage cognitif humain, repose sur un avantage qui n’existe plus. Pire : plus de la moitié du trafic mondial est aujourd’hui le fait de robots, et l’essor des agents autonomes brouille la frontière même que le captcha prétendait tracer. Quand votre assistant réserve un billet de train ou fait vos courses pendant que vous dormez, faut-il le bloquer comme un nuisible ou le laisser passer comme un mandataire légitime ? La vieille question binaire, humain ou machine, ne veut tout simplement plus rien dire.

PACT : un laissez-passer anonyme

C’est là qu’intervient PACT, pour Private Access Control Tokens. L’idée est élégante. Un site qui a déjà de bonnes raisons de vous croire humain, typiquement un service où vous possédez un compte, émet un jeton cryptographique anonyme. Votre navigateur le conserve et le présente ailleurs comme une attestation : il y a un humain dans la boucle. Comme vous avez passé l’épreuve une fois, vous n’avez plus à recommencer aux quatre coins du web, et comme le jeton ne contient aucune donnée personnelle, le site qui le reçoit ignore d’où il sort.

La prouesse n’est pas dans la technologie, qui n’a rien d’inédit. PACT s’appuie sur Privacy Pass, l’architecture que l’IETF a normalisée en 2024 dans les RFC 9576 à 9578, et dont les signatures RSA aveugles garantissent un double aveuglement : l’émetteur ne sait pas quel site vous visitez, le site ne sait pas qui vous êtes. Apple pratique déjà exactement cela depuis 2022 avec ses Private Access Tokens nichés dans iOS 16 et macOS Ventura, Cloudflare étant l’un de ses émetteurs en production. La nouveauté de PACT tient à deux élargissements décisifs. Le premier : on ne se contente plus d’attester « cet appareil est un vrai iPhone », on atteste « il y a une personne derrière la requête », indépendamment du matériel. Le second : le dispositif prévoit aussi de délivrer des jetons aux bots autorisés, afin de démarquer l’agent mandaté du crawler sauvage qui aspire le web à l’aspirateur de chantier. Et le projet n’est pas une lubie de Cloudflare seul : Mozilla Firefox, Google Chrome, Microsoft Edge et Shopify sont autour de la table pour le porter vers une standardisation ouverte. Sur le papier, tout pour plaire.

Le revers du jeton : un web à deux vitesses

Reste que tout laissez-passer crée, par construction, deux catégories de citoyens. D’un côté le trafic muni de son joli jeton, présumé de confiance ; de l’autre, tout le reste, suspect par défaut. Or qui se retrouve dans ce reste ? L’utilisateur de Tor, l’adepte d’un navigateur exotique, le bricoleur d’une configuration trop singulière pour qu’un émetteur veuille lui signer quoi que ce soit. Celui-là, précisément parce qu’il tient à sa vie privée, risque de devenir un citoyen de seconde zone, condamné à remplir des damiers pendant que les autres glissent sans frottement. La promesse de fluidité a un prix, et il est payé par les marges.

S’y ajoute un problème de pouvoir que ma ligne ne peut pas ignorer. Cloudflare est déjà le videur d’une part vertigineuse d’Internet ; lui confier l’arbitrage de qui mérite un jeton d’humanité, c’est consacrer un point de contrôle unique sur la circulation mondiale. La présence de Mozilla dans la pièce est une garantie précieuse, celle d’un témoin attaché à l’ouverture du standard plutôt qu’à sa capture par quelques acteurs dominants, et je suis sincèrement content qu’il y soit. Je nuancerais tout de même l’assurance : Mozilla tire l’essentiel de ses revenus du chèque que lui signe Google, et l’histoire a montré que même les gardiens du web libre savent plier quand l’infrastructure l’exige, à l’image des DRM finalement intégrés à Firefox. Un témoin attentif, donc, mais pas un contre-pouvoir de poids égal. Mais une garantie n’est pas une architecture. Et il faut le redire, car l’emballement le fait oublier : PACT supprime le captcha, pas la surveillance. Le fingerprinting, votre adresse IP, les mille autres signaux que le navigateur sème derrière lui restent intacts. On enlève la corvée visible, on laisse le pistage invisible.

C’est pourquoi, à côté de l’enthousiasme légitime, je continue de regarder du côté des solutions qu’on rapatrie chez soi. Un captcha à preuve de travail, auto-hébergeable et open source comme ALTCHA, ne vend ni vos clics ni votre attestation à un tiers, et ne demande à personne la permission d’exister. Soyons honnête : reposant lui aussi sur une preuve de travail, il ne tranche pas mieux que les autres la question de l’agent IA légitime, et la frontière humain/machine continue de lui échapper. Mais ce n’est pas sur ce terrain qu’il faut le juger, car il ne promet pas le filtrage parfait, il rend à l’éditeur le contrôle de sa propre porte sans déléguer à un intermédiaire centralisé le droit de dire qui passe. Ce n’est pas la même ambition que PACT, c’est une autre philosophie : celle de la souveraineté plutôt que du laissez-passer délivré d’en haut.

Alors oui, l’idée de PACT est excellente, et je signe des deux mains pour en finir avec les feux tricolores. Mais pour l’instant, ce n’est qu’un projet, sans date ni lieu de standardisation confirmé, et la vraie question qu’il pose n’est pas technique, elle est politique. Débarrasser le web du CAPTCHA est un progrès. Décider qui tiendra les clés du laissez-passer, c’est tout autre chose, et c’est sur ce terrain-là, pas sur celui de la cryptographie, que se jouera la suite.