Sommaire
Cloudflare, Chrome, Firefox, Edge et Shopify travaillent sur un protocole destiné à distinguer les humains des robots sans recourir aux CAPTCHA. PACT reste toutefois au stade de projet et ne permet pas d’identifier ni d’autoriser les agents autonomes.
Cloudflare a présenté le 22 juin 2026 PACT, pour Private Access Control Tokens, avec Mozilla Firefox, Google Chrome, Microsoft Edge et Shopify.
Le projet repose sur un principe simple. Lorsqu’un site dispose d’éléments suffisants pour considérer qu’une personne est bien présente, il peut délivrer au navigateur un jeton de preuve anonyme.
Le navigateur pourrait ensuite présenter ce jeton à d’autres sites. Ceux-ci sauraient qu’un humain se trouve derrière la requête, ou qu’un agent agit sous sa supervision, sans imposer de connexion, de CAPTCHA ou de suivi permanent.
PACT cherche ainsi à répondre à la présence croissante des agents sur le Web, alors que le fonctionnement actuel repose encore largement sur une opposition entre trafic humain et trafic automatisé.
Une preuve de présence humaine sans suivi
Le jeton PACT serait transmis par le navigateur lorsqu’un site demande à vérifier qu’une personne est impliquée dans l’action.
Le site qui émet le jeton ne pourrait pas savoir où il est ensuite utilisé. Le site qui le reçoit ne pourrait pas identifier l’utilisateur ni relier plusieurs utilisations entre elles.
Le système est conçu pour fournir une preuve difficile à tracer, sans recréer les mécanismes de suivi que le protocole cherche précisément à éviter.
PACT reprend sur ce point les principes de Privacy Pass, déjà utilisés pour limiter les CAPTCHA et le fingerprinting.
Le protocole ne cherche donc pas à transmettre une identité. Il vise seulement à confirmer qu’une personne est présente derrière l’action.
Un projet soutenu par plusieurs acteurs majeurs
PACT réunit Cloudflare, les navigateurs Chrome, Firefox et Edge, ainsi que Shopify.
Le projet couvre ainsi plusieurs niveaux de l’écosystème web, du navigateur à l’infrastructure réseau, en passant par le commerce en ligne. Les partenaires ont annoncé leur intention de poursuivre le développement du protocole et de le soumettre à un processus de standardisation.
PACT n’est toutefois pas encore disponible.
Aucune version publique, aucun essai technique et aucun outil à intégrer n’ont été publiés. Les sites ne peuvent donc rien mettre en place à ce stade.
Aucun calendrier de déploiement n’a été communiqué.
PACT ne règle pas l’accès des agents autonomes
PACT répond à une question précise : un humain se trouve-t-il derrière cette action ?
Il peut concerner une personne qui agit directement, mais aussi un agent auquel elle a confié une tâche tout en restant impliquée. Le protocole ne permet pas de déterminer si un agent est autorisé à accéder à un service, à agir au nom d’un utilisateur ou à effectuer une opération particulière.
Deux sujets doivent donc être distingués :
- la preuve de présence humaine,
- l’identité et les permissions de l’agent.
D’autres initiatives travaillent sur ce second besoin. Web Bot Auth permet notamment à certains robots de signer leurs requêtes, tandis que Google a enregistré son agent web avec une identité vérifiable.
L’Estonie prépare également des identifiants officiels pour les agents, avec des droits d’action limités comme consulter, modifier ou effectuer un paiement dans un cadre défini.
Deux besoins différents pour les sites
PACT peut répondre aux besoins des sites confrontés à la fraude, aux faux comptes, aux avis manipulés ou aux robots qui cherchent à se faire passer pour des personnes.
Dans ce cas, le signal recherché est la confirmation d’un humain derrière l’action.
Les sites qui souhaitent accepter des agents autonomes auront besoin d’un autre dispositif. Ils devront pouvoir vérifier qui contrôle l’agent, pour qui il agit et quelles opérations lui sont permises.
PACT ne couvre pas cette question.
Le protocole porte uniquement sur la présence d’une personne, tandis que l’identification et l’autorisation des agents autonomes font l’objet d’autres projets.
