# Cloudflare affine ses défenses contre les bots avec les pages de défi

_Publié le 30 octobre 2026 — https://ip73.fr/2026/10/30/cloudflare-affine-ses-defenses-contre-les-bots-avec-les-pages-de-defi/_

Le système de vérification de Cloudflare gagne en finesse en ajoutant de nouvelles modalités de pages de défi, visant à mieux discerner les requêtes automatiques sans impacter l'expérience des visiteurs légitimes. Ces pages, qui apparaissent avant l'accès au site final, sont désormais gérées par différentes actions définies lors de la création d'une règle dans le Pare-feu d'Application Web (WAF).

En substance, l'outil permet de mettre en place des « Challenge Pages » qui interceptent le trafic pour évaluer l'environnement du navigateur. Selon developers.cloudflare.com, ces défis peuvent être non-interactifs, où Cloudflare juge si le visiteur est automatisé en analysant des signaux JavaScript injectés, ou bien ils peuvent être interactifs, exigeant une action de la part de l'utilisateur.

L'entreprise pousse fortement les Managed Challenges. Ce mode dynamique permet à Cloudflare de sélectionner automatiquement le type de défi approprié en fonction des signaux reçus, ce qui, selon eux, aide à éviter les CAPTCHA classiques et réduit le temps passé par les humains à les résoudre sur l'Internet.

## Sécuriser les API sans rupture de flux

Un point technique important ressort de cette évolution : les pages de défi, en renvoyant une page HTML complète, cassent intrinsèquement les requêtes qui attendent une réponse non-HTML, comme les appels AJAX ou XHR (fetch). C'est un problème récurrent pour les applications monopages (SPA) et les intégrations d'API.

Pour pallier cela, Cloudflare recommande l'utilisation de la pré-validation Turnstile. En activant cette fonctionnalité, le widget Turnstile émet un cookie de validation persistant (le fameux `cf_clearance`) après une vérification humaine réussie sur une page HTML initiale. Ce cookie permet ensuite au visiteur d'interagir avec des points de terminaison API sensibles sécurisés par les règles WAF, offrant ainsi une sécurité granulaire sans forcer une réponse de page de défi disruptive.

## Le contexte de la menace et la résilience des systèmes

Cette attention accrue à la vérification des utilisateurs se situe dans un contexte de menaces sophistiquées. Rappelons que l'incident impliquant les clés faibles d'eMudhra, découvert au mois d'octobre 2026, a démontré la rapidité avec laquelle des certificats frauduleux pouvaient être forgés si les mécanismes de confiance étaient compromis. Pour cette crise, Cloudflare a mis en place des mesures immédiates, y compris l'ajout de journalisation pour suivre les tentatives d'établissement de connexion utilisant ces clés faibles, documentant environ 22 000 tentatives.

Parallèlement, l'infrastructure de sécurité elle-même est scrutée à une échelle plus fondamentale. D'autres projets, comme `rustls/upki`, travaillent sur des infrastructures de certificats indépendantes de la plateforme, visant à garantir de manière fiable et respectueuse de la vie privée la vérification de la révocation des certificats, un besoin essentiel face à des failles critiques.

L'utilisation de ces pages de défi, notamment pour tester la confiance des visiteurs, est d'ailleurs devenue une méthode indirecte de contrôle. Lors de la crise eMudhra, Cloudflare a déployé des sondages sur une fraction de ses pages de défi, envoyant des requêtes vers des serveurs avec des certificats signés différemment pour évaluer si les visiteurs continuaient à faire confiance aux clés vulnérables.

## Sources

- [Interstitial Challenge Pages · Cloudflare challenges docs](https://developers.cloudflare.com/cloudflare-challenges/challenge-types/challenge-pages/), developers.cloudflare.com
- [GitHub - rustls/upki: upki implements platform-independent browser-grade certificate infrastructure](https://github.com/rustls/upki), github.com
- [4 real? Tracking exploitation and patching of eMudhra’s weak keys](https://blog.cloudflare.com/emudhra-patching/), Cloudflare, 30 octobre 2026
- [Cisco Informational for Emergency Distrust of eMudhra Root and Intermediate Certificate Authorities](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-emudhra-info-ScS22A1r?vs_f=Cisco%20Security%20Advisory%26vs_cat=Security%20Intelligence%26vs_type=RSS%26vs_p=Cisco%20Informational%20for%20Emergency%20Distrust%20of%20eMudhra%20Root%20and%20Intermediate%20Certificate%20Authorities%26vs_k=1), Cisco, 28 octobre 2026