89,6 % des sites européens avec CDN — Cloudflare : quels sont les dangers de la monoculture des filtres ?

Le 7 septembre 2026, les chercheurs de CipherCue ont publié une mesure qui mérite d'être lue par tous ceux qui naviguent sur le web européen de manière automatisée : parmi 44 143 entreprises européennes pour lesquelles un CDN a pu être détecté, 89,6 % sont derrière Cloudflare. Ce n'est pas « un leader du marché avec une large avance » — mais presque tout le marché dans son ensemble. Pour le scraping, le multi-comptes et toute automatisation, cela signifie une chose simple : l'accès à neuf sites sur dix dans l'UE est contrôlé par le même algorithme, selon les mêmes critères, à la même seconde.

Qu'est-ce qui a été mesuré

L'échantillon comprend des entreprises d'Allemagne, du Royaume-Uni, des Pays-Bas, de Pologne, de France, d'Italie, d'Espagne et d'Irlande, qui ont au moins un composant CDN identifié sur leur site. La détection a été réalisée à partir des réponses HTTP et des empreintes des serveurs : l'en-tête cf-ray et server: cloudflare pour Cloudflare, x-served-by avec un marqueur de cache pour Fastly, x-amz-cf-id pour CloudFront. La date des observations est le 7 septembre 2026.

Répartition par fournisseurs :

• Cloudflare — 39 547 entreprises (89,6 %)
• Amazon CloudFront — 3 112
• Fastly — 1 299
• Akamai — 396

La répartition par pays montre une variation significative, mais le plafond est élevé partout :

• Pays-Bas — 95,6 % (7 587 sur 7 939)
• Royaume-Uni — 93,2 % (15 846 sur 17 007)
• Pologne — 92,6 % (2 682 sur 2 896)
• France — 86,2 % (3 456 sur 4 008)
• Italie — 85,4 % (3 126 sur 3 661)
• Allemagne — 81,4 % (4 650 sur 5 715)
• Espagne et Irlande — 78,8 % chacune

Les auteurs reconnaissent eux-mêmes les limitations, ce qui est honnête : une entreprise peut être comptée sous plusieurs fournisseurs à la fois (double comptage), et l'échantillon est biaisé en faveur des petites et moyennes entreprises — un segment où le tarif gratuit de Cloudflare est le plus fort. Ainsi, 89,6 % représente la part parmi les entreprises avec un CDN détecté, et non parmi toutes les entités juridiques européennes.

Une vérification indépendante des ordres de grandeur existe : selon les données de W3Techs de septembre 2026, Cloudflare est utilisé par 84,7 % des sites pour lesquels un reverse proxy est connu, soit 25,2 % de tous les sites dans leur index. Différentes méthodologies, différents échantillons, mais une conclusion : devant un quart du web et la grande majorité des installations CDN reconnaissables se trouve un seul intermédiaire.

Pourquoi pour l'automatisation ce n'est pas « juste une part de marché »

Lorsque les filtres sont nombreux, une erreur dans une empreinte coûte l'accès à un seul site. Lorsque le filtre est en réalité unique, une erreur coûte l'accès à tout le segment d'un coup — et cela change l'économie du travail.

Cloudflare attribue à la demande un bot score de 1 à 99 : plus le score est bas, plus la confiance que l'automatisation est devant le site est élevée. Le modèle qui calcule ce score, selon la description de l'entreprise elle-même, traite plus de 46 millions de requêtes HTTP par seconde et prend en compte non seulement votre requête spécifique, mais aussi les statistiques globales de l'ensemble du réseau : la réputation de l'IP, l'ASN et le type d'adresse (centre de données / résidentielle / mobile), la cohérence des en-têtes, l'empreinte TLS, les signes comportementaux. La détection est stratifiée — heuristiques plus ML, et une grande partie des décisions repose sur l'apprentissage automatique.

Conséquence pratique : votre pool et votre empreinte sont évalués non pas par le site, mais par le réseau. Si vous êtes repéré sur une ressource, le signal de réputation est déjà pris en compte lors de la prochaine requête à une autre. Dans un monde où neuf des dix sites européens sont sur ce réseau, « changer de cible et attendre » cesse d'être une stratégie.

L'IP résidentielle a cessé d'être une indulgence

L'ancienne logique « j'ai pris une adresse résidentielle — je passe pour un humain » se heurte au fait que le fournisseur de filtrage a depuis longtemps repéré cette astuce. Cloudflare a décrit publiquement un modèle distinct contre les bots passant par des proxies résidentiels : ils ont d'abord essayé des signes réseau (sauts supplémentaires, latence), mais ont abandonné en raison de faux positifs sur Internet par satellite, et sont passés à l'analyse comportementale — des pics d'activité caractéristiques sur les adresses IP. Dans leur publication, ils mentionnent l'ampleur du phénomène qu'ils observent : environ 17 millions d'IP uniques par heure impliquées dans des attaques via des proxies résidentiels, 45 000 ASN et 237 pays et régions (ces chiffres se réfèrent à mars 2024, l'entreprise n'a pas fourni de données plus récentes). La précision déclarée de la classification d'une attaque distribuée sur l'un des clients est de 95 %, avec une augmentation de la détection des bots provenant des réseaux cloud de 20 %.

Un détail important de là-bas : le modèle n'est pas intentionnellement basé sur le blocage des IP — afin de ne pas exclure les utilisateurs légitimes de ces mêmes réseaux. C'est une bonne nouvelle pour le trafic légitime provenant d'adresses résidentielles et une mauvaise nouvelle pour ceux qui comptent sur le fait que « la maison » donne automatiquement le feu vert. Ce n'est pas le type d'adresse qui fonctionne, mais la combinaison « type d'adresse + comportement + empreinte ». Une analyse détaillée des différences entre les murs a été faite dans la comparaison des systèmes anti-bots Cloudflare, DataDome, Akamai et Kasada — il est maintenant temps d'y revenir en tenant compte du fait que le poids de la première ligne en Europe est devenu disproportionné.

Le revers de la médaille : quand un tombe, tous tombent

La monoculture a un second aspect, non pas sur les blocages, mais sur la disponibilité. Les dix-huit derniers mois ont donné trois épisodes significatifs :

1. 18 novembre 2025 — une panne mondiale, touchant, selon les estimations, environ une page web sur cinq et un tiers des 10 000 sites et services les plus populaires. La raison selon l'analyse de l'entreprise elle-même : un changement de droits dans le cluster ClickHouse a conduit à la duplication des lignes dans le fichier de caractéristiques utilisé par le modèle ML pour le scoring des bots. Ironiquement : le mécanisme qui détermine si vous êtes un humain ou non a mis à terre une partie significative d'Internet.
2. 5 décembre 2025 — une panne à 8h47 UTC d'environ 25 minutes, touchant un sous-ensemble de clients représentant environ 28 % de tout le trafic HTTP passant par le réseau.
3. 20 février 2026 — à 17h48 UTC, certains clients utilisant BYOIP (leurs propres plages IP) ont vu leurs routes révoquées par BGP en raison d'un changement dans le pipeline d'intégration des adresses.

La formulation des auteurs de l'étude ici est précise : lorsque un fournisseur représente la majeure partie du marché, ses erreurs cessent d'être ses problèmes et deviennent les problèmes de tous en même temps. Pour le pipeline de collecte de données, cela signifie que « le site cible est tombé » et « toute la région est tombée » se distinguent désormais mal — et les alertes configurées pour un domaine spécifique deviennent fausses.

Que faire pratiquement

Ci-dessous, ce qui change réellement dans le processus de travail si l'on accepte la monoculture de filtrage comme un fait.

1. Testez la combinaison sur plusieurs sites. Si votre empreinte passe sur trois ressources, vous avez probablement vérifié le même filtre trois fois. Prenez dans votre ensemble de test une ressource derrière CloudFront, une derrière Fastly, une derrière Akamai et une sans CDN du tout, sinon l'échantillon ne prouve rien.
2. Divisez les pools par projets, pas par sites. Puisque la réputation est évaluée par le réseau, « un pool séparé pour chaque domaine » n'isole rien. L'isolation a du sens au niveau du projet et du profil : un projet — son propre pool d'adresses, son propre ensemble d'empreintes, son propre rythme.
3. Regardez le type et l'origine de l'adresse. ASN et catégorie d'adresse — entrée directe dans le scoring. Pour des objectifs sensibles, les proxies résidentiels et les adresses mobiles sont pertinents ; pour des tâches techniques massives (vérification de disponibilité, API propres, travail avec des plateformes sans anti-bot strict), il est moins coûteux et plus honnête d'utiliser des proxies de centre de données, sans gaspiller de trafic coûteux.
4. Ne brûlez pas le sous-réseau. Les modèles comportementaux détectent les pics d'activité sur l'adresse. Un rythme uniforme sur un large pool passe mieux le scoring qu'une courte rafale agressive sur un étroit.
5. Mettez votre empreinte en ordre dans son ensemble. L'empreinte TLS, l'ordre et la composition des en-têtes, la version HTTP, le comportement JS — sont évalués ensemble. Une IP résidentielle avec l'empreinte d'un client HTTP brut donne un résultat moins bon qu'une adresse de centre de données soignée avec une pile de navigateur honnête.
6. Différenciez « nous avons été bloqués » et « ils ont une panne ». Règle simple : en cas d'augmentation massive des erreurs, vérifiez d'abord si tout est tombé en même temps pour plusieurs cibles non liées et ce que montre la page de statut du fournisseur. Les retries lors d'une panne mondiale sont un moyen de brûler le pool sans raison.
7. Ayez un plan B pour le jour où le filtre tombera. Une file de tâches capable d'attendre et de rattraper ce qui a été manqué coûte plus cher à développer, mais survit à 25 minutes d'indisponibilité sans perte de données.

Conclusion

Le chiffre de 89,6 % n'indique pas que Cloudflare est mauvais, ni que le web européen s'est fermé. Il indique que la diversité des cibles ne signifie plus diversité des obstacles. Un scoring, un modèle, une base de réputation — et, par conséquent, un mode de défaillance commun : que vous soyez pris pour un bot ou que le fournisseur lui-même tombe les routes.

La conclusion pour la pratique est ennuyeuse, mais opérationnelle : cesser d'optimiser le contournement « pour le site » et commencer à optimiser le comportement — la qualité des adresses, un rythme uniforme, une empreinte cohérente, un diagnostic honnête des pannes. C'est la seule chose qui fonctionne aussi bien de l'autre côté de 89,6 % que de ce côté.