Cloudflare attribue des portefeuilles aux bots : HTTP 402 se réveille et le web se divise en deux

```html

Le 4 août 2026, Cloudflare a attribué des portefeuilles aux agents IA. Pas au sens métaphorique — littéralement : un agent reçoit un compte en stablecoins, et le site derrière Cloudflare peut lui répondre avec un code HTTP 402 Payment Required avec un prix au lieu d'une page. Le code 402 était resté pendant trente ans dans la spécification HTTP comme « réservé pour l'avenir ». L'avenir est arrivé, et il modifie directement l'économie du web scraping.

Qu'est-ce qui a été annoncé

L'annonce a eu lieu lors de la semaine des agents — une semaine thématique de Cloudflare. Deux produits ont été lancés le même jour :

• Cloudflare Wallets — un portefeuille programmable. Il y a le portefeuille de compte, qui est détenu par la personne propriétaire du compte : elle dépose et retire des fonds. Et il y a les portefeuilles virtuels — qui sont attribués à des agents spécifiques, l'accès se fait par clé API, et les limites sont définies par le propriétaire. Les garde-fous sont clairement énoncés dans l'annonce : budget autorisé (allowance), liste des destinataires autorisés (allow-list) et montant maximum d'une transaction.
• cloudflare.pay — un identifiant. Le compte reçoit une adresse web stable, agissant comme une identification ; l'identité peut être déléguée à des agents spécifiques, afin que la partie réceptrice puisse voir qui a effectivement autorisé la demande.

Matthew Prince, cofondateur et PDG de Cloudflare, a formulé la logique ainsi : lorsque l'agent frappe à votre porte, vous devez savoir qui l'a envoyé, — l'entreprise donne aux agents un « visage », un lien avec une personne ou une organisation propriétaire, et c'est sur cette base que la confiance, la responsabilité et le commerce peuvent se développer.

Un détail important souvent perdu dans les récits : actuellement, seule la réservation de l'identifiant fonctionne. Will Pepper, directeur produit, décrit le reste au futur : le portefeuille « permettra » de stocker des stablecoins, d'acheter des services et d'accepter des fonds. Un accès complet, y compris les dépôts et retraits de fonds et les portefeuilles virtuels, est promis dans les « mois à venir ». Cela signifie que c'est une demande d'infrastructure, et non une facturation opérationnelle aujourd'hui.

Sous le capot : x402 et le code 402 ressuscité

Les paiements se font via le protocole x402 — une norme ouverte, nommée d'après ce même code d'état. Le schéma s'intègre dans le HTTP classique, sans redirection vers une page de paiement :

1. Le client demande une ressource payante.
2. Le serveur, au lieu du contenu, renvoie 402 Payment Required et une petite charge utile : le prix, l'actif accepté, où payer.
3. Le client paie et répète la demande, en joignant la confirmation de paiement.
4. Le facilitateur vérifie le paiement, le serveur renvoie la ressource.

Le protocole est issu du développement de Coinbase, et vit maintenant sous l'égide de la x402 Foundation au sein de la Linux Foundation. La composition des participants explique pourquoi ce n'est pas un énième essai de blockchain : parmi les 25+ entreprises autour de la norme se trouvent Visa, Mastercard, American Express, Google, Shopify et Stripe. Les paiements se font en stablecoins (USDC), Cloudflare annonce un règlement en sous-seconde et la possibilité pour le vendeur de recevoir des fonds directement dans son portefeuille ou de les convertir en fiat.

Ce n'est pas un premier pas, mais un troisième

Les portefeuilles sont l'élément final d'une construction que Cloudflare assemble depuis plus d'un an :

• Juillet 2025 — pay per crawl. Le propriétaire du site fixe un prix pour la zone ; un crawler qui n'a pas déclaré son intention de payer reçoit un 402 avec le prix au lieu du contenu. Cette fonction est toujours en bêta fermée.
• 1er juillet 2026 — Monetization Gateway. Extension des crawlers à quiconque : il est possible de facturer pour n'importe quelle ressource derrière Cloudflare — page web, ensemble de données, API ou appel d'outil MCP. La vérification du paiement se fait à la périphérie, et non à l'origine, il n'est pas nécessaire de construire sa propre pile de paiement. Une liste d'attente est ouverte.
• 4 août 2026 — Wallets et cloudflare.pay. Une seconde partie de l'accord est apparue : celui qui paie, et son identité.

Dans l'annonce de Monetization Gateway, il y a des exemples de tarification — il vaut la peine de les examiner attentivement, car ce sont les premiers repères publics des prix d'accès machine : quelques centimes pour une recherche web avec paiement par appel ; 0,001 $ de tarif de base plus 0,01 $ par mégaoctet sur le point de chargement ; 0,99 $ pour une escalade de support réussie — paiement uniquement pour le résultat.

Pourquoi cela se produit-il : les bots sont devenus majoritaires

La motivation économique est visible dans les statistiques de Cloudflare Radar. Pour la semaine se terminant le 10 août 2026, les bots ont généré 60,6 % des requêtes au contenu HTML contre 39,4 % pour les humains. Début juin 2026, le rapport était de 57,5 % à 42,5 % — c'est-à-dire que les machines n'ont pas seulement franchi la moitié, leur part continue de croître.

Pour le propriétaire du site, cela crée un décalage dans le modèle : le trafic augmente, mais les impressions publicitaires et les clics ne suivent pas. D'où le second levier, dont nous avons parlé séparément : à partir du 15 septembre 2026, Cloudflare bloque par défaut les crawlers de formation et d'agent sur les pages avec publicité pour les nouveaux clients et nouveaux sites (les crawlers de recherche restent autorisés, cette configuration peut être désactivée). Selon les mesures de juillet, le blocage par défaut couvre environ 8,5 % du web de premier plan.

Le lien devient logique : d'abord fermer la porte, puis installer une caisse à côté.

Qu'est-ce que cela signifie pour le scraping : le web se divise en deux

Une conséquence clé qui mérite d'être exprimée clairement. Auparavant, il y avait deux états d'accès — « autorisé » et « bloqué ». Maintenant, il y en a trois, et le troisième est « payez ».

Mais seul le trafic qui s'est lui-même déclaré entre dans ce troisième état pas n'importe quel trafic. Pour obtenir un 402 significatif et payer, un agent doit avoir une identité : un identifiant, des requêtes signées, un lien avec le propriétaire. C'est exactement la même ligne que suit Web Bot Auth avec des signatures cryptographiques des bots — le web passe de la question « qui es-tu par IP » à la question « prouve cryptographiquement qui tu es ».

Et le trafic qui ressemble à un navigateur ordinaire d'une personne ordinaire ne tombe tout simplement pas dans le tunnel de paiement. Il va là où il est toujours allé : dans le contour anti-bot avec fingerprinting, analyse comportementale et réputation IP.

D'où le carrefour de 2026, et il faudra choisir de manière consciente :

1. Le chemin de l'« agent déclaré ». Vous obtenez une identité, payez par 402 et obtenez un accès prévisible et légalement clair sans course à l'armement. Le prix — de l'argent pour chaque requête et une traçabilité complète : la partie réceptrice voit qui vous a envoyé et peut vous désactiver spécifiquement.
2. Le chemin de l'« utilisateur ordinaire ». Vous naviguez comme une personne — avec une IP résidentielle ou mobile, avec une empreinte de navigateur honnête, à un rythme humain. Il n'y a pas de péage pour vous, car vous n'êtes pas un bot dans les termes de ce système. Le prix — la qualité de l'infrastructure : proxies résidentiels pour une couverture massive et mobiles là où un niveau de confiance maximal est nécessaire.

Le troisième chemin — « se déclarer agent et ne pas payer » — est précisément ce que cette construction ferme.

Calculez l'arithmétique avant de choisir

Les micropaiements semblent inoffensifs, jusqu'à ce que vous les multipliiez par le volume. Prenons l'indice publié par Cloudflare « quelques centimes par appel ». Même à 2 centimes, un million de pages — cela représente environ 20 000 $. Avec un tarif de base de 0,001 $, la situation est différente : le même million de requêtes donne environ 1 000 $ plus le coût du trafic. L'écart est d'un ordre de grandeur — et il dépend entièrement du prix que chaque zone fixera.

Conclusion pratique : le prix d'accès machine cesse d'être une constante d'infrastructure et devient une variable, fixée par chaque site séparément. Il ne sera plus possible de planifier un budget de collecte de données « en moyenne » — il faudra compter pour chaque source, comme on le fait pour l'achat d'API.

Important à noter : ce sont des estimations basées sur les exemples de tarification publiés par Cloudflare, et non des tarifs. Les chiffres réels apparaîtront lorsque la Monetization Gateway sortira de la liste d'attente, et que les Wallets sortiront du mode « réservation d'identifiant ».

Que faire dès maintenant

1. Vérifiez vos sources pour le 402. Ajoutez un traitement distinct du code 402 dans la surveillance des parseurs — actuellement, la plupart des pipelines le classent dans le tas général « erreur 4xx » et vous ne remarquerez pas le moment où la source est passée à un modèle payant.
2. Divisez les sources par mode d'accès. Dressez une liste : où vous accédez déjà via l'API officielle, où — comme un navigateur, où un péage payant est probable. Les grands médias et les ensembles de données derrière Cloudflare deviennent les premiers candidats à l'accès payant.
3. Ne vous précipitez pas pour vous déclarer agent. Tant que la fonctionnalité n'est pas lancée, l'enregistrement de l'identité ne donne qu'une traçabilité sans bénéfice réciproque. La réservation d'un identifiant sur cloudflare.pay est une assurance bon marché pour l'avenir, pas plus.
4. Gardez une infrastructure pour le chemin « humain ». Quelle que soit la superstructure payante, le contour anti-bot ne disparaîtra pas, et la qualité du pool IP reste un facteur de base. Si vous travaillez avec des plateformes où il n'y aura jamais de tarif machine — réseaux sociaux, places de marché, billetterie — pour vous, rien ne change formellement.
5. Prévoyez une ligne « paiement d'accès » dans le budget 2027. Même si aujourd'hui aucune de vos sources ne demande d'argent, la direction est donnée par la couche d'infrastructure, à travers laquelle passe une part substantielle du web.

Conclusion

Cloudflare a construit le maillon manquant : les machines ont maintenant à la fois une identification et un moyen de payer. Ce n'est pas « la fin de l'internet gratuit » — la facturation opérationnelle n'existe encore dans aucune des trois parties de la construction, et le pay per crawl est en bêta fermée depuis plus d'un an. Mais la direction est fixée, et derrière la norme se trouvent Visa, Mastercard, Google et Stripe, et non des passionnés.

Le sens pratique pour ceux qui collectent des données est simple. Le web se divise en deux contours : payant et identifiable — pour les agents déclarés, et humain habituel — pour tous les autres, où l'empreinte du navigateur, le comportement et la réputation IP décident. Le choix du contour est désormais une décision stratégique avec un prix, et non un détail technique. Il est préférable de le résoudre avant que la première source importante ne vous réponde avec un code 402.