Chez CrowdHandler, nous avons mis en place des mécanismes sophistiqués de lutte contre les bots : détection des anomalies, filtrage des adresses IP, CAPTCHA et analyse comportementale. Mais plus nous luttons contre les bots, plus une chose apparaît clairement : il n'existe pas de solution miracle.
En réalité, les « bots » ne sont pas à l’origine du problème. Cela peut sembler évident, mais derrière chaque exploitation de système de billetterie, il y a un être humain. Ou, pour être plus précis, un réseau d’individus travaillant ensemble selon des mécanismes complexes.
A Funny Question That Changed My Thinking
J'analysais l'activité des bots avec un consultant d'une grande société de sécurité. Nous avons examiné les journaux relatifs à des comportements automatisés, tels que la vérification de la disponibilité par les utilisateurs, l'extraction de mises en page ou le test des systèmes de sécurité.
Les bots suivaient un schéma qui ne semblait pas très logique, alors le consultant m'a demandé :
« À ton avis, qu'est-ce qu'ils veulent ? »
C'était une remarque pertinente, car les bots que nous analysions n'essayaient même pas d'acheter des billets. Ils collectaient des données. Cela nous a rappelé que les bots s'inscrivent dans un phénomène bien plus vaste.
Bots are not “Script Kiddies”, but they aren’t AI Masterminds either.
Il existe un mythe très répandu : les bots de billetterie seraient soit de simples scripts amateurs rudimentaires, soit des IA ultra-sophistiquées capables de contourner n'importe quel système de protection.
La réalité ? Ni l'un ni l'autre.
Ce que l'on observe dans la réalité est un écosystème bien plus nuancé — et humain. Ce qui ressemble à un simple bot est souvent un réseau coordonné d'outils et de tactiques : scrapers, outils de cartographie des sièges, rotateurs de proxys, fermes de comptes et moteurs de tarification.
Welcome to the Ecosystem
Une opération de bot de billetterie peut inclure :
- Outils de collecte de données sur les prix et la disponibilité
- Les « explorateurs » des plans de salle pour évaluer la valeur
- Proxys résidentiels pour éviter la détection
- Outils de résolution de CAPTCHA (humains et basés sur l'IA)
- Créer des groupes pour partager des informations et des scripts
- Créateurs de comptes pour une croissance à grande échelle
- Des bots compatibles avec plusieurs navigateurs, dotés d'adresses IP uniques, de cartes bancaires et d'adresses de livraison
- Des bots de revente permettant de mettre immédiatement en vente les billets acquis
Même les événements peu prisés ne sont pas épargnés. L'un de nos clients régionaux aux États-Unis, qui organise des concerts de musique classique, continue de subir un trafic persistant généré par des bots. Pourquoi ? Parce que ses données alimentent les agrégateurs de billets. Les sites de revendeurs affichent toutes les informations. Ainsi, même s'ils n'ont pas encore acheté le billet, ils peuvent se le procurer dès qu'un internaute clique sur « Acheter ».
Residential Proxies
Un tournant majeur s'est produit l'été dernier avec l'adoption généralisée des proxys résidentiels.
Au lieu de provenir d'adresses IP de centres de données, le trafic généré par les bots transite par de véritables adresses d'FAI de particuliers. Entre 30 et 100 millions d'entre elles sont disponibles à la location, et elles sont impossibles à distinguer de celles de véritables fans.
Aujourd'hui, une requête malveillante sur quatre provient de FAI résidentiels.
En bloquant ces comptes, nous risquons d'empêcher l'accès à de véritables utilisateurs, c'est-à-dire des fans qui utilisent ces mêmes réseaux sans le savoir. C'est un exercice d'équilibre délicat.
The Social Side of Scalping: Cook Groups
Les « groupes de cuisiniers » sont au cœur de l'histoire de l'humanité.
Il s'agit de communautés accessibles uniquement sur invitation, au sein desquelles les revendeurs s'échangent des astuces, publient des alertes, partagent des « captures d'écran de réussite » et vendent des formations. Elles opèrent souvent sur Discord ou sur des forums privés.
Ce n'est pas forcément l'argent qui motive les membres. Il y a aussi une dimension sociale : la reconnaissance, le « droit de se vanter » et le statut. Les bots sont des outils, mais ce qui se joue réellement derrière eux, c'est une dimension humaine : il s'agit de compétition, de communauté et d'identité.
Comme dans toutes les pyramides en ligne, ce sont ceux qui se trouvent au sommet qui gagnent de l'argent en vendant des outils, et non des billets. La plupart des participants — les « pigeons » tout en bas de la hiérarchie — cherchent simplement à faire partie du groupe.
A Legal Grey Zone
Aux États-Unis et au Royaume-Uni, l'utilisation de bots pour acheter des billets est illégale. Mais la vente de ces logiciels ? Pas nécessairement.
Cette faille a donné naissance à un marché florissant d'outils, de services et de guides pratiques. La plupart des personnes qui saturent votre site web ne sont pas des revendeurs professionnels. Ce sont des amateurs qui, à partir de quelques onglets de navigateur, utilisent des outils par abonnement qu'ils ont trouvés sur Telegram ou Reddit.
Same Tricks, Different Industry
La revente de billets n'est pas la seule cible. L'utilisation de bots est monnaie courante dans les secteurs des baskets, des jeux vidéo et de l'électronique. Et les méthodes se recoupent souvent.
Un jour, j’ai félicité un responsable du secteur de la mode d’avoir réussi à éviter les bots lors d’un lancement très attendu de baskets, mais il m’a alors révélé qu’ils utilisaient eux-mêmes des bots pour acheter les produits d’autres marques afin de se constituer des stocks. C’est devenu monnaie courante.
What a Bot Actually Looks Like
Les bots commerciaux actuels proposent des interfaces utilisateur élégantes, des tableaux de bord et des outils de configuration. Les utilisateurs peuvent :
- Sélectionnez un événement
- Choisissez la quantité, le prix et la date de livraison
- Charger votre liste de proxys
- Lancer des centaines d'instances de navigateur
Chaque onglet de navigateur peut correspondre à une carte bancaire, une adresse et une adresse IP différentes. C'est une question de statistiques. Plus il y a de tentatives, plus il y a de succès. La file d'attente pour l'achat de billets s'est transformée en loterie, et les bots achètent tous les billets qu'ils peuvent.
Make Them Pay to Play
C'est une course aux dépenses. Réfléchissez-y :
- Les proxys résidentiels coûtent plus cher que les adresses IP de centres de données
- Les navigateurs « réels » sont plus coûteux à faire fonctionner que les navigateurs « sans interface utilisateur »
- Les services de résolution de CAPTCHA (basés sur l'IA ou effectués par des humains) facturent à chaque défi
Votre objectif n'est pas la perfection. Il s'agit de compliquer la vie des revendeurs. Beaucoup d'entre eux ont déjà des marges très faibles. De plus, bon nombre d'entre eux vivent dans la crainte de « se retrouver sur la paille » (c'est-à-dire de ne pas pouvoir revendre les billets qu'ils ont dénichés). Obligez-les à dépenser davantage, et beaucoup abandonneront pour se tourner vers des sites plus faciles.
What Works and What Doesn’t.
Voici ce qui ne fonctionne pas :
- Se baser uniquement sur des blocs d'adresses IP
- Défis statiques que les bots peuvent apprendre
- Protection insuffisante de l'API
- Ne pas mettre en œuvre les audits post-achat
- Sous-estimer la collusion humaine
Voici ce qui pourrait fonctionner :
- Intégrer des CAPTCHA dès le début du parcours
- Identification des sessions de navigateur et suivi des transferts
- Application des règles limitant les achats à un par adresse IP
- Contrôle des commandes suspectes
- Bloquer les robots d'indexation avant la mise en vente
- Surveillance des anomalies de comportement des sessions
The Bear Theory of Bot Defense
Il y a une vieille blague qui dit :
Pas besoin de courir plus vite que l'ours, il suffit de devancer celui qui est à côté de toi.
Il en va de même pour les bots.
Vous ne pouvez pas être invincible. Mais si votre site est plus difficile à pirater que ceux de vos concurrents, les bots dirigeront leurs attaques ailleurs. Cela peut à lui seul permettre de préserver des milliers de billets pour les vrais fans.
No Silver Bullets—But There Is Hope
Même s'il n'existe pas de solution unique, vous pouvez prendre certaines mesures :
- Définir des attentes réalistes avec les parties prenantes
- Renforcez vos défenses
- Mettez régulièrement à jour votre guide stratégique
- Concentrez-vous sur le fait de rendre le système plus difficile à exploiter, et non pas impossible à exploiter.
- Célébrez vos victoires, aussi modestes soient-elles
Les bots sont des outils créés par l'homme. Pour les vaincre, nous devons comprendre les motivations humaines qui les sous-tendent.
Chez CrowdHandler, notre mission est d'aider les professionnels de la billetterie à rétablir l'équilibre. C'est en comprenant les règles du jeu que nous pourrons les changer.
Inscrivez-vous dès aujourd'hui pour bénéficier d'un essai gratuit.