Bienvenue sur GayFR

Avertissement : cet article exprime mes opinions personnelles et peut choquer certains esprits, à lire avec ouverture et tolérance.

Je rédige cet article en couchant mes pensées personnelles, en tant qu’homme gay qui a trouvé la liberté et qui pratique le sexe en dehors de tout sentiment amoureux. Je n’ai pas la prétention de convaincre qui que ce soit que j’ai raison, à supposer qu’il existe une vérité unique en ce bas-monde, ni de vous inciter à adhérer à mes manières, mais simplement d’exprimer mon opinion avec laquelle vous êtes tout-à-fait en droit d’être en désaccord profond.

Si j’écris ce court article, c’est aussi pour montrer qu’il existe différents courants de pensée et ne pas en laisser l’exclusivité au courant dominant.

Parlez-moi de l’amour…

Il serait bien présomptueux de ma part de prétendre décrire en quelques lignes ce sur quoi les auteurs dissertent depuis les siècles des siècles. Je me bornerai à citer les points qui me semblent essentiels : permettre à l’autre de s’épanouir, lui laisser sa liberté et ne pas l’enfermer dans un prolongement de soi.

Aux autres devrais-je dire, car je pense que l’amour peut être dirigé vers plusieurs personnes, et qu’il est polymorphe : depuis qu’on est enfant et lorsqu’on a cette chance, n’apprend-on pas à aimer ses parents, sa famille, ses amis… et cela de manière souvent différente. Puis on rencontre parfois ce que la société et la littérature appellent “l’âme sœur” : comme l’atteinte d’un objectif fixé par la société, la culture ou la religion, presque le glas de sa vie passée à s’ouvrir aux autres et une nouvelle étape axée sur l’exclusivité, la fidélité et le devoir conjugal.

Quelle vision négative, n’est-ce pas ? Car on a toujours ses amis et souvent sa famille. Mais est-on libre de les voir aussi souvent que l’on veut, maintenant ? “Tu passes beaucoup de temps avec tes amis”, “Faut-il encore voir Belle-Maman ce week-end”, “Tu es rentré bien tard hier soir, tu étais avec qui ?”… La liberté promise s’émousse et se transforme en possession de l’autre, des instants de sa vie, de ses fréquentations et de son corps.

Et ce dernier point symbolise la possession ultime, marque du couple — qu’il soit hétéro- ou homosexuel — dans notre société : personne ne pourra désormais voir ton corps nu, encore moins le convoiter ni le toucher… car tu m’appartiens.

… et du sexe

J’exagère un peu. Tant que ça ? Si l’on écarte quelques activités telles que le naturisme ou le nudisme, et qu’on se limite à nos sociétés occidentales, reconnaissons que nudité et acte sexuel restent définitivement tabous dans la solidité d’un couple — et que la violation de leur exclusivité est souvent motif de son explosion.

Pourquoi cela ? Si l’on prête à l’amour la vocation que j’ai exprimée plus haut, je pense au contraire qu’il est un facteur d’harmonie par la réalisation de l’autre. Ou des autres, car une fois encore on n’est pas obligé de limiter sa réflexion à une relation un(e)-un(e).

L’onanisme ? Ce n’est finalement pas si grave, tout le monde pratique cela, tout au plus introduit-il (à tort) le doute sur le fait que l’on sait satisfaire l’autre. Pratiqué avec des objets ? Bon, après tout pourquoi pas si cela est nécessaire. En se filmant, exhibé ? Ici, on commence à se poser des questions. Avec un(e) autre ? Là, on atteint une limite que peu sont à même d’accepter. En groupe ? Ou bien de type BDSM ? On est alors dans l’inavouable, le bizarre, le vice, qui marque la rupture complète.

Réfléchissez-y. Jusqu’où êtes vous ouvert ? Que pouvez-vous accepter ? Et quand vous avez identifié la limite, demandez-vous pourquoi ce seuil marque une frontière pour vous, et pourquoi l’autre voudrait la franchir

Et moi, et moi, et moi

Vous n’êtes peut-être pas concerné. Ou vous ne le savez pas. Je parlerai donc de moi.

Pour ma part, je suis parfaitement à même de pratiquer le sexe sans sentiment amoureux : l’onanisme sous toutes ses formes bien sûr, mais aussi des activités qui procurent des sensations physiques de plaisir intense comme celles citées plus haut, que je vis de la même manière qu’un sportif s’accomplissant dans sa discipline. Ou encore, un temps plus tendre avec un partenaire à qui je rendrai ses baisers lors d’un moment partagé plus long.

Et à l’inverse, ceux que j’aime n’ont pas à souffrir d’un défaut d’attention de ma part, que mes aléas sexuels n’entament en rien. Ils n’ont pas forcément besoin de tout savoir, car cela fait partie de ma liberté à moi, ce besoin d’épanouissement que réciproquement je leur laisse, charge à eux de choisir ce qu’ils souhaitent en faire sans aucun besoin de m’en rapporter.

Cela ressemble-t-il à une excuse que je me donne, me mentant à moi-même pour justifier des infidélités ? Certes non, car d’infidélité il n’y a point, et quand amour il y a, c’est bien avec le cœur et non avec le sexe qu’il s’accomplit et se prouve dans la durée.

Conclusion

En synthèse, je pense que l’amour est un sentiment polymorphe qui s’inscrit sur le temps long, qui concerne plusieurs personnes au cours de sa vie sans se limiter à un être unique, et qui est axé vers la liberté et le bonheur des êtres aimés.

À l’inverse, le sexe sous toutes ses formes s’écrit sur un horizon court même s’il peut être à répétition, dans un univers parallèle qui peut croiser le premier, converger ou s’y confondre, ou au contraire ne jamais s’y confronter.

Je l’ai dit avant, vous serez probablement en désaccord avec moi. Je suis curieux de lire vos réactions !

Cet article explore le couple, la fidélité et la déconstruction des modèles relationnels sans tabou. Une lecture qui demande une certaine ouverture d'esprit.

Avec ce titre volontairement provocateur, je voulais rebondir sur l’objectif du livre « Aimer sans posséder : Une critique féministe de la fidélité » de Sabine Valens. Dans son essai, l'autrice s'adresse principalement aux couples hétéronormés, mais sa grille de lecture politique s’applique à 100 % aux dynamiques des relations homosexuelles.

Comme pour ma précédente revue littéraire de l’ouvrage « Au-delà de la pénétration » de Martin Page, je vous propose de mettre en perspective ses thèses majeures avec le monde gay. Et il y a beaucoup de parallèles à faire.

Le livre démonte d'abord une idée reçue : la fidélité sexuelle exclusive n'a rien de naturel. C'est une construction historique. Au départ, elle a été imposée de manière asymétrique aux femmes pour asseoir le pouvoir du patriarcat, un contrôle fortement verrouillé par le cadre du mariage.

Selon l’autrice, la transmission du patrimoine et la division sexuelle du travail (l'homme produit, la femme reproduit et entretient le foyer) sont à la base de la monogamie hétérosexuelle. En gros, le capitalisme a besoin de ce modèle pour tourner. Pour garantir la filiation et bloquer les richesses dans la famille, le système a transformé l'amour en un contrat d'exclusivité où le corps de l'autre devient un bien privé, une propriété.

C'est ici que le parallèle avec les dynamiques gays prend tout son sens. Historiquement exclus du mariage et de la reconnaissance légale, les couples gays ont dû réinventer leurs propres codes relationnels, souvent hors de ce « Contrat Social » capitaliste. N'ayant aucune fonction de transmission patrimoniale ou de reproduction biologique à assurer pour le système, une partie significative de la communauté a pu s'affranchir de la logique d'accaparement.

Sans l'enjeu de propriété, l'exclusivité devient optionnelle. C'est ce qui a permis à beaucoup d'entre eux d'explorer massivement d'autres modèles : couple libre, amours plurielles, amitié romantique... La liberté de disposer de son corps a longtemps été bien mieux respectée, car le sexe et l'amour n'étaient pas des cases à cocher pour la société.

Pourtant, le paysage a évolué. Depuis l'accès au mariage pour tous, on assiste à ce que les sociologues appellent l'homonormativité, une forme de « respectabilisation » d'une partie de la communauté. Par quête de sécurité juridique ou par fatigue de la marginalisation, nombreux sont ceux qui ont adopté les codes traditionnels pour se légitimer socialement. Le résultat ? L'adoption massive du standard hétéronormé : le couple monogame strict, exclusif, cohabitant, parfois axé sur la possession mutuelle.

Pourtant, la nuance est capitale : choisir l’exclusivité par désir réel et réciproque reste un acte de liberté ; s’y précipiter par simple paresse sociale ou par réflexe de propriété relève, lui, de la soumission. En échange de la sécurité juridique et de la reconnaissance institutionnelle, la diversité a été troquée contre un confort normatif. Le mariage a ouvert les portes de la société, mais il a aussi verrouillé la fenêtre par laquelle s'engouffrait la liberté d'inventer l'amour.

L'analyse de Sabine Valens résonne ici comme une vraie mise en garde. En cherchant la validation de la société par le couple exclusif, les gays adoptent parfois inconsciemment les mêmes mécanismes patriarcaux de surveillance et de restriction des corps. La fidélité y est réintroduite non pas comme un élan, mais comme un droit de propriété moral et charnel sur le désir de son partenaire. On s'enferme tout seul dans la structure que les féministes tentent de déconstruire.

Attention cependant à ne pas confondre liberté et monogamie à répétition. Enchaîner les relations exclusives ne suffit pas à briser le moule. Si chaque nouvelle histoire reproduit les mêmes mécanismes de surveillance et d'exclusivité absolue, alors nous ne faisons que changer de partenaire pour mieux reconduire la même prison. Ce n'est pas la personne qu'il faut changer, c'est le contrat lui-même.

Pour sortir de cette impasse, Valens oppose la “fidélité-possession” (coercitive et anxieuse) à une fidélité basée sur l'engagement moral et la transparence. Une vision finalement beaucoup plus proche des origines relationnelles et libertaires du milieu homosexuel. Et pour y arriver, il faut passer par la déconstruction de la jalousie.

L'autrice montre que c'est la pression de la société qui nous pousse à croire que si notre partenaire désire quelqu'un d'autre, alors nous n’avons plus de valeur à ses yeux. On gère l'amour comme un monopole économique. Elle nous invite donc à décolérer l'amour de l'exclusivité sexuelle ou affective. Le but est de baser la relation sur l'autonomie, la communication continue et la recherche sincère du bonheur de l’autre , même si ce bonheur implique ponctuellement une tierce personne.

La force du modèle traditionnel est sa simplicité désarmante : tout est écrit d'avance, il suffit de suivre le script. À l'inverse, construire une relation hors norme exige un effort constant de communication, de négociation et d'honnêteté. C'est un travail émotionnel beaucoup plus lourd, mais c'est le prix à payer pour une authenticité retrouvée. Il s'agit de remplacer le script imposé par des règles négociées, propres à chaque couple.

Au final, le livre de Sabine Valens montre que la monogamie obligatoire fonctionne comme une grille qui fige les identités et limite notre liberté. Pour la communauté gay, qui a longtemps puisé sa force et sa créativité dans l'invention de ses propres règles en marge du système, copier-coller le modèle traditionnel est un recul.

Sortir de la culture de la possession ne veut pas dire ne plus s'aimer. Bien au contraire. C'est rappeler que le couple ne doit pas être un terrain de contrôle mutuel, mais un espace de liberté, de fluidité et de partage, où l'engagement se choisit chaque jour.

Apprendre à s’aimer soi-même

Avertissement : cet article évoque des pratiques sexuelles, réservé à un public averti !

Dans cet article de blog, je vous explique pourquoi la masturbation est à mon sens un acte noble et comment en profiter au mieux en tant qu’homme (même si probablement beaucoup de ce que je vais développer s’applique aussi aux femmes, mes lectrices éventuelles commenteront).

Comme toujours, il s’agit d’opinions et de pratiques qui conviennent à ma pensée et à ma nature, mais peut-être pas à la vôtre. Là non plus, je n’aborderai pas les aspects liés à la santé, n’étant pas praticien, vous êtes donc invité à compléter cette lecture avec d’autres adaptées à votre situation.

Le poids culturel

Dès que l’on évoque le terme onanisme ou plus couramment masturbation, les sourcils se lèvent et un voile pudique descend sur les conversations dans les salons. Le terme est presque tabou, toujours mal vu aujourd’hui, même si les médecins et les psychologues s’accordent désormais à en reconnaître les vertus, bénéfiques pour l’équilibre psychologique et l’épanouissement personnel.

Non, vous n’irez pas brûler dans les flammes de l’Enfer ! Non, vous ne deviendrez pas sourd ! Les mythes ont la peau dure, et la religion et sa morale auront tout fait pour condamner un acte qui apporte plaisir sans contribuer à la procréation, seule finalité du rapport sexuel tolérable dans la culture dite judéo-chrétienne. Comme souvent il y a des origines pragmatiques et la lutte contre le penchant bestial de l’homme à assouvir ses pulsions en est probablement un, mais je pense que c’est une mauvaise réponse au problème, la masturbation pouvant au contraire libérer les ardeurs sans préjudice physique pour les autres.

Je parle de rapport, mais dans ce cas on est pourtant seul — je n’aborderai pas ici la masturbation à deux ou plus, la trouvant plus proche du jeu sexuel classique. Seul disais-je, pas vraiment en réalité : on est avec soi-même, la seule personne qui nous accompagne tout au long de notre vie. Et autant apprendre à s’aimer plutôt qu’à simplement se supporter : c’est l’essence même, selon moi, de l’onanisme triomphant — et du bonheur.

Tromperie, pis-aller… ou acte d’amour ?

Si on est en couple, on peut éprouver du remords ou de la culpabilité : ne suis-je pas en train de tromper mon partenaire ? C’est une pensée naturelle, que je vous invite à dépasser pour consacrer votre attention sur vous-même. Tout le monde a droit à un jardin secret et à s’occuper de soi, c’est sain et nécessaire. Et même, cela doit-il rester caché ? Réfléchissez-y et selon la situation de votre couple, échangez librement.

On pense aussi que la masturbation est un pis-aller, à défaut d’un autre avec qui passer à l’acte. Je ne partage pas cet avis : bien pratiquée, elle vous stimulera autrement et vivement, favorisera votre libido et vous permettra des moments intenses avec vous-même. Elle vous fera aussi mieux vous connaître, plus aimer votre corps et toutes ses parties, et préparera avantageusement des actes sexuels plus classiques.

Narcissisme ? Je ne crois pas non plus. C’est un moment qui se vit à la fois dans son anticipation, sa préparation et sa réalisation, et quel qu’en soit l’issue, qu’il aboutisse à un orgasme ou reste plus simplement une séquence intense, il matérialise l’amour, celui que vous donnez à travers vous-même. On ne peut aimer sans être bien avec soi, ce que l’on projette ensuite sur l’autre. Vision idéalisée ? Peut-être. Mais reconnaissons qu’il fait du bien physiquement et c’est un argument qui se suffirait à lui-même…

Anticipation et préparation

Il est essentiel d’anticiper une séance. Oui, je parle d’une séance car il faut être bien, se poser et avoir du temps pour en tirer plaisir et bénéfice. On ne se masturbe pas comme on sort les poubelles le soir, ou alors c’est simplement pour se dégorger le poireau dans le cadre d’un besoin purement physiologique.

Non, là je pense à une vraie séquence où on se dit, “ce soir je vais m’en faire une” ; on y pense dès le matin puis toute la journée, on peut se stimuler les tétons ou une autre partie du corps à des moments propices, avoir des pensées torrides, consulter ou converser sur certains réseaux sociaux… Cela me fait en général mouiller par anticipation.

Avant le début, on se lave. Pour explorer son corps et l’apprécier, j’aime qu’il soit propre, sente le savon et que la peau soit prête à accueillir les innombrables caresses et attouchements qu’elle mérite. On pourra pousser plus loin la préparation et si comme moi vous êtes un adepte de la sodomie, je vous renvoie à mes précédents articles de blog ici et là.

Dans tous les cas, vous aurez un espace confortable, assez chaud pour s’y poser nu et si vous en avez les moyens, équipé de mobilier confortable voire spécialisé, et idéalement un miroir aussi grand que possible pour vous regarder. Car nudité et vision de son propre plaisir sont de puissants stimulants qui engendrent une boucle vertueuse. Les chambres d’hôtel peuvent être intéressantes, disposant souvent de miroirs de plein pied et finalement, que faire de mieux seul le soir dans un lieu inconnu ?

Et surtout, prévoyez du temps. Zéro pression, pas de stress. Zen. C’est un des secrets pour atteindre le nirvana. Vous êtes prêt ?

On y va !

Je pense pouvoir dire que j’ai une longue pratique de la masturbation, plus de quarante ans à l’heure où j’écris ces lignes, et si mes techniques se sont enrichies au fil du temps, j’en retire toujours autant de plaisir. J’ai commencé avec le “classique”, maintenant je combine selon les humeurs avec l’onanisme anal, pour lequel je publierai un article spécialisé prochainement. Parfois encore je m’inflige (avec plaisir) une séquence BDSM, et ce sera encore un autre article…

Voilà ce qui me convient dans le cadre “classique”, à vous de voir selon ce que l’exploration de votre propre corps vous dévoilera…

• Entièrement nu. Toute ma peau est exposée et peut être stimulée, et c’est ce qui me rapproche le plus du sexe en couple ou en groupe. Si en plus j’ai la chance d’avoir un grand miroir, j’apprécie de m’y voir jusqu’à la jouissance.
• Me caresser partout des deux mains, avec un intérêt particulier pour mes tétons, mes cuisses, mes plantes de pieds, ainsi bien sûr que ma verge et aussi mon anus. Des doigts froids produisent un effet supplémentaire, on peut également utiliser un ustensile métallique sortant du frigo.
• Revenir sur mes tétons, zone particulièrement érogène, sur laquelle je m’attarde en alternant caresses sur les aréoles aux doigts mouillés et passages plus rudes avec l’ongle, voire pincement ou peigne, ou encore brosse à dents (avec une pointe de dentifrice au menthol, diablement efficace !)
• Un lubrifiant comme la salive peut augmenter la stimulation mais vous pourrez en trouver d’autres et personnellement, j’apprécie par exemple la banane écrasée pour s’intercaler entre la main et la verge si vous choisissez ce mouvement.
• Confortable, sur un lit avec des oreillers bien placés sous les fesses pour une contre-cambrure préparant le bouquet final, ou à l’inverse enserrant l’organe afin de permettre des mouvements de va-et-vient pendant que les mains s’occupent des tétons ou de l’anus…
• Éventuellement, un film porno peut permettre d’augmenter encore la stimulation, mais au risque de se détourner de soi. Le son souvent me suffit, alors que je me travaille et que je monte en excitation pendant que mes pensées voguent vers le plaisir.

Vous pourrez aussi agrémenter avec des jouets complémentaires comme l’anneau pénien (cockring) qui apporte un réel plus, ou bien encore le masturbateur dans lequel s’insère votre organe, mais cela dépend des personnes et de votre équipement. Essayez, il y a un choix important sur le marché !

Comment on conclut ?

Si vous êtes arrivé là, et selon votre constitution, l’orgasme sera presque inévitable, idéalement sans les mains, c’est le plus fort. Sinon, je vous conseille la main gauche si vous êtes droitier (ou vice-versa) car moins bien maîtrisée par le cerveau, elle vous procurera un mouvement qui semble venir d’ailleurs, donc plus stimulant.

Mais ce n’est pas une fin en soi ! Une séance réussie peut très bien se limiter à ces caresses et attouchements partout, partout, qui laisseront une sensation de bien-être parfaitement mémorable.

Si éjaculation il y a, j’aime pour ma part la diriger sur mon torse, allongé sur le dos, afin de récupérer avec mes doigts le sperme et le porter à ma bouche pour l’avaler. Mais ça, c’est moi…

J’en finis là, à vous de jouer désormais ! Et prenez votre temps… aussi souvent que cela vous plaira.

On ne va pas se mentir. Je n'ai jamais eu de culture religieuse, elle est quasi nulle. J'ai grandi avec une mère très farouchement opposée à la religion : pas de catéchisme, pas de communion, aucune éducation sur le sujet. Et ne parlons pas de l’enseignement à l’école des religions, quelles qu’elles soient : il n’existe pas.

Du coup, je suis de nature pragmatique, cartésien. J'ai besoin de me raccrocher à des faits concrets, à la science, à des dynamiques politiques ou à des analyses pour essayer de comprendre le monde.

Pour compenser ma peur de l'avenir — et Dieu sait qu’il y a de quoi être angoissé en ce moment —, j'ai plongé dans une véritable boulimie d'informations. Je passe des heures à lire, à écouter des podcasts, à regarder des vidéos.

Résultat ? Une impuissance totale face à la marche du monde. Quand on regarde la montée incontrôlée de l'IA, le techno-totalitarisme qui s'installe aux USA, la polarisation politique, la destruction des acquis sociaux sous prétexte de réduire la dette… le spectacle du monde actuel me révolte de manière très brute. Et je ne vois pas comment, de ma chaise en train d’écrire ce billet d’humeur, inverser ce processus.

De caractère, je suis habituellement impulsif et direct. Mais cette surcharge d'infos ne fait au final que nourrir mon anxiété, et me fige dans un état d’angoisse du futur pour moi et mes enfants. Aujourd'hui, à 42 ans, après avoir traversé des phases de burn-out et une forte dépression, je commence à voir les angles morts de ce logiciel 100 % rationnel.

Et c’est là que le manque de “boussole” se fait sentir.

Récemment, lors d'une discussion (il se reconnaîtra et un grand merci à lui), on m'a partagé une vision qui m'a fait cogiter : l'idée que le Nouveau Testament reste une source inépuisable d'une certaine forme de sagesse de vie, bien au-delà du “Dieu barbu au ciel”. Quand j’y pense, depuis plus de 2000 ans, ces récits et ces croyances ont inspiré l'humanité et lui ont permis de tenir debout face aux épreuves de l'histoire. Preuve que ce logiciel-là a eu un impact bien réel sur notre capacité à traverser les crises jusqu’ici.

Qu'on l'appelle philosophie, spiritualité ou hygiène mentale, il me manque ce truc. Le capitalisme moderne a tout rationalisé, transformant l'humain en simple “ressource” ou en “matériau”. On accepte le confort de ces outils technologiques sans trop se poser de questions, et l'enfermement se fait de manière très insidieuse. On vit dans l'illusion qu'en accumulant des faits bruts et de l'actu en continu, on contrôle quelque chose. C'est faux. On se rend juste malade pour des événements mondiaux sur lesquels on n'a aucun contrôle.

La perte de spiritualité au sens large, c'est-à-dire une philosophie de l'instant présent, une capacité à poser une vraie réflexion et à ne pas laisser libre cours à ses seules réactions à chaud, c'est le grand drame de notre époque. Il n’y a qu’à voir les réactions des gens sur les réseaux sociaux, qui dégainent leur haine plus vite que leur amour.

Je n'ai pas encore ce recul ni ce caractère posé. Chez moi, le cerveau tourne encore à plein régime et je n'ai pas trouvé le bouton 'pause' pour obtenir de la sérénité. Mais je comprends enfin qu'il faut s'imposer des temps morts de déconnexion informationnelle. Essayer de passer les émotions par les mots, prendre le temps. Il va me falloir réapprendre à nourrir mon cerveau saturé de data avec autre chose, réapprendre à ralentir, réutiliser l'écriture pour trier mes émotions et retrouver une sorte de sérénité que je n’ai peut-être jamais connue.

Ce blog est pour moi une forme d’exutoire. Que cet article soit lu ou non, il me permet de poser des mots sur mes angoisses, mes peurs, mes doutes, face aux défis de la vie.

Poser mes émotions ici, noir sur blanc, m'imposer ces temps morts, c'est ma manière de reconstruire ma propre boussole.

⚠️ Petit warning avant de lire : je parle ici de sexualité et de déconstruction des rôles sans tabou. À lire avec ouverture d'esprit !

Je viens de finir le livre Au-delà de la pénétration de l'écrivain français Martin Page et, même s'il est fortement orienté vers l'hétérosexualité, il y a de nombreux points que l'on peut rapprocher du monde homosexuel.

- La persistance du modèle hétéronormé actif/passif La pénétration reste malheureusement l'acte érigé en “vrai sexe”, alors que de nombreuses pratiques (frottage, fellation, masturbation mutuelle, fétichisme, et j'en oublie beaucoup) ne sont considérées souvent que comme de simples préliminaires. Alors qu'elles se suffisent à elles-mêmes et sont déjà des actes sexuels ! Et elles ont le mérite de ne pas enfermer les gens dans des rôles.

- La hiérarchisation des rôles Le livre montre que la pénétration est une affaire de pouvoir. Par analogie, l'actif est souvent perçu comme celui qui garde sa virilité, le dominant, et le passif est stigmatisé comme soumis ou efféminé. Cette rigidité des rôles est aujourd'hui largement amplifiée par les applis comme Grindr. En poussant les utilisateurs à se catégoriser à tout prix selon des critères stricts (rôles sexuels, poids, âge, origine), ces plateformes industrialisent les corps et figent les identités.

- Le culte de la performance et de l'érection L'injonction de l'érection sans fin est le pilier central de la masculinité ultime. Cette pression mécanique transforme le lit en un terrain de notation, où la panne est vécue comme un échec personnel. Cela est accru par la répartition des rôles : l'actif doit performer sans faillir, tandis qu'on laisse au passif la lourde charge mentale liée à la préparation physique.

Au final, le livre montre que la pénétration n'est pas l'alpha et l'oméga de la sexualité et que l'enfermement dans les rôles actif/passif va l'encontre d'une pratique qui devrait être un espace de liberté, de fluidité et de plaisir partagé. Il existe une multitude de pratiques qui se suffisent à elles-mêmes et qui rappellent que le sexe, c'est avant tout de la créativité et du partage, pas une case à cocher.

TLDR (too long don’t read) A me dit de contacter B, B me dit de contacter A, C me dit de contacter B, et B me dit « bonne chance » ou démerde-toi. Je suis en colère contre le système, et un peu envers moi car je n’ai pas été capable de m’exprimer comme je l’aurais voulu hier au téléphone. Mais je sais bien que c’est dû à mon validisme intériorisé qui a beaucoup diminué, et à ma fatigue due aux rendez-vous urgents et imprévus, mais ce validisme sera toujours tapi quelque part dans un coin de mon cerveau.

Pour gérer cette colère, j’ai renvoyé un commentaire au service sous mentionné, en leur demandant clairement de ne pas me contacter, mentionnant que la personne qui m’a contactée hier devrait revoir sa façon de communiquer particulièrement avec les personnes ayant un profil similaire au mien… Ça servira probablement à rien, mais ça m’a fait du bien!

————-

Tellement de sujets différents mais qui s’entremêlent et se chevauchent dans ce texte motivé par cet article que j’ai découvert via Mastodon Que faire de nos colères? Je subis régulièrement de la maltraitance médicale dans le système de santé ontarien (la santé est provinciale ici) qui est un problème systémique comme on dit ici et pas seulement dans ma province évidemment. Et gérer les émotions que cela engendre présente son lot de défis.

Je cumule les identités plus ou moins récentes de (vieille) immigrante, de femme ménopausée, d’AuDHD (autiste et TDAH), de survivante du cancer, de porteuse d’une rare mutation génétique me mettant à risques de développer trop de cancers, le tout couronné en étant francophone en situation minoritaire (je vis dans une province anglophone). Et avec mon récent diagnostic de cancers héréditaires je passe beaucoup d’examens médicaux suivis ou précédés de rendez-vous avec divers spécialistes.

Mes plus récentes expériences datent de mardi et d’hier. Mon corps vieillissant a décidé depuis dimanche dernier de me jouer un mauvais tour et j’ai donc dû ajouter aux divers suivis mentionnés plus haut un tout nouveau type de suivi qui m’a fait me rendre dans une clinique anglophone (tous mes soins sont èà 90 % en français). J’ai été vue par un résident du médecin que j’étais sensée rencontrée, il était terriblement imbu de sa personne et condescendant, mais je l’ai remis poliment à sa place. Cette réaction est relativement nouvelle pour moi surtout en anglais (!), je parle anglais bien sûr mais étant autiste et TDAH cela complique encore plus la communication. Ajoutons à cela la gestion des émotions qui est problématique à cause de l’alexithymie (difficulté ou incapacité à identifier les émotions), mais je travaille sur ça depuis quelques mois avec une psy. En passant les roues des émotions ne fonctionnent dans mon cas, nous utilisons d’autres stratégies.

Bref, passons à hier mercredi avec un appel téléphonique, moyen de communication difficile pour moi comme expliqué dans ce billet de blogue. Et après 8 heures aux urgences dimanche, un rendez-vous dans une nouvelle clinique lundi avec une nouvelle personne, suivi d’un autre rendez-vous dans une autre nouvelle, etc. vous m’avez compris, c’est encore plus difficile. C’était un appel du service de relations aux patients suite à un commentaire déposé en français sur le site d’un hôpital anglophone, mais qui offre parfois l’opportunité de recevoir des soins en français.

J’avais expliqué dans mon message que je ne comprenais pas pourquoi on m’avait encore une fois refusé l’accès au service d’oncologie psycho-sociale (j’ai eu 2 cancers du sein) malgré la situation compliquée que je vis cette fois (ma mutation génétique et tout ce que ça implique), durant l’évaluation que j’avais eue avec une travailleuse sociale. Suite à cet entretien on m’avait envoyé des ressources dans la communauté (à l’extérieur de l’hôpital) pour trouver une aide psychologique, et 90 % des ressources ne prennent plus de patient.es... Bref, j’ai quand même réussi à trouver une structure qui m’accepte, mais pas avant 1 à 3 mois et ce ne sera pas un.e psy spécialisé.e en oncologie car on ne les trouve qu’à l’hôpital. Et j’ai la chance d’avoir un mari avec une assurance (mutuelle), sans ça je ne pourrais pas consulter un.e psy et je serai laisser à moi-même.

Pour en revenir à cet appel la personne extrêmement désagréable au téléphone, qui je rappelle fait partie du service de relations aux patients, me reproche plus ou moins de les avoir contactés alors que je ne reçois plus de traitement actif à l’hôpital. (Pourquoi m’avoir fait passé une évaluation alors?). Et elle me rappelle que j’ai été renvoyée aux soins de ma médecin de famille (depuis plusieurs mois j’ai l’impression d’être une balle de ping pong constamment baladée). Là j’essaie d’en placer une, rappelez-vous que c’est très difficile pour moi le téléphone, pour dire que j’ignorais que leur service était réservé aux personnes ayant des traitements a actifs, et que ma médecin de famille m’a justement mentionné de chercher de l’aide psychologique. Et là de me répéter que je n’ai plus de traitement actif, blabla. J’arrive à dire que je consulte depuis plusieurs mois une psy qui m’a justement mentionnée de contacter leur service vu ma situation particulière, car elle ne fait que du court terme, et notre relation se termine d’ailleurs bientôt. (Vous me suivez toujours? C’est pas simple je sais). Bref l’appel se termine plus ou moins brutalement…

Cette fois j’ai appris ma leçon avec ce service, je ne les contacterai plus (je ne me fais pas d’illusions, j’aurais probablement un autre cancer), mais que de temps et d’énergie perdu des deux côtés…

This article in French is also available in English here.

Introduction

Dans un précédent article, j’expliquais mes motivations et choix pour protéger Mastodon (et les autres applications du fédiverse) contre les bots IA. Ce nouvel article, à destination des administrateurs, détaille les étapes techniques afin d’arriver au résultat ; il est également disponible en anglais ici.

Pour mémoire, voici les objectifs visés :

• Protéger nos utilisateurs du moissonnage massif et systématique de leur contenu ;
• Protéger nos serveurs des attaques en masse de ces bots IA ;
• Laisser nos sites internet visibles publiquement, car c’est pour moi une des vocations des réseaux sociaux, le choix étant laissé à l’utilisateur de sélectionner la visibilité de ses publications ;
• Ne pas utiliser un service en ligne dédié de type CloudFlare, car une de mes valeurs est de protéger la vie privée de nos utilisateurs, et dépendre d’une solution externe qui a toute visibilité sur le trafic, les identifiants en clair et le contenu des consultations n’est pas acceptable ;
• Aller au-delà du filtrage “standard”, et ainsi adresser la problématique des bots IA quelles que soient leurs adresses IP et qui s’identifient comme des utilisateurs humains (font semblant d’utiliser un navigateur).

Ainsi, j’ai choisi d’installer Anubis, un programme en source ouverte (disponible ici sous licence MIT) que j’auto-héberge afin d’être autonome et de garantir la sécurité et la confidentialité de la navigation.

Les défis posés

Le site présentant Anubis est très bien fait, et détaille comment installer l’application et protéger un site internet standard. Néanmoins, pour Mastodon et plus généralement pour les applications du fédiverse, j’ai fait quelques choix et j’ai dû résoudre quelques problématiques particulières, concernant notamment :

• Une instance Anubis commune protégeant toutes les applications installées sur le même serveur ;
• Configuration en sous-requête d’authentification (subrequest authentication);
• Renvoi d’un code 200 et d’une fausse page aux robots bloqués (plutôt qu’un code 403) ;
• Prise en compte de l’API de streaming et du changement légitime possible des adresses IP ;
• Prise en compte de l’authentification applicative avec OAuth ;
• Prise en compte des médias intégrés (embedded) ;
• Fonctionnement en mode failsafe (si Anubis tombe, le service reste fonctionnel) ;
• Des métriques montrant les taux de blocage des clients.

J’aborderai l’ensemble de ces points, en utilisant un serveur linux Ubuntu 24.04LTS avec Nginx et une installation native (sans Docker). Je vous laisse le soin d’adapter ces instructions à votre propre configuration.

Installation d’Anubis

Vous pouvez vous référer à la documentation du site officiel pour cette installation, sachant que nous utiliserons la configuration subrequest authentication.

Dans ce mode, Nginx reste en frontal internet et va interroger Anubis pour autoriser la requête : ce dernier renverra 200 si le client est autorisé ou a déjà son cookie d’autorisation, 403 s’il est interdit et 401 s’il a besoin d’être vérifié ; dans ce dernier cas, la requête est redirigée (307) sur la page Anubis et doit passer le défi pour récupérer un cookie d’autorisation et enfin atteindre la page visée en cas de succès.

Comme le décrit le site officiel, vous devez modifier la politique Anubis afin que DENY renvoie un code 403 au lieu de 200 par défaut, pour que Nginx l’interprète correctement :

status_codes:
  CHALLENGE: 200
  DENY: 403

Nous allons toutefois améliorer cette situation, car certains bots IA retentent leur chance sur un code 403.

Configuration d’Anubis

Concernant la configuration d’Anubis, le premier point concerne les variables d’environnement et le second les politiques.

Variables d’environnement

Voici un extrait des variables d’environnement que j’utilise, je décris ci-dessous les points importants pour notre problématique :

BIND=/run/anubis/anubis.sock
BIND_NETWORK=unix
SOCKET_MODE=0660
COOKIE_EXPIRATION_TIME=168h
JWT_RESTRICTION_HEADER="User-Agent"
METRICS_BIND=:8240
METRICS_BIND_NETWORK=tcp
POLICY_FNAME=/usr/local/etc/botPolicies.yaml
REDIRECT_DOMAINS="example.net,*.example.net"
SERVE_ROBOTS_TXT=false
TARGET=" "

Les trois premières lignes concernent le point d’écoute du serveur Anubis. J’ai choisi d’utiliser un socket unix, vous pouvez rester sur un port tcp, auquel cas vous devrez adapter les configurations de Nginx qui suivent. Assurez-vous que l’utilisateur www-data a bien les droits d’accès pour lire sur le socket (appartient au groupe qui exécute Anubis).

L’expiration du cookie est fixé à une semaine. Vous pouvez réduire cette durée, sachant que chaque expiration casse le flux Mastodon sur le navigateur et nécessite que l’utilisateur rafraîchisse sa page. Il faut donc choisir le bon équilibre entre protection et expérience utilisateur.

Pour la même raison, JWT_RESTRICTION_HEADER est lié au User-Agent de l’utilisateur plutôt qu’à son adresse IP (défaut). Le problème de l’adresse IP est que celle-ci peut changer dynamiquement en navigation mobile ou bien avec certains VPN, et dans ce cas le flux Mastodon est cassé à chaque fois, parfois après quelques minutes, ce qui rend le service quasiment inutilisable. Nous sommes donc obligé d’adapter le niveau de protection en ne tenant pas compte de l’adresse IP.

Les quatre valeurs qui suivent sont classiques et permettent l’observabilité à travers Prometheus (nous en reparlerons plus loin), le fichier des politiques et les domaines de redirection autorisés qu’il est conseillé de configurer (ceux de vos applications à protéger, donc).

Le paramètre SERVE_ROBOTS_TXT ne fait pas sens dans le mode Anubis utilisé, néanmoins nous servirons notre propre fichier robots.txt directement avec Nginx.

Enfin, la valeur de TARGET=" " est essentielle pour que le mode subrequest authentication fonctionne.

Politiques

J’utilise une seule instance Anubis pour protéger toutes mes applications, ainsi les politiques utilisées doivent être adaptées à toutes, ce qui en pratique ne pose aucun problème.

Le point essentiel est celui cité plus haut concernant status_codes. Sinon, les politiques par défaut, éventuellement adaptées à votre sauce, peuvent parfaitement convenir. Notez bien que si aucune politique ne s’applique à la requête, celle-ci sera acceptée par défaut : il n’y a donc aucun problème posé pour par exemple la fédération entre serveurs.

Néanmoins, vous pouvez souhaiter accepter explicitement certains flux comme par exemple la fédération ou les flux RSS :

- name: federation
  action: ALLOW
  user_agent_regex: >-
    ^(Mastodon|Pleroma|Akkoma|Misskey|Calckey|Firefish|gotosocial|Friendica|Hubzilla|Lemmy|Kbin|PeerTube|Pixelfed|BookWyrm|WriteFreely|Mobilizon|Funkwhale|Sharkey|Loops|AodeRelay)
  expression:
    all:
      - '"Accept" in headers'
      - 'headers["Accept"].matches("^application/(activity\\+json|jrd\\+json|ld\\+json)(\\s*;.*)?$")'

- name: rss-feeds
  action: ALLOW
  expression:
    all:
      - '"Accept" in headers'
      - 'headers["Accept"].matches("^application/(rss|atom|rdf)\\+xml(\\s*;.*)?$")'

Rappelons enfin que l’objectif d’Anubis n’est pas de bloquer tous les bots mais bien ceux qui se présentent pour collecter en masse vos pages internet. Pour les bots malveillants, je complète avec des outils tels que iptables et ipset pour bloquer les IP toxiques et fail2ban pour les attaques par force brute (mais c’est une autre histoire).

Configuration de Nginx

Maintenant que votre service Anubis est prêt, passons à Nginx qui reste en frontal de l’internet public. Dans le fichier concernant Mastodon (ou toute autre application à protéger), par exemple /etc/nginx/sites-available/mastodon, nous allons rajouter les directives suivantes.

Configuration générale

Adaptant légèrement la documentation officielle, voici les lignes à rajouter :

location ^~ /.within.website/ {
    proxy_pass http://unix:/run/anubis/anubis.sock:;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header Host $http_host;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header X-Forwarded-Host $http_host;
    proxy_set_header X-Original-URI $request_uri;
    proxy_set_header Accept $http_accept;
    proxy_set_header User-Agent $http_user_agent;
    add_header Cache-Control "no-store";
    proxy_pass_request_body off;
    proxy_set_header Content-Length "";
    auth_request off;
    proxy_cache off;
    proxy_connect_timeout 1s;
    proxy_read_timeout 1s;
    proxy_send_timeout 1s;
}

location @redirectToAnubis {
    return 307 /.within.website/?redir=$scheme://$host$request_uri;
    auth_request off;
    proxy_cache off;
}

Notons en particulier que nous nous assurons de ne pas utiliser le cache en passant la requête à Anubis (ce qui empêcherait le bon fonctionnement de la vérification) et que nous réduisons la durée d’attente (timeout) afin que la configuration failsafe puisse être acceptable du point de vue de l’utilisateur.

Optionnel : servir de fausses pages aux bots IA

Afin de retrouver le même fonctionnement d’Anubis qu’en mode proxy, et donc d’éviter de renvoyer un code 403 aux bots interdits (ceux-ci pouvant alors réitérer sans cesse leurs requêtes), nous avons trois options possibles.

Option basique : page statique

Vous pouvez servir un texte statique tout en renvoyant un code 200 ainsi, en rajoutant les lignes suivantes au même fichier :

location @fake200 {
    default_type text/html;
    return 200 "<h2>Service not available</h2>\n";
    auth_request off;
}

Option élaborée : page dynamique

Il est également possible de servir des pages dynamiquement générées à la volée avec un script lua. Pourquoi faire ? Car cela permet un contenu variable que l’on peut faire passer pour de véritables pages html (contenus multiples mais stables par bot, délai variable par requête, contenu réaliste). L’objectif étant que le bot IA trouve un contenu et en conclut : “rien d’intéressant ici”.

Pour ce faire, nous allons plutôt rajouter les lignes suivantes au même fichier (à la place de l’option basique précédente) :

location @fake200 {
    access_by_lua_file /var/www/html/fake_200.lua;
    auth_request off;
}

Pour que ceci fonctionne, il faut deux conditions : que le module lua soit installé avec Nginx (ce n’est pas le cas par défaut sur Ubuntu 24.04LTS), et qu’un fichier fake_200.lua soit présent sous /var/www/html/ (ou tout autre répertoire de votre choix). Pour installer le module sous Ubuntu :

$ sudo apt install libnginx-mod-http-lua

Si vous êtes intéressé par le fichier fake_200.lua complet que j’utilise, contactez-moi.

local ngx = ngx
--
-- Logic : cache, fingerprinting, generate random content, noise, padding, jitter
--
ngx.say(body)
return ngx.exit(ngx.HTTP_OK)

Option nucléaire : bombe zip

Il est possible d’aller encore plus loin, et au lieu de servir au bot un contenu trompeur, lui servir un contenu carrément nocif. Pour cela, il existe des techniques simples comme les “bombes zip” qui vont coûter très cher en ressources au robot, voire le faire planter.

Vous pourrez facilement trouver sur internet des exemples et adapter les configurations précédentes en ce sens. Pour ma part, je reste réticent à utiliser cette technique, mais à vous de voir…

Voici toutefois un exemple de mise en œuvre (inspiré par Ibrahim Diallo sur son blog), qui va servir un fichier de 10 Mo qui se décompressera en 10 Go, assez pour faire planter les bots qui n’y prennent garde. Génération du fichier :

$ dd if=/dev/zero bs=1G count=10 | gzip -c > /var/www/html/10GB.gz

Et ensuite, rajouter les lignes suivantes au même fichier de configuration Nginx (à la place des options précédentes) :

location @fake200 {
    add_header Content-Encoding gzip;
    return 200 /10GB.gz
    auth_request off;
}

location = /10GB.gz {
    root /var/www/html;
    auth_request off;
}

Optionnel : mode failsafe

Avec Anubis devant l’ensemble de mes applications, un dysfonctionnement les rendrait toutes indisponibles à la fois. Même si cela ne s’est jamais produit, je préfère qu’en cas de souci, l’utilisateur puisse continuer à accéder aux applications, le temps de résoudre la panne d’Anubis. Il suffit de rajouter les lignes suivantes au même fichier :

location @allowOnFailure {
    try_files $uri @mastodon;
    auth_request off;
}

Les lignes hors auth_request off; étant à adapter à ce qui est servi par défaut aux répertoires protégés (la racine / pour Mastodon).

Notez que j’omets add_header Strict-Transport-Security "max-age=63072000; includeSubDomains"; dans chaque directive location contrairement à ce qui est indiqué dans la documentation officielle Mastodon, car je mets cet en-tête au niveau du serveur avec always :

server {
...
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;
...
}

Flux OAuth

Le flux d’autorisation OAuth est cassé pour les applications qui n’utilisent pas un navigateur et ne suivent pas une redirection 307 (cas de Tusky par exemple). Pour permettre ce type de flux, il est nécessaire de contourner explicitement Anubis, ainsi il faut rajouter dans le fichier de configuration Nginx pour Mastodon (à adapter pour les autres applications du fédiverse) :

location ^~ /oauth/ {
    try_files $uri @mastodon;
    auth_request off;
}

location ^~ /api/v1/apps {
    try_files $uri @mastodon;
    auth_request off;
}

location ^~ /auth/sign_in {
    try_files $uri @mastodon;
    auth_request off;
}

Il peut semble contre-intuitif de contourner Anubis pour le chemin /auth/sign_in mais encore une fois, Anubis n’est pas une protection contre les attaques par force brute, utilisez fail2ban ou un équivalent pour cela.

Médias intégrés

Les médias intégrés (embedded) posent également souci car les navigateurs récents ne permettent pas aux pages intégrées de type iframe de stocker leurs cookies. Ainsi, si vous souhaitez pouvoir intégrer des publications (par exemple, Mastodon) ou des médias (par exemple, PeerTube), il est nécessaire là aussi de contourner Anubis. Voici les lignes à rajouter dans Nginx pour Mastodon :

location ~ ^/@[^/]+/\d+/embed$ {
    try_files $uri @mastodon;
    auth_request off;
}

location ~ ^/api/v1/statuses/\d+$ {
    try_files $uri @mastodon;
    auth_request off;
}

location = /embed.js {
    try_files $uri @mastodon;
    auth_request off;
}

Cette fonction étant moins utilisée sur Mastodon, vous pouvez choisir de faire sans, mais elle reste indispensable pour PeerTube. Sans cela, l’intégration affichera la fenêtre “non autorisé” d’Anubis.

Partie principale

Sur chaque chemin à protéger, on peut maintenant rajouter les lignes suivantes dans Nginx. Pour Mastodon, cela se limite à la racine / :

location / {
    auth_request /.within.website/x/cmd/anubis/api/check;
    auth_request_set $anubis_status $upstream_status;
    error_page 401 = @redirectToAnubis;
    error_page 403 = @fake200;
    error_page 500 502 503 504 = @allowOnFailure;
    try_files $uri @mastodon;
}

Notez la ligne auth_request_set qui nous sert pour l’observabilité et pour associer dans les logs Nginx le statut renvoyé par Anubis, on y reviendra plus loin. Si cela ne vous intéresse pas, vous pouvez omettre cette ligne.

Dans toutes les autres directives location, on rajoute auth_request off; pour contourner la vérification. Cela concernera en général les fichiers statiques et les autres pages qui ne nécessitent pas ou qui ne devraient pas être protégées (proxy interne, streaming…).

Le fichier robots.txt

Enfin, pour rester cohérent et même si beaucoup de bots IA l’ignorent, on peut choisir de servir son propre fichier robots.txt en lieu et place de celui servi par Mastodon (ou une autre application du fédiverse) qui est minimaliste. Voici un exemple de lignes à rajouter dans Nginx :

location = /robots.txt {
    auth_request off;
    root /var/www/html;
    default_type text/plain;
    access_log off;
    log_not_found off;
}

Mon fichier robots.txt a été mis en cohérence avec les politiques Anubis. Je peux vous le fournir sur demande.

Et en avant !

Tout est maintenant prêt. Bien entendu, si vous utilisez un stockage objet S3 avec un proxy inversé Nginx, vous ne toucherez pas à cette dernière configuration, il n’est pas souhaitable d’y utiliser Anubis.

Si vous ne l’avez déjà fait, après avoir modifié les configurations :

$ sudo systemctl restart anubis
$ sudo systemctl reload nginx

Désormais, vous aurez la fenêtre de vérification Anubis la première fois que vous visiterez votre site, et ensuite vous serez tranquille pour la durée que vous avez configurée (une semaine si vous avez suivi ce guide à la lettre).

Après expiration du cookie, le flux Mastodon sur un navigateur sera rompu : si vous l’aviez laissé ouvert, vous aurez alors un message d’erreur de Mastodon, vous invitant à tenter de rafraîchir la page, ce qui résout la situation. C’est une gêne mineure que je n’ai pas réussi à éliminer, mais elle me semble acceptable. Bien entendu, elle ne se produit pas sur les applications clientes.

Cette configuration fonctionne parfaitement chez moi après plusieurs mois, sans impact visible sur les performances, Anubis protégeant cinq applications du fédiverse sur chacun de mes deux serveurs principaux. La charge poussée par les bots IA a nettement diminué, et les défis non résolus varient entre 70% et 95% selon les périodes, donnant une idée du taux important de bots IA qui tentent de se faire passer pour des navigateurs légitimes !

Bonus : observabilité

Si vous souhaitez rajouter quelques métriques pour mesurer l’efficacité, vous pouvez utiliser deux sources complémentaires.

Prometheus

Si vous avez configuré Anubis comme indiqué, vous retrouverez sur le port 8240 des métriques Prometheus que vous pourrez utiliser :

curl http://127.0.0.1:8240/metrics

Pour ma part je les exporte avec Alloy vers un serveur Prometheus / Grafana. Contactez-moi si vous voulez en savoir plus.

Nginx

En utilisant la variable $anubis_status configurée ci-dessus, vous pouvez associer le “vrai'“ statut renvoyé par Anubis à chaque requête Nginx dans les journaux (200, 401, 403…) et enrichir ainsi les statistiques (par exemple, par pays).

Pour ma part je remonte les logs filtrés avec Alloy vers le même serveur avec Loki / Grafana. Contactez-moi également pour plus de détails.

Résultat

Pour un exemple de résultat de ce que cela peut donner, vous pouvez alors voir la page de statut de notre serveur Mastodon ici. Les statistiques correspondantes se trouvent sur la dernière section.

Pour les autres applications du fédiverse

La même logique s’applique aux autres applications, mais les configurations et chemins dans Nginx diffèrent et nécessitent de légères adaptations. N’hésitez pas à me contacter si vous souhaitez tous les détails.

Avec Anubis, je protège ainsi avec succès Mastodon, Pixelfed, PeerTube, Lemmy, Friendica, WriteFreely, Loops, Mobilizon, BookWyrm, Funkwhale, ainsi que FreshRSS et les blogs Movim.

J’accueille volontiers vos retours et suggestions. Et sus aux bots IA !

Cet article en anglais est également disponible en français ici.

Introduction

In a previous article in French, I explained my motivations and choices to protect Mastodon (and other Fediverse applications) against AI bots. This new article, targeting administrators, details the technical steps to achieve that; it is also available in French here.

For reference, my objectives are to:

• Protect our users against content systematic bulk-scraping;
• Protect our servers against massive AI bot attacks;
• Maintain public visibility of our servers, as it is to me a core purpose of social networks, each user retaining control over the visibility of published content;
• Not use a dedicated online service such as CloudFlare, as one of my values is to protect our users’ privacy, and I consider that depending on an external solution which has full traffic visibility, including credentials in clear text and browsing content, is not acceptable;
• Go beyond the “standard” filtering, thus targeting the AI bots situation whatever their IP address and however they identify as human users (meaning they pretend to use a browser).

I therefore chose to install Anubis, an open-source application (available here under the MIT license) which I self-host so as to be autonomous and to guarantee security and confidentiality of browsing.

Challenges ahead

The official Anubis website is well designed, and details how to install the application and protect a standard website. However, for Mastodon and more generally for Fediverse applications, I made some choices and had to solve some specific pitfalls, namely:

• One common Anubis instance to protect all applications hosted on the same server;
• Configured using subrequest authentication;
• Return a 200 code and a fake page to rejected bots (rather than a 403 code);
• Deal with streaming API and potentially legitimate IP address changes;
• Deal with application authentication using OAuth;
• Deal with embedded media;
• Operate in failsafe mode (if Anubis is down, services remain operational);
• Metrics showing rejection rates of clients.

I will describe all these aspects, using a linux Ubuntu 24.04LTS server with Nginx and a native installation (no Docker). I let you adapt these instructions to your own configuration.

Installing Anubis

Please refer to the official site’s documentation for installing Anubis on your server. We will be using the subrequest authentication configuration.

In that specific mode, Nginx remains internet-facing and will query Anubis to authorize the request: the latter will return 200 if the client is authorized or already has an authorization cookie, 403 if it is rejected and 401 if it requires verification; in that last case, the request is redirected (307) to the Anubis page and must fulfill the challenge to obtain an authorization cookie, and finally reach the target page in case of success.

As described in the official site, you must modify the Anubis policy so DENY returns a 403 code instead of a 200 by default, so Nginx understands the result correctly:

status_codes:
  CHALLENGE: 200
  DENY: 403

We shall however improve this part, as some AI bots may keep trying when receiving a 403 code.

Configuring Anubis

Regarding Anubis configuration, the first part is about environment variables and the second about policies.

Environment variables

Here is an extract of the environment variables I use, let me describe just after the important aspects relating to our subject:

BIND=/run/anubis/anubis.sock
BIND_NETWORK=unix
SOCKET_MODE=0660
COOKIE_EXPIRATION_TIME=168h
JWT_RESTRICTION_HEADER="User-Agent"
METRICS_BIND=:8240
METRICS_BIND_NETWORK=tcp
POLICY_FNAME=/usr/local/etc/botPolicies.yaml
REDIRECT_DOMAINS="example.net,*.example.net"
SERVE_ROBOTS_TXT=false
TARGET=" "

The first three lines are about the Anubis server listening endpoint. I elected to use a unix socket, you could also use a tcp port, in which case you will need to adapt the following Nginx configurations. Make sure the www-data user has proper read access rights to the socket (belongs to the group executing Anubis).

Cookie expiration is set to one week. You could reduce this duration, knowing that every time it expires the Mastodon timeline flow will break on the browser and require a refresh from the user. So you need to choose the right balance between protection and user experience.

For the same reason, JWT_RESTRICTION_HEADER is tied to the User-Agent rather than the user IP address (default). The issue with the IP address is that it may dynamically change when browsing on a mobile device or when using some VPN networks, in which case the Mastodon timeline breaks, sometimes only after a few minutes, which makes the service unusable. Thus we need to adapt the protection level by ignoring the IP address.

The four following variables relate to observability using Prometheus (we will touch on this further down), policies file and authorized redirect domains which you should configure (those of your applications to protect).

The SERVE_ROBOTS_TXT variable does not make sense in the Anubis mode we use, however we will serve our own robots.txt file directly from Nginx.

Finally, the value of TARGET=" " is essential so subrequest authentication mode works.

Policies

I use only one Anubis instance to protect all my applications, so policies must be adapted to all of those, which in practice is no issue.

The critical point is the one mentioned previously about status_codes. Otherwise, default policies make perfect sense, possibly adapted to your liking. Remember that when no policy matches the request, it will be accepted by default: so federation between servers, for example, will not be an issue.

You might however want to explicitly accept some flows, such as federation or RSS feeds:

- name: federation
  action: ALLOW
  user_agent_regex: >-
    ^(Mastodon|Pleroma|Akkoma|Misskey|Calckey|Firefish|gotosocial|Friendica|Hubzilla|Lemmy|Kbin|PeerTube|Pixelfed|BookWyrm|WriteFreely|Mobilizon|Funkwhale|Sharkey|Loops|AodeRelay)
  expression:
    all:
      - '"Accept" in headers'
      - 'headers["Accept"].matches("^application/(activity\\+json|jrd\\+json|ld\\+json)(\\s*;.*)?$")'

- name: rss-feeds
  action: ALLOW
  expression:
    all:
      - '"Accept" in headers'
      - 'headers["Accept"].matches("^application/(rss|atom|rdf)\\+xml(\\s*;.*)?$")'

Let’s just remember that Anubis’ objective is not to block all bots but specifically those which want to mass-scrape your internet pages. For malicious bots, I also use other tools such as iptables and ipset to block toxic IP addresses and fail2ban for brute-force attacks (but that’s a different story).

Configuring Nginx

Now that our Anubis service is ready, let’s move to Nginx which remains the public internet facing server. In the file relating to Mastodon (or any other application to protect), for example /etc/nginx/sites-available/mastodon, we shall add the following directives.

General configuration

Here are the lines to add, slightly adapting the official documentation:

location ^~ /.within.website/ {
    proxy_pass http://unix:/run/anubis/anubis.sock:;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header Host $http_host;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header X-Forwarded-Host $http_host;
    proxy_set_header X-Original-URI $request_uri;
    proxy_set_header Accept $http_accept;
    proxy_set_header User-Agent $http_user_agent;
    add_header Cache-Control "no-store";
    proxy_pass_request_body off;
    proxy_set_header Content-Length "";
    auth_request off;
    proxy_cache off;
    proxy_connect_timeout 1s;
    proxy_read_timeout 1s;
    proxy_send_timeout 1s;
}

location @redirectToAnubis {
    return 307 /.within.website/?redir=$scheme://$host$request_uri;
    auth_request off;
    proxy_cache off;
}

Note that we explicitly instruct not to use a cache when directing the request to Anubis (which would impair verification) and that we reduce the timeout so failsafe configuration can work acceptably from a user’s standpoint.

Optional : serve fake pages to AI bots

You can have the same behavior of Anubis as in proxy mode and not return a 403 code to rejected bots (as those may retry again and again), for this we have three possible options.

Basic option: static page

You can serve a static text whilst returning a 200 code by adding the following lines to the same file:

location @fake200 {
    default_type text/html;
    return 200 "<h2>Service not available</h2>\n";
    auth_request off;
}

Advanced option: dynamic page

You can also serve dynamic pages generated on-the-fly with lua scripting. Why do that? Because this allows for variable content that may look like real html pages (different content but stable per bot, varying jitter, realistic content). The objective here is that the AI bot finds content and concludes: “nothing interesting here”.

To achieve that, we shall rather add the following lines to the same file (replacing previous option):

location @fake200 {
    access_by_lua_file /var/www/html/fake_200.lua;
    auth_request off;
}

For this to work, you need two conditions: the lua module must be installed with Nginx (it is not by default on Ubuntu 24.04LTS), and a file named fake_200.lua must be present under /var/www/html/ (or any other directory of your choice). To install the module with Ubuntu :

$ sudo apt install libnginx-mod-http-lua

If you are interested by my own complete fake_200.lua file, please contact me.

local ngx = ngx
--
-- Logic : cache, fingerprinting, generate random content, noise, padding, jitter
--
ngx.say(body)
return ngx.exit(ngx.HTTP_OK)

Nuclear option: zip bomb

It is possible to go even further, and rather than serve deceptive content to the bot, serve it really toxic content. To achieve this, there are some simple techniques such as “zip bombs” which will be very costly resource-wise for the robot, or even trigger a failure.

You can easily find examples on the internet and adapt the previous configurations. As for myself, I am reluctant to use these techniques, but it’s up to you…

Nonetheless, here is an example of implementation (inspired by Ibrahim Diallo on his blog), which will serve a 10 MB file which will unzip to 10 GB, usually enough to trigger a failure for unaware bots. Generate the file:

$ dd if=/dev/zero bs=1G count=10 | gzip -c > /var/www/html/10GB.gz

And now, add the following lines to the same Nginx configuration file (replacing previous options):

location @fake200 {
    add_header Content-Encoding gzip;
    return 200 /10GB.gz
    auth_request off;
}

location = /10GB.gz {
    root /var/www/html;
    auth_request off;
}

Optional: failsafe mode

With Anubis virtually sitting in front of all my applications, a failure would make them all unavailable at once. Even if that has never happened yet, I prefer that users can continue to use my applications should an issue occur with Anubis, waiting for resolution. You simply need to add the following lines to the same file:

location @allowOnFailure {
    try_files $uri @mastodon;
    auth_request off;
}

The lines above auth_request off; must be adapted to what is served by default on the protected paths (only root / for Mastodon).

Note that I don’t use add_header Strict-Transport-Security "max-age=63072000; includeSubDomains"; in each location directive, as opposed to what is listed in the Mastodon official documentation, as I set this header at the server-level using always :

server {
...
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;
...
}

OAuth flow

The OAuth authorization flow is broken for apps that don’t use a browser and don’t follow a 307 redirect (case of Tusky as an example). To allow this flow type, you must explicitly bypass Anubis, so you need to add in the Nginx configuration file for Mastodon (to adapt for other Fediverse applications):

location ^~ /oauth/ {
    try_files $uri @mastodon;
    auth_request off;
}

location ^~ /api/v1/apps {
    try_files $uri @mastodon;
    auth_request off;
}

location ^~ /auth/sign_in {
    try_files $uri @mastodon;
    auth_request off;
}

It may seem counter-intuitive to bypass Anubis for the path /auth/sign_in but once again, Anubis is not a protection against brute-force attacks, use fail2ban or an equivalent for that.

Embedded media

Embedded media are also an issue as recent browsers do not allow iframe-type embedded pages to store their cookies. Thus if you want to embed posts (e.g. Mastodon) or media (e.g. PeerTube), you must also bypass Anubis. Here are the lines you should add in Nginx for Mastodon:

location ~ ^/@[^/]+/\d+/embed$ {
    try_files $uri @mastodon;
    auth_request off;
}

location ~ ^/api/v1/statuses/\d+$ {
    try_files $uri @mastodon;
    auth_request off;
}

location = /embed.js {
    try_files $uri @mastodon;
    auth_request off;
}

This functionality is less used on Mastodon so you could choose to do without, but it remains necessary for PeerTube. Without those lines, the embedded window will display the Anubis “unauthorized” page.

Main part

On each path to protect, we can now add the following lines in the appropriate Nginx location. For Mastodon, this only needs to be done on the root directory / :

location / {
    auth_request /.within.website/x/cmd/anubis/api/check;
    auth_request_set $anubis_status $upstream_status;
    error_page 401 = @redirectToAnubis;
    error_page 403 = @fake200;
    error_page 500 502 503 504 = @allowOnFailure;
    try_files $uri @mastodon;
}

Note the line auth_request_set which is used for observability and to associate to Nginx logs the Anubis status, we will come back to this just after. If you are not interested, you can omit this line.

For all other location directives, we add auth_request off; to avoid verification. This usually covers static assets and other pages which need not or should not be protected (internal proxying, streaming…).

The robots.txt file

Finally, to remain consistent and even though many AI bots disregard it, you can serve your ownrobots.txt file to replace the one served by Mastodon (or any other Fediverse application) which is minalistic. Here an example of lines to add in Nginx:

location = /robots.txt {
    auth_request off;
    root /var/www/html;
    default_type text/plain;
    access_log off;
    log_not_found off;
}

I put my own robots.txt file to be consistent with Anubis policies. I can provide it on request.

Let’s go!

Everything is now ready. Of course, if you are using S3 object storage with a Nginx reverse-proxy, you don’t modify anything in its configuration file, Anubis should not be used there.

If not done already, after setting everything up:

$ sudo systemctl restart anubis
$ sudo systemctl reload nginx

You now should have the Anubis verification page on your first site visit, and then you will be fine for the duration you configured (one week if you followed exactly this guide).

After the cookie expiry, the Mastodon timeline flow on a browser will break: if the browser were still open, you will then get a Mastodon error message, inviting the user to refresh the page, which resolves the situation. It’s a minor hindrance that I could not get rid of, but it seems acceptable. Of course, this won’t happen on client apps.

This configuration works fine for me after several months, with no visible impact on performances, Anubis protecting five Fediverse applications on each of my two main servers. The toll taken by AI bots has significantly decreased, and unresolved challenges vary from 70% to 95% depending on the period, giving a hint on the important proportion of AI bots trying to mimic they are legitimate users!

Bonus: observability

If you want to add some metrics to evaluate efficiency, you can use two complementary sources.

Prometheus

If you configured Anubis as described, you will find on port 8240 Prometheus metrics you may use:

curl http://127.0.0.1:8240/metrics

As for myself, I export those using Alloy to a Prometheus / Grafana server. Contact me if you want more details.

Nginx

By using the $anubis_status variable configured above, you can associate the “real” status returned by Anubis on each Nginx request in the logs (200, 401, 403…) and enrich statistics (e.g. by country).

As for myself, I upload filtered logs using Alloy to the same server with Loki / Grafana. Contact me also for more details.

Result

For an example of what you can expect, you can browse our Mastodon server status page here. Corresponding statistics are on the last section.

For the other Fediverse applications

The same logic applies to other applications, but configurations and paths in Nginx differ and require minor adaptations. Don’t hesitate to contact me if you want all details.

I successfully use Anubis to protect Mastodon, Pixelfed, PeerTube, Lemmy, Friendica, WriteFreely, Loops, Mobilizon, BookWyrm, Funkwhale, as well as FreshRSS and Movim blogs.

I welcome any feedback and suggestions. And down with the AI bots!

Introduction

Cette publication en français est à destination des utilisateurs francophones curieux.

Elle est suivie d’un article plus technique (en français et en anglais) afin de détailler comment protéger les applications du fédiverse contre les bots IA. En effet, j’ai dû résoudre un certain nombre de problèmes avant d’arriver à une solution satisfaisante que je partagerai donc ici.

Grâce à ça, tous nos services du fédiverse (présentés sur notre portail) sont désormais protégés.

Contexte

Dans les derniers mois et avec une accélération grandissante, j’ai constaté une augmentation significative du trafic vers l’ensemble de nos sites. Bonne nouvelle ? Regardons de plus près…

Beaucoup de ce trafic venait de Chine ou Singapour notamment, avec des ordres de grandeur dépassant largement les pays européens (fois dix, voire plus). Étonnant pour des sites francophones… Un peu de travail pour bloquer avec le pare-feu les adresses IP malveillantes à partir de bases de données libres m’ont permis de ramener initialement ce trafic à un profil plus normal, où traditionnellement les pays dominants sont la France, la Belgique, la Suisse puis l’ensemble des pays européens suivis de la plaque continentale américaine.

Mais ce répit a été de courte durée, et ce blocage (pourtant mis à jour en continu) ne suffit désormais plus. Un trafic toujours en croissance, émanant des pays les plus divers (mais notamment USA, Singapour, Chine et Hong-Kong…) et qui semble attaquer par vagues successives, avec des adresses IP sources multiples et différentes qui n’apparaissent pas sur les listes de blocage.

Problème

La cause à tout cela est claire : les « crawlers IA » ou « bots IA ». Il s’agit de comptes robots (c’est-à-dire automatisés, sans personne derrière) dont l’objectif est de parcourir l’ensemble des pages internet pour les analyser et apprendre des contenus de toutes les pages disponibles. Il y a toujours eu des comptes robots, par exemple ceux liés aux moteurs de recherche (type Google, Bing, DuckDuckGo…) et qui permettent d’indexer les pages afin que celles-ci se retrouvent dans les résultats des recherches que l’on utilise quotidiennement, mais ces derniers sont « raisonnables » dans leur sollicitation des ressources et leur intention.

Les études récentes montrent que plus de la moitié du trafic internet est désormais le fait de bots, et que la croissance des bots IA est exponentielle.

Ici, ces bots IA posent des problématiques particulières :

• Éthiques d’une part, car ils pillent littéralement les contenus pour les réutiliser et pour nourrir leurs modèles, au mépris des droits d’auteur, des licences et de la volonté de leurs créateurs ;
• Impactant les sites internet d’autre part, car ces bots sont très nombreux et consultent inlassablement et continûment les mêmes pages, provoquant des requêtes internet en masse sur les serveurs pouvant aller jusqu’à ralentir leur performance ou carrément les faire tomber (ce qu’on appelle un « déni de service »).

A ce double titre, ils peuvent être considérés comme des maliciels (« malwares » en anglais). Et pour ces deux raisons, j’ai souhaité les bloquer, à la fois pour protéger nos serveurs et par respect pour nos utilisateurs et leurs contenus.

Caractéristiques

Normalement, l’internet est fait pour accommoder les comptes robots, et il y a plusieurs façons de les reconnaître.

Adresses IP

Ces adresses identifient quelle est la machine source qui envoie les requêtes vers un serveur. Certaines de ces adresses IP sont bien connues et identifiées comme étant malveillantes, et des listes publiques sont maintenues et utilisées pour les bloquer (y compris par moi).

Les bots IA contournent pour beaucoup ce mode d’identification, en utilisant des adresses IP résidentielles, multiples et évolutives, rendant impossible leur blocage compte tenu du nombre et du caractère dynamique de telles listes.

Le fichier robots.txt

Historiquement, ce petit fichier texte présent à la racine des sites internet permet d’indiquer de manière normalisée ce que l’administrateur du site souhaite accepter comme type de comptes robots. Il est indicatif et n’effectue aucun blocage, c’est comme un autocollant « pas de pub svp » sur votre boîte aux lettres. Respecté par les bots « honnêtes » comme celui d’indexation du moteur de recherche Google ou Bing, il ne l’est malheureusement pas par la plupart des bots IA qui l’ignorent allègrement.

Le User-Agent

Quand une machine va consulter un serveur, elle envoie entre autres choses un en-tête (invisible à l’utilisateur) qui s’appelle le User-Agent et qui identifie quelle est l’application source qui fait la requête. On peut donc normalement l’utiliser pour savoir si on a affaire à un navigateur (et donc à un utilisateur humain) ou bien à une autre application, y compris un robot. Ces derniers devraient donc s’identifier comme tels, et par exemple la fédération (le processus automatisé qui permet à tous les serveurs du fédiverse de communiquer entre eux) respecte également cette pratique, le User-Agent de Mastodon identifiant bien cette application pour ne prendre qu’un exemple.

Caractéristique de leur comportement voyou, beaucoup de bots IA se font passer pour un navigateur standard (et donc un utilisateur) en envoyant un User-Agent volontairement faux et trompeur. Il est donc difficile d’utiliser ce seul critère pour débusquer ces bots.

Solutions possibles

Vous l’aurez compris, beaucoup de bots IA sont difficiles à déceler car ils sont précisément conçus pour imiter la consultation d’un site internet par un humain. Alors, que faire ? Plusieurs solutions.

Rendre son site internet privé

Solution radicale, il est possible d’exiger la création d’un compte pour s’identifier et accéder au contenu de son site internet. Les bots IA ne disposant pas de ces identifiants, ne peuvent accéder qu’au contenu public et si celui-ci est vide, problème résolu. Seulement, cela impacte aussi les utilisateurs ainsi que la visibilité du site en question (le fameux « SEO ») et n’est pas forcément souhaitable si l’on désire afficher des pages publiques. D’autre part, il faut sécuriser la création de compte (avec par exemple un CAPTCHA) car certains bots savent le faire automatiquement, confirmation par e-mail comprise.

Utiliser un service en ligne spécialisé

Certains services en ligne (je pense notamment à Cloudflare) proposent un filtrage configurable et savent résoudre notamment le problème du déni de service. Pour ma part, je n’aime pas cette solution, car elle revient à introduire entre l’utilisateur et le site internet un intermédiaire (américain pour Cloudflare) qui voit passer tout le trafic en clair. Oui, vous avez bien lu, et donc toutes vos consultations, contenus, vos identifiants et mots de passe sont également disponibles à cet intermédiaire. Cette solution n’est pas acceptable par rapport aux objectifs d’éthique et de protection de la vie privée que je recherche, mais elle pourrait l’être pour d’autres.

Se contenter des filtrages standards

Si l’on reprend les éléments cités plus haut (adresses IP, fichier robots.txt, User-Agent), il est possible de bâtir un ensemble de filtrages qui amélioreront la situation par rapport au fait de ne rien faire du tout. Certains vont même jusqu’à bannir des pays entiers par leur adresse IP (Chine, par exemple) mais cela me semble trop radical et exclut de facto les utilisateurs légitimes de ces pays (et il y en a). Dans tous les cas, cette solution ne permettra pas de filtrer les bots IA qui utilisent des adresses IP résidentielles, qui ignorent robots.txt et utilisent un User-Agent de navigateur standard : une grande partie de ces bots, en fait.

Solution choisie

Voici ce que j’ai cherché à atteindre :

• Protéger nos utilisateurs du moissonnage massif et systématique de leur contenu ;
• Protéger nos serveurs des attaques en masse de ces bots IA ;
• Laisser nos sites internet visibles publiquement, car c’est pour moi une des vocations des réseaux sociaux, le choix étant laissé à l’utilisateur de sélectionner la visibilité de ses publications ;
• Ne pas utiliser un service en ligne dédié, car une de mes valeurs est de protéger la vie privée de nos utilisateurs, et dépendre d’une solution externe qui a toute visibilité sur le trafic et le contenu des consultations n’est pas acceptable ;
• Aller au-delà du filtrage « standard », et ainsi adresser la problématique des bots IA quels que soient leurs adresses IP et qui s’identifient comme des utilisateurs humains (font semblant d’utiliser un navigateur).

Ainsi, j’ai choisi d’installer Anubis, un programme en source ouverte (disponible ici sous licence MIT) que j’auto-héberge afin d’être autonome et de garantir la sécurité et la confidentialité de la navigation.

Impacts

En tant qu’utilisateur, voici les impacts pour vous :

• Si vous utilisez une application (comme sur un smartphone) : aucun ;
• Si vous utilisez un navigateur : vous verrez apparaître une fenêtre de « vérification que vous n’êtes pas un robot » pendant une à deux secondes, puis vous serez redirigé automatiquement vers le site. À partir de ce moment, vous n’aurez plus cette fenêtre pendant une semaine (sauf si vous changez d’appareil ou de navigateur), et le cycle recommencera.

Notez bien qu’Anubis requiert que le navigateur autorise Javascript et le dépôt de cookies, mais sans cela Mastodon ne fonctionnerait pas de toutes façons.

Côté performances, cela a un impact négligeable sur le temps de réponse.

Ce dispositif réalise le meilleur compromis entre gêne utilisateur (faible et sans action de votre part) et blocage du trafic IA. Car il s’agit bien d’un compromis ! Aucune solution de ce type ne peut être parfaite, il faut trouver le bon équilibre pour ne pas bloquer les utilisateurs légitimes. De plus, certains robots évolués seraient capables de contourner cette protection en reprenant l’ensemble des caractéristiques de l’utilisateur humain, mais cela leur demanderait plus de ressources de par le fonctionnement inhérent d’Anubis : ainsi, il ne s’agit pas tant de bloquer entièrement tous les bots IA, que de rendre leur utilisation en masse trop gourmande pour eux en essayant de consulter nos sites.

Pour aller plus loin

Ainsi, Anubis protège nos sites contre une grande majorité de bots IA, tout en laissant nos contenus publics visibles sans nécessiter de connexion.

Toutefois, si vous recherchez une protection absolue, vous devez avoir en tête les éléments suivants :

• Comme on l’a dit, certains robots évolués (ou conçus spécialement) pourraient passer malgré tout ;
• Le mécanisme de la fédération fait que vos publications sont recopiées sur les autres serveurs des personnes qui vous suivent (si posts publics) ou s’il y a interaction (like, boost, commentaire) ; si ces serveurs ne sont pas protégés contre les bots IA, ces derniers pourraient accéder indirectement au contenu ;
• Si un compte vous suit et qu’il n’est autre qu’un bot IA masqué, il accédera également à votre contenu. Prenez garde à qui sont vos abonnés !

Si vous souhaitez vraiment augmenter encore votre protection par rapport aux deux derniers points, considérez alors jouer sur la visibilité de vos publications (qui impactera également comment les utilisateurs humains verront vos posts) :

• Tout ce que vous publiez en visibilité « publique » est visible… publiquement, et peut donc être moissonné à partir d’un autre serveur fédéré non protégé ;
• Si vous publiez en visibilité « public discret », on ne la verra pas dans les fils mais elle restera accessible publiquement à partir de son lien (qu’il faut donc connaître). Le moissonnage par un bot IA est plus difficile, mais peut se faire par exemple si ce bot suit un utilisateur qui interagit avec votre post ;
• Si vous publiez en mode « abonnés seuls », il n’y a que ces derniers qui peuvent voir vos publications (ce qui nécessite donc d’avoir un compte et de vous suivre). Il faudra alors veiller à ce qu’aucun compte abonné ne soit en réalité un bot IA masqué ;
• La seule protection absolue : la visibilité « mention privée ». Mais alors, on n’est plus sur un réseau social…

Si vous suspectez un compte « bot IA masqué » sur une instance, n’hésitez pas à la signaler.

Si vous rencontrez un souci d’accès, contactez votre administrateur.

Pour conclure

En conclusion, tous nos services sont protégés contre les bots IA ce qui vous offre un haut niveau de protection contre le vol en masse direct et systématique de vos données – mais ce n’est pas une protection absolue.

Nous resterons évolutifs dans nos solutions de protection, car c’est un jeu du chat et de la souris.

L’internet reste une jungle et tout ce qui est publié publiquement restera accessible à un acteur déterminé, pour l’éternité.