Bienvenue sur GayFR

Il y a des livres qui racontent une histoire. Et puis il y a ceux qui continuent à nous accompagner bien après la dernière page. « Dans le noir, je crie » de Sikou Niakate fait clairement partie de ceux-là.

Dans ce récit autobiographique, Sikou Niakate raconte son parcours de jeune homme noir ayant grandi dans un quartier populaire. Il y parle du racisme, du déterminisme social, du regard des autres, mais aussi de ce que l'on apprend très tôt lorsqu'on grandit dans certains milieux : un homme ne montre pas ses émotions.

Enfant, les garçons de son quartier apprenaient très tôt que la peur, la tristesse ou le besoin de douceur n'avaient pas leur place. Ce n'est qu'en échangeant avec d'autres hommes, bien plus tard, qu'il a compris que cette solitude était largement partagée.

Bien sûr, son histoire n'est pas la mienne. Pourtant, en refermant ce livre, une question ne me quittait plus. Pourquoi les hommes attendent-ils presque toujours d'être au bord du précipice pour commencer à parler ? Cette question m'a poursuivi plusieurs jours. Et plus j'y réfléchissais, moins je me reconnaissais dans l'idée que les hommes ne sauraient pas communiquer.

Ce n'est pas que nous soyons incapables de parler. Nous passons parfois des soirées entières à refaire le monde. Mais dès qu'il s'agit de dire “je vais mal”, tout devient beaucoup plus compliqué. Comme si personne ne nous avait jamais appris cette langue-là.

Depuis la cour de récré, la règle est toujours la même. Un garçon doit être solide. Il doit encaisser, contrôler ses émotions, rassurer les autres et ne jamais montrer qu'il vacille. Pleurer devant d'autres hommes reste aujourd'hui encore un exercice presque impossible. On préfère plaisanter autour d'une bière, parler taf ou raconter des conneries plutôt que d'avouer qu'on est au bout du rouleau. Au fond, je retrouve exactement le même mécanisme que dans mes précédentes réflexions sur la performance, le lâcher-prise ou mon burn-out. Le décor change, mais le scénario reste identique. On attend d'un homme qu'il puisse tout traverser seul, sans jamais demander d'aide.

Quand j'ai sombré dans la dépression, j'ai appliqué cette règle à la lettre. Je n'en ai pas parlé à mes amis. Je n'en ai même pas parlé à mon père. Certains savaient sans doute que quelque chose n'allait pas. Mais personne ne posait vraiment la question. Et moi, je faisais tout pour qu'on ne me la pose pas. Avec le recul, cela me paraît complètement absurde. J'étais en train de m'effondrer de l'intérieur, mais je continuais à jouer mon rôle. Je souriais. Je travaillais. Je faisais comme si tout allait bien.   Le problème, c'est que ce silence ne protège de rien.

À force de tout garder pour soi, les émotions finissent toujours par trouver une autre sortie. Chez certains, ce sera un burn-out. Chez d'autres, une dépression, des addictions ou une colère permanente dont ils ne comprennent même plus l'origine. Certains retournent cette violence contre leurs proches. D'autres contre eux-mêmes. Et parfois, lorsque plus rien ne semble supportable, ce silence conduit jusqu'au suicide. J'ai appris à la dure que lorsque je garde tout pour moi, c'est mon corps qui finit par payer.

S'il y a bien une chose que mon suivi chez ma psy m'a apprise, c'est que parler n'est pas un signe de faiblesse. J'y ai appris à mettre des mots sur ce qui me traverse avant que mon corps ne décide de le faire à ma place. Cela n'efface pas tout. Mais on ne porte plus ça tout seul.

Depuis quelque temps, je remarque que je me livre beaucoup plus facilement qu'avant. Je n'ai plus ce réflexe de tout garder pour moi. Aujourd'hui, il m'arrive plus souvent de dire quand quelque chose ne va pas, même si ce n'est pas toujours facile.

Cette évolution m'a aussi permis de nouer une relation que je n'aurais jamais imaginée il y a quelques années. J'entretiens une correspondance avec un homme qui est devenu un véritable ami. Au fil de nos échanges, nous avons fini par parler de nos blessures, de nos doutes, de notre santé mentale, de nos peurs... Il y a encore quelques années, je n'aurais jamais imaginé avoir ce genre de conversations, encore moins avec un autre homme. Nous évoquons nos fragilités sans chercher à paraître plus forts que nous ne le sommes réellement. Il n'y a ni compétition, ni jugement, ni tabou. Juste deux hommes qui osent dire des choses qu'ils n'auraient sans doute jamais dites ailleurs.

Je me demande parfois si ce n'est pas justement l'écriture qui rend cette sincérité possible. Derrière un écran, on a le temps de réfléchir. On peut effacer une phrase, la réécrire, hésiter, puis finalement envoyer un message que l'on n'aurait probablement jamais osé prononcer à voix haute. L'écriture offre cette distance qui rend parfois la sincérité plus accessible. Cette correspondance est devenue un endroit où je n'ai plus besoin de faire semblant que tout va bien.

Pour autant, je suis loin d'avoir réglé toutes mes difficultés. La communication avec mon père reste très superficielle. Il y a des conversations que nous n'avons jamais eues. Peut-être que nous ne les aurons jamais. Ce n'est pas de sa faute, ni de la mienne. Nous avons simplement appris le même langage, celui où certaines émotions restent silencieuses.   C'est aussi ce qui m'a touché dans le livre de Sikou Niakate. Les discriminations qu'il raconte sont très différentes de ce que j'ai vécu. Pourtant, je retrouve un mécanisme commun. Lorsqu'une société t'apprend qu'une partie de toi n'est pas acceptable, tu finis par devenir celui que les autres attendent. Et à force de jouer ce rôle, tu oublies parfois qui tu es réellement.   Je me demande parfois combien d'hommes vivent comme je l'ai fait pendant des années, en gardant pour eux tout ce qui les fragilise. Pas parce qu'ils cachent leur identité, mais parce qu'ils cachent leurs peurs, leurs doutes, leur fatigue et leurs blessures derrière une image de solidité que tout le monde valorise... jusqu'au jour où elle finit par s'effondrer.   Pendant longtemps, j'ai cru que les hommes ne savaient pas parler de leurs émotions. Aujourd'hui, je crois surtout que nous avons appris à nous taire.

Alors nous attendons. Nous attendons qu'un burn-out, une dépression, une séparation ou un deuil nous obligent enfin à parler. Et parfois, nous attendons tellement longtemps qu'il est déjà trop tard.

Peut-être que le problème n'est pas le silence des hommes. Peut-être est-il dans cette étrange idée qu'il faudrait d'abord toucher le fond avant de s'autoriser à dire simplement : « Je ne vais pas bien. »

 

 

Souvenez-vous, quand les applis de rencontre sont arrivées, il y avait un côté terriblement séduisant. C’étaient la promesse de l’optimisation ultime du marché du désir. Plus besoin de perdre des heures dans des bars à décoder des regards ambigus ou à gérer le stress du rejet en face à face.

 

La machine nous offrait une interface fluide, de la data, des filtres, des cases. Tu coches ton orientation, ton rayon géographique, ton type de corps, et ce fameux rôle sexuel (actif/passif) dont on a tant de mal à se détacher.

En un clin d'œil, l'écran te sort un catalogue sur mesure. On a l’illusion de piloter sa vie sexuelle et affective avec une clarté limpide. Sauf qu’à force de filtrer le réel pour aller au plus vite, on a fini par industrialiser nos propres désirs.

La vérité, c'est que Tinder et Grindr n'ont pas été pensés pour libérer nos sexualités. Ils ont été conçus sur le modèle exact d'Uber ou d'Amazon, pour transformer l’autre en une ressource disponible en deux clics, livrable immédiatement au bas de ta porte. Le profil devient une marchandise, le swipe devient un acte d'achat, et le choix infini engendre... une insatisfaction permanente.

 C'est la logique pure du capitalisme appliqué aux corps. Pour que le système tourne, il faut créer un sentiment de manque perpétuel. Pourquoi s'investir dans une conversation, pourquoi accepter les failles ou la complexité de la personne en face, quand un simple mouvement de pouce te promis un modèle plus récent, plus performant et garanti sans bla-bla ?

 

Sur l'appli, l'industrialisation des corps est totale. En nous forçant à nous segmenter (tribu, rôle, statut,....), la plateforme fige les identités. On ne rencontre plus un individu, on consomme une catégorie. Les corps sont triés, hiérarchisés selon les critères les plus brutaux de la performance virile : l'érection garantie, le corps bodybuildé, la jeunesse éternelle.

C’est la foire aux morceaux de viande. Quelques minutes de connexion suffisent pour voir pleuvoir des dizaines de photos non sollicitées. On exhibe la marchandise pour appâter le chaland.

 

Le pire, c'est que cette logique marchande détruit l'essence même de la rencontre : l’imprévisibilité.

Sur l'application, l'acte est entièrement scripté avant même d'avoir croisé le regard de l'autre. Tout est contractualisé en amont dans le tchat. Qui fait quoi, où, comment, et dans quelle position. Il n'y a plus aucune place pour la spontanéité, pour la découverte ou pour l'égarement. On se pointe au rendez-vous non pas pour rencontrer un humain, mais pour exécuter un cahier des charges. On a transformé le frisson de l'inconnu en une simple mécanique de livraison, où la moindre surprise ou la plus petite imperfection physique sont vécues comme un défaut de fabrication.

 

Derrière la théorie, le coût humain est bien réel. C'est le nœud à l'estomac quand on ouvre l'application. Ces plateformes ont été construites comme des machines à sous de casino. On y cherche frénétiquement un « match », un message, une validation. Et quand le compteur reste à zéro, le verdict tombe, notre valeur sur le marché est dévaluée. On se sent invisible, périmé.

Et pour échapper à ce couperet algorithmique, on en vient à tricher. On ment sur sa taille, on ajuste son poids, et surtout, on négocie avec le calendrier. Il suffit de regarder le nombre incroyable de profils bloqués éternellement à 29, 39 ou 49 ans. On frôle la dizaine supérieure comme on frôlerait un précipice, terrifié à l'idée de basculer dans la tranche d'âge suivante et de subir le nettoyage des filtres des autres utilisateurs. Ce n'est pas du vice, c'est une stratégie de survie. Le système nous force à falsifier notre propre réalité pour avoir le droit d'exister sur le marché.

Mais le piège se referme aussi quand les rencontres ont lieu. Combien de fois s'est-on retrouvé face à un humain qui ne correspond en rien au profil que l’on avait mis au panier. Ou pire, face à quelqu'un qui est déjà mentalement en train de swiper sur son téléphone pendant qu'on lui parle.

On ressort de là avec une sensation de vide immense.  

Le génie pervers de ces applis, c'est leur pouvoir addictif. C'est un shoot de dopamine permanent. On s'épuise, on sature, on désinstalle l'application un dimanche soir par dégoût ou par fatigue mentale... pour la réinstaller le mardi suivant. Cet effet de manque est insidieux. On y revient non pas par désir réel, mais par réflexe, par peur du vide, parce que la machine nous a habitués à croire que la solitude ne pouvait se soigner qu’à coups de notifications.

C'est là que le piège devient purement comptable. Le business model de ces applis est en contradiction totale avec ton épanouissement amoureux. La machine n’a aucun intérêt à ce que tu trouves l'amour. Si tu trouves le grand amour, tu supprimes l'application, et la machine perd un client. Elle a tout intérêt à saboter subtilement nos chances de réussite pour prolonger votre quête à l'infini.

 

Alors, on fait quoi ? On supprime tout pour partir vivre en ermite ? Ce serait hypocrite, et ce n’est pas mon genre. Les applis sont là, confortables, bien installées dans nos vies. Elles ont leurs avantages malgré tout, elles restent un formidable brise-glace pour les timides, un raccourci magique quand on débarque dans une nouvelle ville, et le moyen de faire des rencontres qu'on n'aurait jamais croisées dans la vraie vie.

Il n’y a malheureusement pas de solution miracle, mais on peut déjà commencer par réintroduire du « temps mort ». On peut décider de désactiver les filtres trop stricts pour laisser sa chance à l'inconnu, ou s'imposer de discuter plus de trois jours avant de se caler un rendez-vous, histoire de redonner de l'épaisseur à l'humain derrière l'écran.

Sortir de la consommation, sous les draps comme sur nos écrans, c'est refuser de noter le mec en face comme une vulgaire livraison Deliveroo. C'est réapprendre le vertige de l'imprévu, accepter la panne, et s'autoriser une vraie discussion sans exiger qu'elle se termine forcément par une performance sexuelle normée.

 

On nous vend le concept du lâcher-prise partout, comme une injonction moderne un peu agaçante. Une formule magique de développement personnel censée nous sauver de l’anxiété, mais qui se fracasse bien vite sur le mur du réel. Pour le pragmatique que je suis, habitué à tout décortiquer par la logique, ce mot a longtemps sonné creux.

Pourtant, s’il y a bien un terrain où ma difficulté à décrocher se matérialise de manière brute, c’est dans ma vie sexuelle.

Je me rends compte que même dans l'intimité, mon cerveau refuse de se mettre en pause. C'est un blocage physique très net.  Je trouve difficile de simplement fermer les yeux. Fermer les yeux, ce serait accepter de couper les signaux, de s'isoler du monde extérieur pour se recentrer sur ses propres sens. Mais ils restent ouverts, en hyper-vigilance, comme si le fait de clore les paupières allait me faire perdre le fil ou le contrôle de la situation. Je me retrouve à piloter mes propres ébats au lieu de simplement les vivre.

Au lieu de vivre l'instant présent, je passe mon temps à analyser. Ma concentration bascule entièrement vers la satisfaction de mon partenaire. Je m’oublie totalement au profit de l’autre, je m'efface derrière ses réactions, son rythme, son plaisir. On pourrait se raconter que c’est de la générosité pure, de l'altruisme. En réalité, quand on gratte un peu, on se rend compte que c’est une autre forme de contrôle.

Quand on a cette fâcheuse tendance à tout intellectualiser, la recherche du plaisir de l’autre devient presque une mission à remplir, un objectif à atteindre. On guette le moindre indice, on décode, on valide des étapes. Mais pendant que le mental est occupé à gérer ce tableau de bord, mon propre corps est laissé de côté. Je reste enfermé dans mon propre crâne.

Cette attention exclusive que je porte au partenaire agit comme un paratonnerre. Ressentir son propre plaisir exige une vulnérabilité totale, d’accepter une forme de vide et de déconnexion cérébrale. En m’oubliant au profit de l'autre, j'évite ce vertige.

C'est d'ailleurs exactement le même mécanisme insidieux que j'ai vécu dans ma vie quotidienne. Pendant longtemps, j'ai été pris dans un tourbillon où j'accordais tout mon temps et tous mes soins aux autres, en m'oubliant totalement. Cette stratégie de l'évitement s'installe sans qu'on s'en rende compte, et elle m'a mené tout droit vers le burn-out et la dépression. Sous les draps comme au boulot, s'occuper frénétiquement des besoins de l'autre est souvent l'excuse parfaite pour ne pas regarder les siens.

Une relation sexuelle, tout comme une bonne conversation ou un échange politique sain, ne devrait pas être unilatérale. Ce n'est pas un espace où l’un doit s’effacer complètement pendant que l’autre reçoit. C’est un aller-retour. S’oublier systématiquement au nom du plaisir de l’autre crée un déséquilibre.

Il n'y a pas de solution miracle ni de recette magique pour corriger ça. Pour briser ce blocage, il faut réussir à mettre des mots dessus et accepter de réclamer sa propre place, sans culpabilité. Notre propre abandon est aussi un cadeau que l’on fait à l’autre. Voir son partenaire lâcher prise et prendre son pied est bien plus rassurant que de le voir jouer les spectateurs analytiques.

Le défi est immense et le chemin est long pour faire taire ce bruit de fond qui tourne en boucle dans ma tête. Mais si je veux un jour réussir à savourer l'instant présent et oser enfin fermer les yeux, c'est précisément là que je dois commencer m'autoriser à lâcher prise.

Avertissement : cet article exprime mes opinions personnelles et peut choquer certains esprits, à lire avec ouverture et tolérance. Il montre aussi certaines photos suggestives, à réserver à un public averti !

Voici un nouvel article où j’explique pourquoi je m’exhibe. Car si vous me suivez, cela n’a pu vous échapper : voilà plus de dix ans que je m’expose un peu partout sur internet en images et en vidéos, en pleine nudité, dans des positions suggestives ou érotiques, voire pratiquant des actes sexuels et pornographiques.

Alors pourquoi ? Si cela vous intéresse, je mets ma pensée à nu dans la lecture qui suit. Sinon, contentez-vous de regarder les images qui illustrent mon propos, puis passez à autre chose !

Les racines de nos actes plongent dans le passé

J’ai eu une éducation que je considère comme ordinaire, pas particulièrement stricte, mais dans laquelle la nudité n’avait pas sa place. Je suis né peu après les évènements de mai 68, et mes parents n’avaient pas embrassé le mouvement Peace and Love et sa relative liberté sexuelle. Aussi, la nudité du corps ne se montrait pas, quant au sexe, il ne faisait jamais partie des sujets de conversation.

J’aimais pourtant me promener nu, ce que je limitais en général au périmètre immédiat de la salle de bains et de ma chambre. Comme tout le monde, je découvris aussi mon corps à ces occasions, soir ou matin, et pratiquai l’onanisme très régulièrement. C’est probablement dès cette période que j’ai développé un appétit croissant et durable pour le sexe.

C’est la faute de la société !

Je n’aimais pas mon corps et j’en étais complexé : petit, presque chétif, un peu boulot côté physique, et de nature timide et transparente côté psychique. J’en ai conservé un besoin de reconnaissance qui m’accompagne toujours depuis cinquante ans, attribut que je recherche continûment en tous domaines et dont le défaut me frustre irrémédiablement.

Pourtant, mes jambes semblaient faire exception, et j’en ai reçu parfois compliments verbaux, plus souvent regards bavards qui m’ont progressivement encouragé à les montrer, portant de plus en plus tôt — et tard — dans la saison, des shorts de plus en plus courts, et des sandales de plus en plus aérées. Car j’aime toujours également me promener pieds-nus, et j’ai moult fois été étonné de l’aversion que cela semblait provoquer chez les Français, alors que dans certains pays cela se pratique couramment, comme en Nouvelle-Zélande par exemple.

Je me suis ainsi amusé à errer à toute heure et saison en ville avec ce short ultra-court que je porte toujours, et en Asie j’allais jusqu’au restaurant ainsi vêtu, profitant à la fois de la chaleur et du fait que j’étais gaijin — ou étranger — comme justifications à cet accoutrement. Je voyais bien que j’attirais les regards des deux sexes, qui gourmands, qui réprobateurs, et j’aimais ça : je devenais un objet d’intérêt, qui me sortait de la fadeur dans laquelle je me sentais englué depuis toujours.

La première fois

Ainsi réconcilié avec la moitié basse de mon individu, j’ai sauté le pas de l’intégralité sur une plage naturiste. Quelle libération ! Quel plaisir de sentir le soleil, l’air, l’eau au contact direct de tout mon corps sans la gangue du tissu !

Mais comme je me sentis gauche ! Mal à l’aise, entouré d’inconnus, l’imperfection de mon corps était à nouveau évidente face à la comparaison, aggravée par l’effet de l’eau sur mes attributs masculins dont le froid accentuait encore la petitesse naturelle. Ce n’est pas la taille qui compte, nous sommes tous faits pareils… Des mots ! L’expérience fut en définitive mitigée, et le fait de devoir rester dans cet enclos au milieu du troupeau me fit tarder l’envie de renouveler l’expérience.

Depuis j’ai appris à mieux mettre en valeur la partie de mon anatomie que j’offre aux regards — et plus si affinités — et qui termine par le haut et l’arrière ces fameuses jambes, à jouer du regard, à prendre le chemin des dunes ou celui de la mer selon l’inspirant. L’expérience aidant, se montrer ainsi était devenu plaisant et courant.

Devant la caméra

Comment en vient-on toutefois à se filmer ainsi ? Sautons quelques années et arrivons-en plus ou moins en 2015, période de ma vie qui aura surmonté un certain nombre de changements d’importance. Sans s’attarder sur ce pourquoi, je me suis mis à consulter de plus en plus de vidéos pornographiques gay, avec un intérêt croissant pour l’amateur. Si les scènes professionnelles me plaisent toujours et restent excitantes, je trouvais un appétit pour le genre “fait maison” car je m’y voyais, en tous cas je m’y fantasmais.

La facilité d’accès à une plateforme-phare me fis sauter le pas : mon premier film fut tourné au smartphone, outil que j’utilise toujours aujourd’hui, pour m’immortaliser en scène d’onanisme avec un masturbateur de marque fleshlight jusqu’à l’orgasme. Ce ne fut pas un grand moment, à la réalité : la mise en situation, la préparation pour bien se positionner en évitant tout élément identifiant dans le champ contribuèrent à rendre l’action maladroite.

Peu importe ! Le mouvement était lancé, et je ne me fis pas démonter par le peu de succès et la rareté des vues que cette première vidéo suscita. À la vérité, j’en fus presque rassuré car je craignais par-dessus tout que l’on me reconnût, ce qui m’eût porté préjudice dans ma vie personnelle et professionnelle.

Pudeur et exhibitionnisme

Depuis ce moment-là, je n’ai cessé de multiplier les vidéos. J’ai acheté du matériel, filmé mes premières fois ainsi que moult expériences nouvelles devant la caméra sans savoir comment je réagirais. Plus de deux cents vidéos dont certaines aussi longues que des films de cinéma, des milliers de photos et une gamme de réseaux sociaux qui s’est élargie avec le temps. J’ai gagné en confiance et malgré le nombre et les années, personne ne m’a encore fait remarquer la chose ni ne m’a reconnu — tout du moins, nul ne me l’a avoué directement.

Suis-je exhibitionniste ? Je ne le crois pas, car tout ce que je publie se trouve sur des réseaux spécialisés, ou bien se cache derrière des avertissements de contenu explicites, de sorte que celui qui regarde ne le fait pas par hasard. Je ne souhaite pas imposer mes formes et mes actes à quelqu’un qui ne le désirerait pas.

Et la pudeur ? Car finalement je me montre sans fard, en exposant toutes les parties les plus intimes de mon corps, dans des séances de masturbation très personnelles. Mais c’est justement cette gêne et cette honte de moi que je dépasse en publiant au monde entier anonyme cette partie de ma personnalité. Pour moi, la pudeur, ça se vainc.

Pourquoi tout ça ?

En fin de compte, je suis presque passé dans une phase industrielle de cette exposition de mon intimité. Aujourd’hui encore, je continue et je publie des photos nues ou des vidéos sexuelles à qui s’y intéresse.

Alors pourquoi ? Je pense que j’ai toujours besoin, je l’ai dit, de cette reconnaissance et peut-être de me rassurer qu’à cinquante-sept ans, je suscite encore un peu d’intérêt. Mais aussi car cela m’excite, se savoir filmé peut impressionner au départ, mais apporte un élément stimulant en plus à qui aime se montrer. Sans parler de la part de risque sous-jacente, on peut toujours être reconnu et si cela n’est pas souhaitable, c’est encore un facteur qui rompt la monotonie de ma vie trop bien réglée.

Enfin, cela plaît à certains, et c’est parfois l’occasion de belles rencontres. Si cela provoque désir ou envie, c’est un motif suffisant pour que j’en retire satisfaction de savoir que je fais du bien à quelqu’un.

Je conçois que cela soit difficile à comprendre pour qui ne s’y adonne pas, et que vous me jugerez peut-être un peu dérangé, ou encore aspirant vieux-beau. J’ai l’espoir que certains d’entre-vous me pardonneront peut-être si vous appréciez certaines de mes publications. Sinon, tant pis.

Épilogue

Terminons sur un fun fact. Le blog que vous lisez ici, ainsi que Mastodon GayFR et l’ensemble des services GayFR, sont la conséquence indirecte de ces publications. En effet, j’étais très actif sur Twitter, à l’époque où c’était encore fréquentable, et une bannière de profil trop suggestive m’a amené à en être banni durablement. Après avoir échoué à faire restaurer mon compte, j’ai décidé en 2022 de créer mon propre réseau Mastodon, qui s’est depuis beaucoup enrichi et assagi pour devenir rapidement plus généraliste et accueillant.

Tout cela aura donc aussi été à l’origine d’une forme de vocation impactante et toujours motivante aujourd’hui.

Avertissement : cet article exprime mes opinions personnelles et peut choquer certains esprits, à lire avec ouverture et tolérance.

Je rédige cet article en couchant mes pensées personnelles, en tant qu’homme gay qui a trouvé la liberté et qui pratique le sexe en dehors de tout sentiment amoureux. Je n’ai pas la prétention de convaincre qui que ce soit que j’ai raison, à supposer qu’il existe une vérité unique en ce bas-monde, ni de vous inciter à adhérer à mes manières, mais simplement d’exprimer mon opinion avec laquelle vous êtes tout-à-fait en droit d’être en désaccord profond.

Si j’écris ce court article, c’est aussi pour montrer qu’il existe différents courants de pensée et ne pas en laisser l’exclusivité au courant dominant.

Parlez-moi de l’amour…

Il serait bien présomptueux de ma part de prétendre décrire en quelques lignes ce sur quoi les auteurs dissertent depuis les siècles des siècles. Je me bornerai à citer les points qui me semblent essentiels : permettre à l’autre de s’épanouir, lui laisser sa liberté et ne pas l’enfermer dans un prolongement de soi.

Aux autres devrais-je dire, car je pense que l’amour peut être dirigé vers plusieurs personnes, et qu’il est polymorphe : depuis qu’on est enfant et lorsqu’on a cette chance, n’apprend-on pas à aimer ses parents, sa famille, ses amis… et cela de manière souvent différente. Puis on rencontre parfois ce que la société et la littérature appellent “l’âme sœur” : comme l’atteinte d’un objectif fixé par la société, la culture ou la religion, presque le glas de sa vie passée à s’ouvrir aux autres et une nouvelle étape axée sur l’exclusivité, la fidélité et le devoir conjugal.

Quelle vision négative, n’est-ce pas ? Car on a toujours ses amis et souvent sa famille. Mais est-on libre de les voir aussi souvent que l’on veut, maintenant ? “Tu passes beaucoup de temps avec tes amis”, “Faut-il encore voir Belle-Maman ce week-end”, “Tu es rentré bien tard hier soir, tu étais avec qui ?”… La liberté promise s’émousse et se transforme en possession de l’autre, des instants de sa vie, de ses fréquentations et de son corps.

Et ce dernier point symbolise la possession ultime, marque du couple — qu’il soit hétéro- ou homosexuel — dans notre société : personne ne pourra désormais voir ton corps nu, encore moins le convoiter ni le toucher… car tu m’appartiens.

… et du sexe

J’exagère un peu. Tant que ça ? Si l’on écarte quelques activités telles que le naturisme ou le nudisme, et qu’on se limite à nos sociétés occidentales, reconnaissons que nudité et acte sexuel restent définitivement tabous dans la solidité d’un couple — et que la violation de leur exclusivité est souvent motif de son explosion.

Pourquoi cela ? Si l’on prête à l’amour la vocation que j’ai exprimée plus haut, je pense au contraire qu’il est un facteur d’harmonie par la réalisation de l’autre. Ou des autres, car une fois encore on n’est pas obligé de limiter sa réflexion à une relation un(e)-un(e).

L’onanisme ? Ce n’est finalement pas si grave, tout le monde pratique cela, tout au plus introduit-il (à tort) le doute sur le fait que l’on sait satisfaire l’autre. Pratiqué avec des objets ? Bon, après tout pourquoi pas si cela est nécessaire. En se filmant, exhibé ? Ici, on commence à se poser des questions. Avec un(e) autre ? Là, on atteint une limite que peu sont à même d’accepter. En groupe ? Ou bien de type BDSM ? On est alors dans l’inavouable, le bizarre, le vice, qui marque la rupture complète.

Réfléchissez-y. Jusqu’où êtes vous ouvert ? Que pouvez-vous accepter ? Et quand vous avez identifié la limite, demandez-vous pourquoi ce seuil marque une frontière pour vous, et pourquoi l’autre voudrait la franchir

Et moi, et moi, et moi

Vous n’êtes peut-être pas concerné. Ou vous ne le savez pas. Je parlerai donc de moi.

Pour ma part, je suis parfaitement à même de pratiquer le sexe sans sentiment amoureux : l’onanisme sous toutes ses formes bien sûr, mais aussi des activités qui procurent des sensations physiques de plaisir intense comme celles citées plus haut, que je vis de la même manière qu’un sportif s’accomplissant dans sa discipline. Ou encore, un temps plus tendre avec un partenaire à qui je rendrai ses baisers lors d’un moment partagé plus long.

Et à l’inverse, ceux que j’aime n’ont pas à souffrir d’un défaut d’attention de ma part, que mes aléas sexuels n’entament en rien. Ils n’ont pas forcément besoin de tout savoir, car cela fait partie de ma liberté à moi, ce besoin d’épanouissement que réciproquement je leur laisse, charge à eux de choisir ce qu’ils souhaitent en faire sans aucun besoin de m’en rapporter.

Cela ressemble-t-il à une excuse que je me donne, me mentant à moi-même pour justifier des infidélités ? Certes non, car d’infidélité il n’y a point, et quand amour il y a, c’est bien avec le cœur et non avec le sexe qu’il s’accomplit et se prouve dans la durée.

Conclusion

En synthèse, je pense que l’amour est un sentiment polymorphe qui s’inscrit sur le temps long, qui concerne plusieurs personnes au cours de sa vie sans se limiter à un être unique, et qui est axé vers la liberté et le bonheur des êtres aimés.

À l’inverse, le sexe sous toutes ses formes s’écrit sur un horizon court même s’il peut être à répétition, dans un univers parallèle qui peut croiser le premier, converger ou s’y confondre, ou au contraire ne jamais s’y confronter.

Je l’ai dit avant, vous serez probablement en désaccord avec moi. Je suis curieux de lire vos réactions !

Apprendre à s’aimer soi-même

Avertissement : cet article évoque des pratiques sexuelles, réservé à un public averti !

Dans cet article de blog, je vous explique pourquoi la masturbation est à mon sens un acte noble et comment en profiter au mieux en tant qu’homme (même si probablement beaucoup de ce que je vais développer s’applique aussi aux femmes, mes lectrices éventuelles commenteront).

Comme toujours, il s’agit d’opinions et de pratiques qui conviennent à ma pensée et à ma nature, mais peut-être pas à la vôtre. Là non plus, je n’aborderai pas les aspects liés à la santé, n’étant pas praticien, vous êtes donc invité à compléter cette lecture avec d’autres adaptées à votre situation.

Le poids culturel

Dès que l’on évoque le terme onanisme ou plus couramment masturbation, les sourcils se lèvent et un voile pudique descend sur les conversations dans les salons. Le terme est presque tabou, toujours mal vu aujourd’hui, même si les médecins et les psychologues s’accordent désormais à en reconnaître les vertus, bénéfiques pour l’équilibre psychologique et l’épanouissement personnel.

Non, vous n’irez pas brûler dans les flammes de l’Enfer ! Non, vous ne deviendrez pas sourd ! Les mythes ont la peau dure, et la religion et sa morale auront tout fait pour condamner un acte qui apporte plaisir sans contribuer à la procréation, seule finalité du rapport sexuel tolérable dans la culture dite judéo-chrétienne. Comme souvent il y a des origines pragmatiques et la lutte contre le penchant bestial de l’homme à assouvir ses pulsions en est probablement un, mais je pense que c’est une mauvaise réponse au problème, la masturbation pouvant au contraire libérer les ardeurs sans préjudice physique pour les autres.

Je parle de rapport, mais dans ce cas on est pourtant seul — je n’aborderai pas ici la masturbation à deux ou plus, la trouvant plus proche du jeu sexuel classique. Seul disais-je, pas vraiment en réalité : on est avec soi-même, la seule personne qui nous accompagne tout au long de notre vie. Et autant apprendre à s’aimer plutôt qu’à simplement se supporter : c’est l’essence même, selon moi, de l’onanisme triomphant — et du bonheur.

Tromperie, pis-aller… ou acte d’amour ?

Si on est en couple, on peut éprouver du remords ou de la culpabilité : ne suis-je pas en train de tromper mon partenaire ? C’est une pensée naturelle, que je vous invite à dépasser pour consacrer votre attention sur vous-même. Tout le monde a droit à un jardin secret et à s’occuper de soi, c’est sain et nécessaire. Et même, cela doit-il rester caché ? Réfléchissez-y et selon la situation de votre couple, échangez librement.

On pense aussi que la masturbation est un pis-aller, à défaut d’un autre avec qui passer à l’acte. Je ne partage pas cet avis : bien pratiquée, elle vous stimulera autrement et vivement, favorisera votre libido et vous permettra des moments intenses avec vous-même. Elle vous fera aussi mieux vous connaître, plus aimer votre corps et toutes ses parties, et préparera avantageusement des actes sexuels plus classiques.

Narcissisme ? Je ne crois pas non plus. C’est un moment qui se vit à la fois dans son anticipation, sa préparation et sa réalisation, et quel qu’en soit l’issue, qu’il aboutisse à un orgasme ou reste plus simplement une séquence intense, il matérialise l’amour, celui que vous donnez à travers vous-même. On ne peut aimer sans être bien avec soi, ce que l’on projette ensuite sur l’autre. Vision idéalisée ? Peut-être. Mais reconnaissons qu’il fait du bien physiquement et c’est un argument qui se suffirait à lui-même…

Anticipation et préparation

Il est essentiel d’anticiper une séance. Oui, je parle d’une séance car il faut être bien, se poser et avoir du temps pour en tirer plaisir et bénéfice. On ne se masturbe pas comme on sort les poubelles le soir, ou alors c’est simplement pour se dégorger le poireau dans le cadre d’un besoin purement physiologique.

Non, là je pense à une vraie séquence où on se dit, “ce soir je vais m’en faire une” ; on y pense dès le matin puis toute la journée, on peut se stimuler les tétons ou une autre partie du corps à des moments propices, avoir des pensées torrides, consulter ou converser sur certains réseaux sociaux… Cela me fait en général mouiller par anticipation.

Avant le début, on se lave. Pour explorer son corps et l’apprécier, j’aime qu’il soit propre, sente le savon et que la peau soit prête à accueillir les innombrables caresses et attouchements qu’elle mérite. On pourra pousser plus loin la préparation et si comme moi vous êtes un adepte de la sodomie, je vous renvoie à mes précédents articles de blog ici et là.

Dans tous les cas, vous aurez un espace confortable, assez chaud pour s’y poser nu et si vous en avez les moyens, équipé de mobilier confortable voire spécialisé, et idéalement un miroir aussi grand que possible pour vous regarder. Car nudité et vision de son propre plaisir sont de puissants stimulants qui engendrent une boucle vertueuse. Les chambres d’hôtel peuvent être intéressantes, disposant souvent de miroirs de plein pied et finalement, que faire de mieux seul le soir dans un lieu inconnu ?

Et surtout, prévoyez du temps. Zéro pression, pas de stress. Zen. C’est un des secrets pour atteindre le nirvana. Vous êtes prêt ?

On y va !

Je pense pouvoir dire que j’ai une longue pratique de la masturbation, plus de quarante ans à l’heure où j’écris ces lignes, et si mes techniques se sont enrichies au fil du temps, j’en retire toujours autant de plaisir. J’ai commencé avec le “classique”, maintenant je combine selon les humeurs avec l’onanisme anal, pour lequel je publierai un article spécialisé prochainement. Parfois encore je m’inflige (avec plaisir) une séquence BDSM, et ce sera encore un autre article…

Voilà ce qui me convient dans le cadre “classique”, à vous de voir selon ce que l’exploration de votre propre corps vous dévoilera…

• Entièrement nu. Toute ma peau est exposée et peut être stimulée, et c’est ce qui me rapproche le plus du sexe en couple ou en groupe. Si en plus j’ai la chance d’avoir un grand miroir, j’apprécie de m’y voir jusqu’à la jouissance.
• Me caresser partout des deux mains, avec un intérêt particulier pour mes tétons, mes cuisses, mes plantes de pieds, ainsi bien sûr que ma verge et aussi mon anus. Des doigts froids produisent un effet supplémentaire, on peut également utiliser un ustensile métallique sortant du frigo.
• Revenir sur mes tétons, zone particulièrement érogène, sur laquelle je m’attarde en alternant caresses sur les aréoles aux doigts mouillés et passages plus rudes avec l’ongle, voire pincement ou peigne, ou encore brosse à dents (avec une pointe de dentifrice au menthol, diablement efficace !)
• Un lubrifiant comme la salive peut augmenter la stimulation mais vous pourrez en trouver d’autres et personnellement, j’apprécie par exemple la banane écrasée pour s’intercaler entre la main et la verge si vous choisissez ce mouvement.
• Confortable, sur un lit avec des oreillers bien placés sous les fesses pour une contre-cambrure préparant le bouquet final, ou à l’inverse enserrant l’organe afin de permettre des mouvements de va-et-vient pendant que les mains s’occupent des tétons ou de l’anus…
• Éventuellement, un film porno peut permettre d’augmenter encore la stimulation, mais au risque de se détourner de soi. Le son souvent me suffit, alors que je me travaille et que je monte en excitation pendant que mes pensées voguent vers le plaisir.

Vous pourrez aussi agrémenter avec des jouets complémentaires comme l’anneau pénien (cockring) qui apporte un réel plus, ou bien encore le masturbateur dans lequel s’insère votre organe, mais cela dépend des personnes et de votre équipement. Essayez, il y a un choix important sur le marché !

Comment on conclut ?

Si vous êtes arrivé là, et selon votre constitution, l’orgasme sera presque inévitable, idéalement sans les mains, c’est le plus fort. Sinon, je vous conseille la main gauche si vous êtes droitier (ou vice-versa) car moins bien maîtrisée par le cerveau, elle vous procurera un mouvement qui semble venir d’ailleurs, donc plus stimulant.

Mais ce n’est pas une fin en soi ! Une séance réussie peut très bien se limiter à ces caresses et attouchements partout, partout, qui laisseront une sensation de bien-être parfaitement mémorable.

Si éjaculation il y a, j’aime pour ma part la diriger sur mon torse, allongé sur le dos, afin de récupérer avec mes doigts le sperme et le porter à ma bouche pour l’avaler. Mais ça, c’est moi…

J’en finis là, à vous de jouer désormais ! Et prenez votre temps… aussi souvent que cela vous plaira.

TLDR (too long don’t read) A me dit de contacter B, B me dit de contacter A, C me dit de contacter B, et B me dit « bonne chance » ou démerde-toi. Je suis en colère contre le système, et un peu envers moi car je n’ai pas été capable de m’exprimer comme je l’aurais voulu hier au téléphone. Mais je sais bien que c’est dû à mon validisme intériorisé qui a beaucoup diminué, et à ma fatigue due aux rendez-vous urgents et imprévus, mais ce validisme sera toujours tapi quelque part dans un coin de mon cerveau.

Pour gérer cette colère, j’ai renvoyé un commentaire au service sous mentionné, en leur demandant clairement de ne pas me contacter, mentionnant que la personne qui m’a contactée hier devrait revoir sa façon de communiquer particulièrement avec les personnes ayant un profil similaire au mien… Ça servira probablement à rien, mais ça m’a fait du bien!

————-

Tellement de sujets différents mais qui s’entremêlent et se chevauchent dans ce texte motivé par cet article que j’ai découvert via Mastodon Que faire de nos colères? Je subis régulièrement de la maltraitance médicale dans le système de santé ontarien (la santé est provinciale ici) qui est un problème systémique comme on dit ici et pas seulement dans ma province évidemment. Et gérer les émotions que cela engendre présente son lot de défis.

Je cumule les identités plus ou moins récentes de (vieille) immigrante, de femme ménopausée, d’AuDHD (autiste et TDAH), de survivante du cancer, de porteuse d’une rare mutation génétique me mettant à risques de développer trop de cancers, le tout couronné en étant francophone en situation minoritaire (je vis dans une province anglophone). Et avec mon récent diagnostic de cancers héréditaires je passe beaucoup d’examens médicaux suivis ou précédés de rendez-vous avec divers spécialistes.

Mes plus récentes expériences datent de mardi et d’hier. Mon corps vieillissant a décidé depuis dimanche dernier de me jouer un mauvais tour et j’ai donc dû ajouter aux divers suivis mentionnés plus haut un tout nouveau type de suivi qui m’a fait me rendre dans une clinique anglophone (tous mes soins sont èà 90 % en français). J’ai été vue par un résident du médecin que j’étais sensée rencontrée, il était terriblement imbu de sa personne et condescendant, mais je l’ai remis poliment à sa place. Cette réaction est relativement nouvelle pour moi surtout en anglais (!), je parle anglais bien sûr mais étant autiste et TDAH cela complique encore plus la communication. Ajoutons à cela la gestion des émotions qui est problématique à cause de l’alexithymie (difficulté ou incapacité à identifier les émotions), mais je travaille sur ça depuis quelques mois avec une psy. En passant les roues des émotions ne fonctionnent dans mon cas, nous utilisons d’autres stratégies.

Bref, passons à hier mercredi avec un appel téléphonique, moyen de communication difficile pour moi comme expliqué dans ce billet de blogue. Et après 8 heures aux urgences dimanche, un rendez-vous dans une nouvelle clinique lundi avec une nouvelle personne, suivi d’un autre rendez-vous dans une autre nouvelle, etc. vous m’avez compris, c’est encore plus difficile. C’était un appel du service de relations aux patients suite à un commentaire déposé en français sur le site d’un hôpital anglophone, mais qui offre parfois l’opportunité de recevoir des soins en français.

J’avais expliqué dans mon message que je ne comprenais pas pourquoi on m’avait encore une fois refusé l’accès au service d’oncologie psycho-sociale (j’ai eu 2 cancers du sein) malgré la situation compliquée que je vis cette fois (ma mutation génétique et tout ce que ça implique), durant l’évaluation que j’avais eue avec une travailleuse sociale. Suite à cet entretien on m’avait envoyé des ressources dans la communauté (à l’extérieur de l’hôpital) pour trouver une aide psychologique, et 90 % des ressources ne prennent plus de patient.es... Bref, j’ai quand même réussi à trouver une structure qui m’accepte, mais pas avant 1 à 3 mois et ce ne sera pas un.e psy spécialisé.e en oncologie car on ne les trouve qu’à l’hôpital. Et j’ai la chance d’avoir un mari avec une assurance (mutuelle), sans ça je ne pourrais pas consulter un.e psy et je serai laisser à moi-même.

Pour en revenir à cet appel la personne extrêmement désagréable au téléphone, qui je rappelle fait partie du service de relations aux patients, me reproche plus ou moins de les avoir contactés alors que je ne reçois plus de traitement actif à l’hôpital. (Pourquoi m’avoir fait passé une évaluation alors?). Et elle me rappelle que j’ai été renvoyée aux soins de ma médecin de famille (depuis plusieurs mois j’ai l’impression d’être une balle de ping pong constamment baladée). Là j’essaie d’en placer une, rappelez-vous que c’est très difficile pour moi le téléphone, pour dire que j’ignorais que leur service était réservé aux personnes ayant des traitements a actifs, et que ma médecin de famille m’a justement mentionné de chercher de l’aide psychologique. Et là de me répéter que je n’ai plus de traitement actif, blabla. J’arrive à dire que je consulte depuis plusieurs mois une psy qui m’a justement mentionnée de contacter leur service vu ma situation particulière, car elle ne fait que du court terme, et notre relation se termine d’ailleurs bientôt. (Vous me suivez toujours? C’est pas simple je sais). Bref l’appel se termine plus ou moins brutalement…

Cette fois j’ai appris ma leçon avec ce service, je ne les contacterai plus (je ne me fais pas d’illusions, j’aurais probablement un autre cancer), mais que de temps et d’énergie perdu des deux côtés…

This article in French is also available in English here.

Introduction

Dans un précédent article, j’expliquais mes motivations et choix pour protéger Mastodon (et les autres applications du fédiverse) contre les bots IA. Ce nouvel article, à destination des administrateurs, détaille les étapes techniques afin d’arriver au résultat ; il est également disponible en anglais ici.

Pour mémoire, voici les objectifs visés :

• Protéger nos utilisateurs du moissonnage massif et systématique de leur contenu ;
• Protéger nos serveurs des attaques en masse de ces bots IA ;
• Laisser nos sites internet visibles publiquement, car c’est pour moi une des vocations des réseaux sociaux, le choix étant laissé à l’utilisateur de sélectionner la visibilité de ses publications ;
• Ne pas utiliser un service en ligne dédié de type CloudFlare, car une de mes valeurs est de protéger la vie privée de nos utilisateurs, et dépendre d’une solution externe qui a toute visibilité sur le trafic, les identifiants en clair et le contenu des consultations n’est pas acceptable ;
• Aller au-delà du filtrage “standard”, et ainsi adresser la problématique des bots IA quelles que soient leurs adresses IP et qui s’identifient comme des utilisateurs humains (font semblant d’utiliser un navigateur).

Ainsi, j’ai choisi d’installer Anubis, un programme en source ouverte (disponible ici sous licence MIT) que j’auto-héberge afin d’être autonome et de garantir la sécurité et la confidentialité de la navigation.

Les défis posés

Le site présentant Anubis est très bien fait, et détaille comment installer l’application et protéger un site internet standard. Néanmoins, pour Mastodon et plus généralement pour les applications du fédiverse, j’ai fait quelques choix et j’ai dû résoudre quelques problématiques particulières, concernant notamment :

• Une instance Anubis commune protégeant toutes les applications installées sur le même serveur ;
• Configuration en sous-requête d’authentification (subrequest authentication);
• Renvoi d’un code 200 et d’une fausse page aux robots bloqués (plutôt qu’un code 403) ;
• Prise en compte de l’API de streaming et du changement légitime possible des adresses IP ;
• Prise en compte de l’authentification applicative avec OAuth ;
• Prise en compte des médias intégrés (embedded) ;
• Fonctionnement en mode failsafe (si Anubis tombe, le service reste fonctionnel) ;
• Des métriques montrant les taux de blocage des clients.

J’aborderai l’ensemble de ces points, en utilisant un serveur linux Ubuntu 24.04LTS avec Nginx et une installation native (sans Docker). Je vous laisse le soin d’adapter ces instructions à votre propre configuration.

Installation d’Anubis

Vous pouvez vous référer à la documentation du site officiel pour cette installation, sachant que nous utiliserons la configuration subrequest authentication.

Dans ce mode, Nginx reste en frontal internet et va interroger Anubis pour autoriser la requête : ce dernier renverra 200 si le client est autorisé ou a déjà son cookie d’autorisation, 403 s’il est interdit et 401 s’il a besoin d’être vérifié ; dans ce dernier cas, la requête est redirigée (307) sur la page Anubis et doit passer le défi pour récupérer un cookie d’autorisation et enfin atteindre la page visée en cas de succès.

Comme le décrit le site officiel, vous devez modifier la politique Anubis afin que DENY renvoie un code 403 au lieu de 200 par défaut, pour que Nginx l’interprète correctement :

status_codes:
  CHALLENGE: 200
  DENY: 403

Nous allons toutefois améliorer cette situation, car certains bots IA retentent leur chance sur un code 403.

Configuration d’Anubis

Concernant la configuration d’Anubis, le premier point concerne les variables d’environnement et le second les politiques.

Variables d’environnement

Voici un extrait des variables d’environnement que j’utilise, je décris ci-dessous les points importants pour notre problématique :

BIND=/run/anubis/anubis.sock
BIND_NETWORK=unix
SOCKET_MODE=0660
COOKIE_EXPIRATION_TIME=168h
JWT_RESTRICTION_HEADER="User-Agent"
METRICS_BIND=:8240
METRICS_BIND_NETWORK=tcp
POLICY_FNAME=/usr/local/etc/botPolicies.yaml
REDIRECT_DOMAINS="example.net,*.example.net"
SERVE_ROBOTS_TXT=false
TARGET=" "

Les trois premières lignes concernent le point d’écoute du serveur Anubis. J’ai choisi d’utiliser un socket unix, vous pouvez rester sur un port tcp, auquel cas vous devrez adapter les configurations de Nginx qui suivent. Assurez-vous que l’utilisateur www-data a bien les droits d’accès pour lire sur le socket (appartient au groupe qui exécute Anubis).

L’expiration du cookie est fixé à une semaine. Vous pouvez réduire cette durée, sachant que chaque expiration casse le flux Mastodon sur le navigateur et nécessite que l’utilisateur rafraîchisse sa page. Il faut donc choisir le bon équilibre entre protection et expérience utilisateur.

Pour la même raison, JWT_RESTRICTION_HEADER est lié au User-Agent de l’utilisateur plutôt qu’à son adresse IP (défaut). Le problème de l’adresse IP est que celle-ci peut changer dynamiquement en navigation mobile ou bien avec certains VPN, et dans ce cas le flux Mastodon est cassé à chaque fois, parfois après quelques minutes, ce qui rend le service quasiment inutilisable. Nous sommes donc obligé d’adapter le niveau de protection en ne tenant pas compte de l’adresse IP.

Les quatre valeurs qui suivent sont classiques et permettent l’observabilité à travers Prometheus (nous en reparlerons plus loin), le fichier des politiques et les domaines de redirection autorisés qu’il est conseillé de configurer (ceux de vos applications à protéger, donc).

Le paramètre SERVE_ROBOTS_TXT ne fait pas sens dans le mode Anubis utilisé, néanmoins nous servirons notre propre fichier robots.txt directement avec Nginx.

Enfin, la valeur de TARGET=" " est essentielle pour que le mode subrequest authentication fonctionne.

Politiques

J’utilise une seule instance Anubis pour protéger toutes mes applications, ainsi les politiques utilisées doivent être adaptées à toutes, ce qui en pratique ne pose aucun problème.

Le point essentiel est celui cité plus haut concernant status_codes. Sinon, les politiques par défaut, éventuellement adaptées à votre sauce, peuvent parfaitement convenir. Notez bien que si aucune politique ne s’applique à la requête, celle-ci sera acceptée par défaut : il n’y a donc aucun problème posé pour par exemple la fédération entre serveurs.

Néanmoins, vous pouvez souhaiter accepter explicitement certains flux comme par exemple la fédération ou les flux RSS :

- name: federation
  action: ALLOW
  user_agent_regex: >-
    ^(Mastodon|Pleroma|Akkoma|Misskey|Calckey|Firefish|gotosocial|Friendica|Hubzilla|Lemmy|Kbin|PeerTube|Pixelfed|BookWyrm|WriteFreely|Mobilizon|Funkwhale|Sharkey|Loops|AodeRelay)
  expression:
    all:
      - '"Accept" in headers'
      - 'headers["Accept"].matches("^application/(activity\\+json|jrd\\+json|ld\\+json)(\\s*;.*)?$")'

- name: rss-feeds
  action: ALLOW
  expression:
    all:
      - '"Accept" in headers'
      - 'headers["Accept"].matches("^application/(rss|atom|rdf)\\+xml(\\s*;.*)?$")'

Rappelons enfin que l’objectif d’Anubis n’est pas de bloquer tous les bots mais bien ceux qui se présentent pour collecter en masse vos pages internet. Pour les bots malveillants, je complète avec des outils tels que iptables et ipset pour bloquer les IP toxiques et fail2ban pour les attaques par force brute (mais c’est une autre histoire).

Configuration de Nginx

Maintenant que votre service Anubis est prêt, passons à Nginx qui reste en frontal de l’internet public. Dans le fichier concernant Mastodon (ou toute autre application à protéger), par exemple /etc/nginx/sites-available/mastodon, nous allons rajouter les directives suivantes.

Configuration générale

Adaptant légèrement la documentation officielle, voici les lignes à rajouter :

location ^~ /.within.website/ {
    proxy_pass http://unix:/run/anubis/anubis.sock:;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header Host $http_host;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header X-Forwarded-Host $http_host;
    proxy_set_header X-Original-URI $request_uri;
    proxy_set_header Accept $http_accept;
    proxy_set_header User-Agent $http_user_agent;
    add_header Cache-Control "no-store";
    proxy_pass_request_body off;
    proxy_set_header Content-Length "";
    auth_request off;
    proxy_cache off;
    proxy_connect_timeout 1s;
    proxy_read_timeout 1s;
    proxy_send_timeout 1s;
}

location @redirectToAnubis {
    return 307 /.within.website/?redir=$scheme://$host$request_uri;
    auth_request off;
    proxy_cache off;
}

Notons en particulier que nous nous assurons de ne pas utiliser le cache en passant la requête à Anubis (ce qui empêcherait le bon fonctionnement de la vérification) et que nous réduisons la durée d’attente (timeout) afin que la configuration failsafe puisse être acceptable du point de vue de l’utilisateur.

Optionnel : servir de fausses pages aux bots IA

Afin de retrouver le même fonctionnement d’Anubis qu’en mode proxy, et donc d’éviter de renvoyer un code 403 aux bots interdits (ceux-ci pouvant alors réitérer sans cesse leurs requêtes), nous avons trois options possibles.

Option basique : page statique

Vous pouvez servir un texte statique tout en renvoyant un code 200 ainsi, en rajoutant les lignes suivantes au même fichier :

location @fake200 {
    default_type text/html;
    return 200 "<h2>Service not available</h2>\n";
    auth_request off;
}

Option élaborée : page dynamique

Il est également possible de servir des pages dynamiquement générées à la volée avec un script lua. Pourquoi faire ? Car cela permet un contenu variable que l’on peut faire passer pour de véritables pages html (contenus multiples mais stables par bot, délai variable par requête, contenu réaliste). L’objectif étant que le bot IA trouve un contenu et en conclut : “rien d’intéressant ici”.

Pour ce faire, nous allons plutôt rajouter les lignes suivantes au même fichier (à la place de l’option basique précédente) :

location @fake200 {
    access_by_lua_file /var/www/html/fake_200.lua;
    auth_request off;
}

Pour que ceci fonctionne, il faut deux conditions : que le module lua soit installé avec Nginx (ce n’est pas le cas par défaut sur Ubuntu 24.04LTS), et qu’un fichier fake_200.lua soit présent sous /var/www/html/ (ou tout autre répertoire de votre choix). Pour installer le module sous Ubuntu :

$ sudo apt install libnginx-mod-http-lua

Si vous êtes intéressé par le fichier fake_200.lua complet que j’utilise, contactez-moi.

local ngx = ngx
--
-- Logic : cache, fingerprinting, generate random content, noise, padding, jitter
--
ngx.say(body)
return ngx.exit(ngx.HTTP_OK)

Option nucléaire : bombe zip

Il est possible d’aller encore plus loin, et au lieu de servir au bot un contenu trompeur, lui servir un contenu carrément nocif. Pour cela, il existe des techniques simples comme les “bombes zip” qui vont coûter très cher en ressources au robot, voire le faire planter.

Vous pourrez facilement trouver sur internet des exemples et adapter les configurations précédentes en ce sens. Pour ma part, je reste réticent à utiliser cette technique, mais à vous de voir…

Voici toutefois un exemple de mise en œuvre (inspiré par Ibrahim Diallo sur son blog), qui va servir un fichier de 10 Mo qui se décompressera en 10 Go, assez pour faire planter les bots qui n’y prennent garde. Génération du fichier :

$ dd if=/dev/zero bs=1G count=10 | gzip -c > /var/www/html/10GB.gz

Et ensuite, rajouter les lignes suivantes au même fichier de configuration Nginx (à la place des options précédentes) :

location @fake200 {
    add_header Content-Encoding gzip;
    return 200 /10GB.gz
    auth_request off;
}

location = /10GB.gz {
    root /var/www/html;
    auth_request off;
}

Optionnel : mode failsafe

Avec Anubis devant l’ensemble de mes applications, un dysfonctionnement les rendrait toutes indisponibles à la fois. Même si cela ne s’est jamais produit, je préfère qu’en cas de souci, l’utilisateur puisse continuer à accéder aux applications, le temps de résoudre la panne d’Anubis. Il suffit de rajouter les lignes suivantes au même fichier :

location @allowOnFailure {
    try_files $uri @mastodon;
    auth_request off;
}

Les lignes hors auth_request off; étant à adapter à ce qui est servi par défaut aux répertoires protégés (la racine / pour Mastodon).

Notez que j’omets add_header Strict-Transport-Security "max-age=63072000; includeSubDomains"; dans chaque directive location contrairement à ce qui est indiqué dans la documentation officielle Mastodon, car je mets cet en-tête au niveau du serveur avec always :

server {
...
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;
...
}

Flux OAuth

Le flux d’autorisation OAuth est cassé pour les applications qui n’utilisent pas un navigateur et ne suivent pas une redirection 307 (cas de Tusky par exemple). Pour permettre ce type de flux, il est nécessaire de contourner explicitement Anubis, ainsi il faut rajouter dans le fichier de configuration Nginx pour Mastodon (à adapter pour les autres applications du fédiverse) :

location ^~ /oauth/ {
    try_files $uri @mastodon;
    auth_request off;
}

location ^~ /api/v1/apps {
    try_files $uri @mastodon;
    auth_request off;
}

location ^~ /auth/sign_in {
    try_files $uri @mastodon;
    auth_request off;
}

Il peut semble contre-intuitif de contourner Anubis pour le chemin /auth/sign_in mais encore une fois, Anubis n’est pas une protection contre les attaques par force brute, utilisez fail2ban ou un équivalent pour cela.

Médias intégrés

Les médias intégrés (embedded) posent également souci car les navigateurs récents ne permettent pas aux pages intégrées de type iframe de stocker leurs cookies. Ainsi, si vous souhaitez pouvoir intégrer des publications (par exemple, Mastodon) ou des médias (par exemple, PeerTube), il est nécessaire là aussi de contourner Anubis. Voici les lignes à rajouter dans Nginx pour Mastodon :

location ~ ^/@[^/]+/\d+/embed$ {
    try_files $uri @mastodon;
    auth_request off;
}

location ~ ^/api/v1/statuses/\d+$ {
    try_files $uri @mastodon;
    auth_request off;
}

location = /embed.js {
    try_files $uri @mastodon;
    auth_request off;
}

Cette fonction étant moins utilisée sur Mastodon, vous pouvez choisir de faire sans, mais elle reste indispensable pour PeerTube. Sans cela, l’intégration affichera la fenêtre “non autorisé” d’Anubis.

Partie principale

Sur chaque chemin à protéger, on peut maintenant rajouter les lignes suivantes dans Nginx. Pour Mastodon, cela se limite à la racine / :

location / {
    auth_request /.within.website/x/cmd/anubis/api/check;
    auth_request_set $anubis_status $upstream_status;
    error_page 401 = @redirectToAnubis;
    error_page 403 = @fake200;
    error_page 500 502 503 504 = @allowOnFailure;
    try_files $uri @mastodon;
}

Notez la ligne auth_request_set qui nous sert pour l’observabilité et pour associer dans les logs Nginx le statut renvoyé par Anubis, on y reviendra plus loin. Si cela ne vous intéresse pas, vous pouvez omettre cette ligne.

Dans toutes les autres directives location, on rajoute auth_request off; pour contourner la vérification. Cela concernera en général les fichiers statiques et les autres pages qui ne nécessitent pas ou qui ne devraient pas être protégées (proxy interne, streaming…).

Le fichier robots.txt

Enfin, pour rester cohérent et même si beaucoup de bots IA l’ignorent, on peut choisir de servir son propre fichier robots.txt en lieu et place de celui servi par Mastodon (ou une autre application du fédiverse) qui est minimaliste. Voici un exemple de lignes à rajouter dans Nginx :

location = /robots.txt {
    auth_request off;
    root /var/www/html;
    default_type text/plain;
    access_log off;
    log_not_found off;
}

Mon fichier robots.txt a été mis en cohérence avec les politiques Anubis. Je peux vous le fournir sur demande.

Et en avant !

Tout est maintenant prêt. Bien entendu, si vous utilisez un stockage objet S3 avec un proxy inversé Nginx, vous ne toucherez pas à cette dernière configuration, il n’est pas souhaitable d’y utiliser Anubis.

Si vous ne l’avez déjà fait, après avoir modifié les configurations :

$ sudo systemctl restart anubis
$ sudo systemctl reload nginx

Désormais, vous aurez la fenêtre de vérification Anubis la première fois que vous visiterez votre site, et ensuite vous serez tranquille pour la durée que vous avez configurée (une semaine si vous avez suivi ce guide à la lettre).

Après expiration du cookie, le flux Mastodon sur un navigateur sera rompu : si vous l’aviez laissé ouvert, vous aurez alors un message d’erreur de Mastodon, vous invitant à tenter de rafraîchir la page, ce qui résout la situation. C’est une gêne mineure que je n’ai pas réussi à éliminer, mais elle me semble acceptable. Bien entendu, elle ne se produit pas sur les applications clientes.

Cette configuration fonctionne parfaitement chez moi après plusieurs mois, sans impact visible sur les performances, Anubis protégeant cinq applications du fédiverse sur chacun de mes deux serveurs principaux. La charge poussée par les bots IA a nettement diminué, et les défis non résolus varient entre 70% et 95% selon les périodes, donnant une idée du taux important de bots IA qui tentent de se faire passer pour des navigateurs légitimes !

Bonus : observabilité

Si vous souhaitez rajouter quelques métriques pour mesurer l’efficacité, vous pouvez utiliser deux sources complémentaires.

Prometheus

Si vous avez configuré Anubis comme indiqué, vous retrouverez sur le port 8240 des métriques Prometheus que vous pourrez utiliser :

curl http://127.0.0.1:8240/metrics

Pour ma part je les exporte avec Alloy vers un serveur Prometheus / Grafana. Contactez-moi si vous voulez en savoir plus.

Nginx

En utilisant la variable $anubis_status configurée ci-dessus, vous pouvez associer le “vrai'“ statut renvoyé par Anubis à chaque requête Nginx dans les journaux (200, 401, 403…) et enrichir ainsi les statistiques (par exemple, par pays).

Pour ma part je remonte les logs filtrés avec Alloy vers le même serveur avec Loki / Grafana. Contactez-moi également pour plus de détails.

Résultat

Pour un exemple de résultat de ce que cela peut donner, vous pouvez alors voir la page de statut de notre serveur Mastodon ici. Les statistiques correspondantes se trouvent sur la dernière section.

Pour les autres applications du fédiverse

La même logique s’applique aux autres applications, mais les configurations et chemins dans Nginx diffèrent et nécessitent de légères adaptations. N’hésitez pas à me contacter si vous souhaitez tous les détails.

Avec Anubis, je protège ainsi avec succès Mastodon, Pixelfed, PeerTube, Lemmy, Friendica, WriteFreely, Loops, Mobilizon, BookWyrm, Funkwhale, ainsi que FreshRSS et les blogs Movim.

J’accueille volontiers vos retours et suggestions. Et sus aux bots IA !

Cet article en anglais est également disponible en français ici.

Introduction

In a previous article in French, I explained my motivations and choices to protect Mastodon (and other Fediverse applications) against AI bots. This new article, targeting administrators, details the technical steps to achieve that; it is also available in French here.

For reference, my objectives are to:

• Protect our users against content systematic bulk-scraping;
• Protect our servers against massive AI bot attacks;
• Maintain public visibility of our servers, as it is to me a core purpose of social networks, each user retaining control over the visibility of published content;
• Not use a dedicated online service such as CloudFlare, as one of my values is to protect our users’ privacy, and I consider that depending on an external solution which has full traffic visibility, including credentials in clear text and browsing content, is not acceptable;
• Go beyond the “standard” filtering, thus targeting the AI bots situation whatever their IP address and however they identify as human users (meaning they pretend to use a browser).

I therefore chose to install Anubis, an open-source application (available here under the MIT license) which I self-host so as to be autonomous and to guarantee security and confidentiality of browsing.

Challenges ahead

The official Anubis website is well designed, and details how to install the application and protect a standard website. However, for Mastodon and more generally for Fediverse applications, I made some choices and had to solve some specific pitfalls, namely:

• One common Anubis instance to protect all applications hosted on the same server;
• Configured using subrequest authentication;
• Return a 200 code and a fake page to rejected bots (rather than a 403 code);
• Deal with streaming API and potentially legitimate IP address changes;
• Deal with application authentication using OAuth;
• Deal with embedded media;
• Operate in failsafe mode (if Anubis is down, services remain operational);
• Metrics showing rejection rates of clients.

I will describe all these aspects, using a linux Ubuntu 24.04LTS server with Nginx and a native installation (no Docker). I let you adapt these instructions to your own configuration.

Installing Anubis

Please refer to the official site’s documentation for installing Anubis on your server. We will be using the subrequest authentication configuration.

In that specific mode, Nginx remains internet-facing and will query Anubis to authorize the request: the latter will return 200 if the client is authorized or already has an authorization cookie, 403 if it is rejected and 401 if it requires verification; in that last case, the request is redirected (307) to the Anubis page and must fulfill the challenge to obtain an authorization cookie, and finally reach the target page in case of success.

As described in the official site, you must modify the Anubis policy so DENY returns a 403 code instead of a 200 by default, so Nginx understands the result correctly:

status_codes:
  CHALLENGE: 200
  DENY: 403

We shall however improve this part, as some AI bots may keep trying when receiving a 403 code.

Configuring Anubis

Regarding Anubis configuration, the first part is about environment variables and the second about policies.

Environment variables

Here is an extract of the environment variables I use, let me describe just after the important aspects relating to our subject:

BIND=/run/anubis/anubis.sock
BIND_NETWORK=unix
SOCKET_MODE=0660
COOKIE_EXPIRATION_TIME=168h
JWT_RESTRICTION_HEADER="User-Agent"
METRICS_BIND=:8240
METRICS_BIND_NETWORK=tcp
POLICY_FNAME=/usr/local/etc/botPolicies.yaml
REDIRECT_DOMAINS="example.net,*.example.net"
SERVE_ROBOTS_TXT=false
TARGET=" "

The first three lines are about the Anubis server listening endpoint. I elected to use a unix socket, you could also use a tcp port, in which case you will need to adapt the following Nginx configurations. Make sure the www-data user has proper read access rights to the socket (belongs to the group executing Anubis).

Cookie expiration is set to one week. You could reduce this duration, knowing that every time it expires the Mastodon timeline flow will break on the browser and require a refresh from the user. So you need to choose the right balance between protection and user experience.

For the same reason, JWT_RESTRICTION_HEADER is tied to the User-Agent rather than the user IP address (default). The issue with the IP address is that it may dynamically change when browsing on a mobile device or when using some VPN networks, in which case the Mastodon timeline breaks, sometimes only after a few minutes, which makes the service unusable. Thus we need to adapt the protection level by ignoring the IP address.

The four following variables relate to observability using Prometheus (we will touch on this further down), policies file and authorized redirect domains which you should configure (those of your applications to protect).

The SERVE_ROBOTS_TXT variable does not make sense in the Anubis mode we use, however we will serve our own robots.txt file directly from Nginx.

Finally, the value of TARGET=" " is essential so subrequest authentication mode works.

Policies

I use only one Anubis instance to protect all my applications, so policies must be adapted to all of those, which in practice is no issue.

The critical point is the one mentioned previously about status_codes. Otherwise, default policies make perfect sense, possibly adapted to your liking. Remember that when no policy matches the request, it will be accepted by default: so federation between servers, for example, will not be an issue.

You might however want to explicitly accept some flows, such as federation or RSS feeds:

- name: federation
  action: ALLOW
  user_agent_regex: >-
    ^(Mastodon|Pleroma|Akkoma|Misskey|Calckey|Firefish|gotosocial|Friendica|Hubzilla|Lemmy|Kbin|PeerTube|Pixelfed|BookWyrm|WriteFreely|Mobilizon|Funkwhale|Sharkey|Loops|AodeRelay)
  expression:
    all:
      - '"Accept" in headers'
      - 'headers["Accept"].matches("^application/(activity\\+json|jrd\\+json|ld\\+json)(\\s*;.*)?$")'

- name: rss-feeds
  action: ALLOW
  expression:
    all:
      - '"Accept" in headers'
      - 'headers["Accept"].matches("^application/(rss|atom|rdf)\\+xml(\\s*;.*)?$")'

Let’s just remember that Anubis’ objective is not to block all bots but specifically those which want to mass-scrape your internet pages. For malicious bots, I also use other tools such as iptables and ipset to block toxic IP addresses and fail2ban for brute-force attacks (but that’s a different story).

Configuring Nginx

Now that our Anubis service is ready, let’s move to Nginx which remains the public internet facing server. In the file relating to Mastodon (or any other application to protect), for example /etc/nginx/sites-available/mastodon, we shall add the following directives.

General configuration

Here are the lines to add, slightly adapting the official documentation:

location ^~ /.within.website/ {
    proxy_pass http://unix:/run/anubis/anubis.sock:;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header Host $http_host;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header X-Forwarded-Host $http_host;
    proxy_set_header X-Original-URI $request_uri;
    proxy_set_header Accept $http_accept;
    proxy_set_header User-Agent $http_user_agent;
    add_header Cache-Control "no-store";
    proxy_pass_request_body off;
    proxy_set_header Content-Length "";
    auth_request off;
    proxy_cache off;
    proxy_connect_timeout 1s;
    proxy_read_timeout 1s;
    proxy_send_timeout 1s;
}

location @redirectToAnubis {
    return 307 /.within.website/?redir=$scheme://$host$request_uri;
    auth_request off;
    proxy_cache off;
}

Note that we explicitly instruct not to use a cache when directing the request to Anubis (which would impair verification) and that we reduce the timeout so failsafe configuration can work acceptably from a user’s standpoint.

Optional : serve fake pages to AI bots

You can have the same behavior of Anubis as in proxy mode and not return a 403 code to rejected bots (as those may retry again and again), for this we have three possible options.

Basic option: static page

You can serve a static text whilst returning a 200 code by adding the following lines to the same file:

location @fake200 {
    default_type text/html;
    return 200 "<h2>Service not available</h2>\n";
    auth_request off;
}

Advanced option: dynamic page

You can also serve dynamic pages generated on-the-fly with lua scripting. Why do that? Because this allows for variable content that may look like real html pages (different content but stable per bot, varying jitter, realistic content). The objective here is that the AI bot finds content and concludes: “nothing interesting here”.

To achieve that, we shall rather add the following lines to the same file (replacing previous option):

location @fake200 {
    access_by_lua_file /var/www/html/fake_200.lua;
    auth_request off;
}

For this to work, you need two conditions: the lua module must be installed with Nginx (it is not by default on Ubuntu 24.04LTS), and a file named fake_200.lua must be present under /var/www/html/ (or any other directory of your choice). To install the module with Ubuntu :

$ sudo apt install libnginx-mod-http-lua

If you are interested by my own complete fake_200.lua file, please contact me.

local ngx = ngx
--
-- Logic : cache, fingerprinting, generate random content, noise, padding, jitter
--
ngx.say(body)
return ngx.exit(ngx.HTTP_OK)

Nuclear option: zip bomb

It is possible to go even further, and rather than serve deceptive content to the bot, serve it really toxic content. To achieve this, there are some simple techniques such as “zip bombs” which will be very costly resource-wise for the robot, or even trigger a failure.

You can easily find examples on the internet and adapt the previous configurations. As for myself, I am reluctant to use these techniques, but it’s up to you…

Nonetheless, here is an example of implementation (inspired by Ibrahim Diallo on his blog), which will serve a 10 MB file which will unzip to 10 GB, usually enough to trigger a failure for unaware bots. Generate the file:

$ dd if=/dev/zero bs=1G count=10 | gzip -c > /var/www/html/10GB.gz

And now, add the following lines to the same Nginx configuration file (replacing previous options):

location @fake200 {
    add_header Content-Encoding gzip;
    return 200 /10GB.gz
    auth_request off;
}

location = /10GB.gz {
    root /var/www/html;
    auth_request off;
}

Optional: failsafe mode

With Anubis virtually sitting in front of all my applications, a failure would make them all unavailable at once. Even if that has never happened yet, I prefer that users can continue to use my applications should an issue occur with Anubis, waiting for resolution. You simply need to add the following lines to the same file:

location @allowOnFailure {
    try_files $uri @mastodon;
    auth_request off;
}

The lines above auth_request off; must be adapted to what is served by default on the protected paths (only root / for Mastodon).

Note that I don’t use add_header Strict-Transport-Security "max-age=63072000; includeSubDomains"; in each location directive, as opposed to what is listed in the Mastodon official documentation, as I set this header at the server-level using always :

server {
...
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;
...
}

OAuth flow

The OAuth authorization flow is broken for apps that don’t use a browser and don’t follow a 307 redirect (case of Tusky as an example). To allow this flow type, you must explicitly bypass Anubis, so you need to add in the Nginx configuration file for Mastodon (to adapt for other Fediverse applications):

location ^~ /oauth/ {
    try_files $uri @mastodon;
    auth_request off;
}

location ^~ /api/v1/apps {
    try_files $uri @mastodon;
    auth_request off;
}

location ^~ /auth/sign_in {
    try_files $uri @mastodon;
    auth_request off;
}

It may seem counter-intuitive to bypass Anubis for the path /auth/sign_in but once again, Anubis is not a protection against brute-force attacks, use fail2ban or an equivalent for that.

Embedded media

Embedded media are also an issue as recent browsers do not allow iframe-type embedded pages to store their cookies. Thus if you want to embed posts (e.g. Mastodon) or media (e.g. PeerTube), you must also bypass Anubis. Here are the lines you should add in Nginx for Mastodon:

location ~ ^/@[^/]+/\d+/embed$ {
    try_files $uri @mastodon;
    auth_request off;
}

location ~ ^/api/v1/statuses/\d+$ {
    try_files $uri @mastodon;
    auth_request off;
}

location = /embed.js {
    try_files $uri @mastodon;
    auth_request off;
}

This functionality is less used on Mastodon so you could choose to do without, but it remains necessary for PeerTube. Without those lines, the embedded window will display the Anubis “unauthorized” page.

Main part

On each path to protect, we can now add the following lines in the appropriate Nginx location. For Mastodon, this only needs to be done on the root directory / :

location / {
    auth_request /.within.website/x/cmd/anubis/api/check;
    auth_request_set $anubis_status $upstream_status;
    error_page 401 = @redirectToAnubis;
    error_page 403 = @fake200;
    error_page 500 502 503 504 = @allowOnFailure;
    try_files $uri @mastodon;
}

Note the line auth_request_set which is used for observability and to associate to Nginx logs the Anubis status, we will come back to this just after. If you are not interested, you can omit this line.

For all other location directives, we add auth_request off; to avoid verification. This usually covers static assets and other pages which need not or should not be protected (internal proxying, streaming…).

The robots.txt file

Finally, to remain consistent and even though many AI bots disregard it, you can serve your ownrobots.txt file to replace the one served by Mastodon (or any other Fediverse application) which is minalistic. Here an example of lines to add in Nginx:

location = /robots.txt {
    auth_request off;
    root /var/www/html;
    default_type text/plain;
    access_log off;
    log_not_found off;
}

I put my own robots.txt file to be consistent with Anubis policies. I can provide it on request.

Let’s go!

Everything is now ready. Of course, if you are using S3 object storage with a Nginx reverse-proxy, you don’t modify anything in its configuration file, Anubis should not be used there.

If not done already, after setting everything up:

$ sudo systemctl restart anubis
$ sudo systemctl reload nginx

You now should have the Anubis verification page on your first site visit, and then you will be fine for the duration you configured (one week if you followed exactly this guide).

After the cookie expiry, the Mastodon timeline flow on a browser will break: if the browser were still open, you will then get a Mastodon error message, inviting the user to refresh the page, which resolves the situation. It’s a minor hindrance that I could not get rid of, but it seems acceptable. Of course, this won’t happen on client apps.

This configuration works fine for me after several months, with no visible impact on performances, Anubis protecting five Fediverse applications on each of my two main servers. The toll taken by AI bots has significantly decreased, and unresolved challenges vary from 70% to 95% depending on the period, giving a hint on the important proportion of AI bots trying to mimic they are legitimate users!

Bonus: observability

If you want to add some metrics to evaluate efficiency, you can use two complementary sources.

Prometheus

If you configured Anubis as described, you will find on port 8240 Prometheus metrics you may use:

curl http://127.0.0.1:8240/metrics

As for myself, I export those using Alloy to a Prometheus / Grafana server. Contact me if you want more details.

Nginx

By using the $anubis_status variable configured above, you can associate the “real” status returned by Anubis on each Nginx request in the logs (200, 401, 403…) and enrich statistics (e.g. by country).

As for myself, I upload filtered logs using Alloy to the same server with Loki / Grafana. Contact me also for more details.

Result

For an example of what you can expect, you can browse our Mastodon server status page here. Corresponding statistics are on the last section.

For the other Fediverse applications

The same logic applies to other applications, but configurations and paths in Nginx differ and require minor adaptations. Don’t hesitate to contact me if you want all details.

I successfully use Anubis to protect Mastodon, Pixelfed, PeerTube, Lemmy, Friendica, WriteFreely, Loops, Mobilizon, BookWyrm, Funkwhale, as well as FreshRSS and Movim blogs.

I welcome any feedback and suggestions. And down with the AI bots!

Introduction

Cette publication en français est à destination des utilisateurs francophones curieux.

Elle est suivie d’un article plus technique (en français et en anglais) afin de détailler comment protéger les applications du fédiverse contre les bots IA. En effet, j’ai dû résoudre un certain nombre de problèmes avant d’arriver à une solution satisfaisante que je partagerai donc ici.

Grâce à ça, tous nos services du fédiverse (présentés sur notre portail) sont désormais protégés.

Contexte

Dans les derniers mois et avec une accélération grandissante, j’ai constaté une augmentation significative du trafic vers l’ensemble de nos sites. Bonne nouvelle ? Regardons de plus près…

Beaucoup de ce trafic venait de Chine ou Singapour notamment, avec des ordres de grandeur dépassant largement les pays européens (fois dix, voire plus). Étonnant pour des sites francophones… Un peu de travail pour bloquer avec le pare-feu les adresses IP malveillantes à partir de bases de données libres m’ont permis de ramener initialement ce trafic à un profil plus normal, où traditionnellement les pays dominants sont la France, la Belgique, la Suisse puis l’ensemble des pays européens suivis de la plaque continentale américaine.

Mais ce répit a été de courte durée, et ce blocage (pourtant mis à jour en continu) ne suffit désormais plus. Un trafic toujours en croissance, émanant des pays les plus divers (mais notamment USA, Singapour, Chine et Hong-Kong…) et qui semble attaquer par vagues successives, avec des adresses IP sources multiples et différentes qui n’apparaissent pas sur les listes de blocage.

Problème

La cause à tout cela est claire : les « crawlers IA » ou « bots IA ». Il s’agit de comptes robots (c’est-à-dire automatisés, sans personne derrière) dont l’objectif est de parcourir l’ensemble des pages internet pour les analyser et apprendre des contenus de toutes les pages disponibles. Il y a toujours eu des comptes robots, par exemple ceux liés aux moteurs de recherche (type Google, Bing, DuckDuckGo…) et qui permettent d’indexer les pages afin que celles-ci se retrouvent dans les résultats des recherches que l’on utilise quotidiennement, mais ces derniers sont « raisonnables » dans leur sollicitation des ressources et leur intention.

Les études récentes montrent que plus de la moitié du trafic internet est désormais le fait de bots, et que la croissance des bots IA est exponentielle.

Ici, ces bots IA posent des problématiques particulières :

• Éthiques d’une part, car ils pillent littéralement les contenus pour les réutiliser et pour nourrir leurs modèles, au mépris des droits d’auteur, des licences et de la volonté de leurs créateurs ;
• Impactant les sites internet d’autre part, car ces bots sont très nombreux et consultent inlassablement et continûment les mêmes pages, provoquant des requêtes internet en masse sur les serveurs pouvant aller jusqu’à ralentir leur performance ou carrément les faire tomber (ce qu’on appelle un « déni de service »).

A ce double titre, ils peuvent être considérés comme des maliciels (« malwares » en anglais). Et pour ces deux raisons, j’ai souhaité les bloquer, à la fois pour protéger nos serveurs et par respect pour nos utilisateurs et leurs contenus.

Caractéristiques

Normalement, l’internet est fait pour accommoder les comptes robots, et il y a plusieurs façons de les reconnaître.

Adresses IP

Ces adresses identifient quelle est la machine source qui envoie les requêtes vers un serveur. Certaines de ces adresses IP sont bien connues et identifiées comme étant malveillantes, et des listes publiques sont maintenues et utilisées pour les bloquer (y compris par moi).

Les bots IA contournent pour beaucoup ce mode d’identification, en utilisant des adresses IP résidentielles, multiples et évolutives, rendant impossible leur blocage compte tenu du nombre et du caractère dynamique de telles listes.

Le fichier robots.txt

Historiquement, ce petit fichier texte présent à la racine des sites internet permet d’indiquer de manière normalisée ce que l’administrateur du site souhaite accepter comme type de comptes robots. Il est indicatif et n’effectue aucun blocage, c’est comme un autocollant « pas de pub svp » sur votre boîte aux lettres. Respecté par les bots « honnêtes » comme celui d’indexation du moteur de recherche Google ou Bing, il ne l’est malheureusement pas par la plupart des bots IA qui l’ignorent allègrement.

Le User-Agent

Quand une machine va consulter un serveur, elle envoie entre autres choses un en-tête (invisible à l’utilisateur) qui s’appelle le User-Agent et qui identifie quelle est l’application source qui fait la requête. On peut donc normalement l’utiliser pour savoir si on a affaire à un navigateur (et donc à un utilisateur humain) ou bien à une autre application, y compris un robot. Ces derniers devraient donc s’identifier comme tels, et par exemple la fédération (le processus automatisé qui permet à tous les serveurs du fédiverse de communiquer entre eux) respecte également cette pratique, le User-Agent de Mastodon identifiant bien cette application pour ne prendre qu’un exemple.

Caractéristique de leur comportement voyou, beaucoup de bots IA se font passer pour un navigateur standard (et donc un utilisateur) en envoyant un User-Agent volontairement faux et trompeur. Il est donc difficile d’utiliser ce seul critère pour débusquer ces bots.

Solutions possibles

Vous l’aurez compris, beaucoup de bots IA sont difficiles à déceler car ils sont précisément conçus pour imiter la consultation d’un site internet par un humain. Alors, que faire ? Plusieurs solutions.

Rendre son site internet privé

Solution radicale, il est possible d’exiger la création d’un compte pour s’identifier et accéder au contenu de son site internet. Les bots IA ne disposant pas de ces identifiants, ne peuvent accéder qu’au contenu public et si celui-ci est vide, problème résolu. Seulement, cela impacte aussi les utilisateurs ainsi que la visibilité du site en question (le fameux « SEO ») et n’est pas forcément souhaitable si l’on désire afficher des pages publiques. D’autre part, il faut sécuriser la création de compte (avec par exemple un CAPTCHA) car certains bots savent le faire automatiquement, confirmation par e-mail comprise.

Utiliser un service en ligne spécialisé

Certains services en ligne (je pense notamment à Cloudflare) proposent un filtrage configurable et savent résoudre notamment le problème du déni de service. Pour ma part, je n’aime pas cette solution, car elle revient à introduire entre l’utilisateur et le site internet un intermédiaire (américain pour Cloudflare) qui voit passer tout le trafic en clair. Oui, vous avez bien lu, et donc toutes vos consultations, contenus, vos identifiants et mots de passe sont également disponibles à cet intermédiaire. Cette solution n’est pas acceptable par rapport aux objectifs d’éthique et de protection de la vie privée que je recherche, mais elle pourrait l’être pour d’autres.

Se contenter des filtrages standards

Si l’on reprend les éléments cités plus haut (adresses IP, fichier robots.txt, User-Agent), il est possible de bâtir un ensemble de filtrages qui amélioreront la situation par rapport au fait de ne rien faire du tout. Certains vont même jusqu’à bannir des pays entiers par leur adresse IP (Chine, par exemple) mais cela me semble trop radical et exclut de facto les utilisateurs légitimes de ces pays (et il y en a). Dans tous les cas, cette solution ne permettra pas de filtrer les bots IA qui utilisent des adresses IP résidentielles, qui ignorent robots.txt et utilisent un User-Agent de navigateur standard : une grande partie de ces bots, en fait.

Solution choisie

Voici ce que j’ai cherché à atteindre :

• Protéger nos utilisateurs du moissonnage massif et systématique de leur contenu ;
• Protéger nos serveurs des attaques en masse de ces bots IA ;
• Laisser nos sites internet visibles publiquement, car c’est pour moi une des vocations des réseaux sociaux, le choix étant laissé à l’utilisateur de sélectionner la visibilité de ses publications ;
• Ne pas utiliser un service en ligne dédié, car une de mes valeurs est de protéger la vie privée de nos utilisateurs, et dépendre d’une solution externe qui a toute visibilité sur le trafic et le contenu des consultations n’est pas acceptable ;
• Aller au-delà du filtrage « standard », et ainsi adresser la problématique des bots IA quels que soient leurs adresses IP et qui s’identifient comme des utilisateurs humains (font semblant d’utiliser un navigateur).

Ainsi, j’ai choisi d’installer Anubis, un programme en source ouverte (disponible ici sous licence MIT) que j’auto-héberge afin d’être autonome et de garantir la sécurité et la confidentialité de la navigation.

Impacts

En tant qu’utilisateur, voici les impacts pour vous :

• Si vous utilisez une application (comme sur un smartphone) : aucun ;
• Si vous utilisez un navigateur : vous verrez apparaître une fenêtre de « vérification que vous n’êtes pas un robot » pendant une à deux secondes, puis vous serez redirigé automatiquement vers le site. À partir de ce moment, vous n’aurez plus cette fenêtre pendant une semaine (sauf si vous changez d’appareil ou de navigateur), et le cycle recommencera.

Notez bien qu’Anubis requiert que le navigateur autorise Javascript et le dépôt de cookies, mais sans cela Mastodon ne fonctionnerait pas de toutes façons.

Côté performances, cela a un impact négligeable sur le temps de réponse.

Ce dispositif réalise le meilleur compromis entre gêne utilisateur (faible et sans action de votre part) et blocage du trafic IA. Car il s’agit bien d’un compromis ! Aucune solution de ce type ne peut être parfaite, il faut trouver le bon équilibre pour ne pas bloquer les utilisateurs légitimes. De plus, certains robots évolués seraient capables de contourner cette protection en reprenant l’ensemble des caractéristiques de l’utilisateur humain, mais cela leur demanderait plus de ressources de par le fonctionnement inhérent d’Anubis : ainsi, il ne s’agit pas tant de bloquer entièrement tous les bots IA, que de rendre leur utilisation en masse trop gourmande pour eux en essayant de consulter nos sites.

Pour aller plus loin

Ainsi, Anubis protège nos sites contre une grande majorité de bots IA, tout en laissant nos contenus publics visibles sans nécessiter de connexion.

Toutefois, si vous recherchez une protection absolue, vous devez avoir en tête les éléments suivants :

• Comme on l’a dit, certains robots évolués (ou conçus spécialement) pourraient passer malgré tout ;
• Le mécanisme de la fédération fait que vos publications sont recopiées sur les autres serveurs des personnes qui vous suivent (si posts publics) ou s’il y a interaction (like, boost, commentaire) ; si ces serveurs ne sont pas protégés contre les bots IA, ces derniers pourraient accéder indirectement au contenu ;
• Si un compte vous suit et qu’il n’est autre qu’un bot IA masqué, il accédera également à votre contenu. Prenez garde à qui sont vos abonnés !

Si vous souhaitez vraiment augmenter encore votre protection par rapport aux deux derniers points, considérez alors jouer sur la visibilité de vos publications (qui impactera également comment les utilisateurs humains verront vos posts) :

• Tout ce que vous publiez en visibilité « publique » est visible… publiquement, et peut donc être moissonné à partir d’un autre serveur fédéré non protégé ;
• Si vous publiez en visibilité « public discret », on ne la verra pas dans les fils mais elle restera accessible publiquement à partir de son lien (qu’il faut donc connaître). Le moissonnage par un bot IA est plus difficile, mais peut se faire par exemple si ce bot suit un utilisateur qui interagit avec votre post ;
• Si vous publiez en mode « abonnés seuls », il n’y a que ces derniers qui peuvent voir vos publications (ce qui nécessite donc d’avoir un compte et de vous suivre). Il faudra alors veiller à ce qu’aucun compte abonné ne soit en réalité un bot IA masqué ;
• La seule protection absolue : la visibilité « mention privée ». Mais alors, on n’est plus sur un réseau social…

Si vous suspectez un compte « bot IA masqué » sur une instance, n’hésitez pas à la signaler.

Si vous rencontrez un souci d’accès, contactez votre administrateur.

Pour conclure

En conclusion, tous nos services sont protégés contre les bots IA ce qui vous offre un haut niveau de protection contre le vol en masse direct et systématique de vos données – mais ce n’est pas une protection absolue.

Nous resterons évolutifs dans nos solutions de protection, car c’est un jeu du chat et de la souris.

L’internet reste une jungle et tout ce qui est publié publiquement restera accessible à un acteur déterminé, pour l’éternité.

C’est la grande question qui vient de me traverser l’esprit en regardant un épisode de la série Le goût de vivre dans laquelle un personnage apprend une terrible nouvelle concernant sa santé. Et plus modestement, je me demandais depuis ce matin comment choisir quoi faire de ma journée…

Pourquoi? Parce que je n’ai pas trop mal dormi, pour une fois, et avec tout ce que je vis depuis récemment pour une rare fois je n’ai aucun rendez-vous, ni obligation aujourd’hui. Et comme je le mentionnais récemment essayer d’organiser mes journées en bloc de temps est quelque chose que je tente depuis peu.

Pourquoi? Parce que si comme moi vous êtes TDAH, oui j’utilise volontairement dans mon cas personnel le verbe être, car cela fait partie de moi, tout comme l’autisme à la différence des cancers que j’ai eus, et de mes risques de cancers héréditaires. Donc si le TDAH est votre réalité vous savez très bien, avec vos propres saveurs car chacun.e d’entre nous est unique, comment cela peut être facile de ne rien faire à cause des défis de nos fonctions exécutives, qui viennent souvent en plus comme pour moi avec la cécité temporelle depuis la périménopause, cycle qui m’a aussi révélé le TDAH.

Donc, trop régulièrement, je gaspille mes journées, et avec l’épée de Damoclès qui est au-dessus de ma tête, ou plutôt la bombe qui est dans mon corps depuis le diagnostic de mutation génétique expliqué dans le billet précédent, ce gaspillage prend une toute autre saveur. Car j’ai aussi appris récemment pourquoi, en plus de tout le reste j’étais épuisée, et donc ma faible énergie devient encore plus précieuse. J’essaie d’y faire encore plus attention, car avec tous les examens de suivi que je dois subir je ne sais jamais ce qu’ils vont détecter, je suis d’ailleurs dans l’attente d’un résultat. En plus de tout ça je vieillis, et mon corps subit les contrecoups des décennies de camouflage ignorant mes neurodivergences et des mes burnouts neurodivergents, ceux des chirurgies récentes et de leurs effets secondaires.

Je suis donc constamment déchirée entre mes impulsivités qui me donnent des myriades d’envie, et j’adore ça, et les limitations physiques que je m’impose avec tout ce que j’ai vécu et ce que je vis, car des périodes de repos sont vitales pour essayer de faire face quotidiennement à tout ça le plus sereinement possible. Mais ma vie peut paraître plate comme on dit ici, ou sans saveurs. J’ai longtemps lutté contre ça, encore un deuil à faire, mais j’ai réussi à réinventer ma vie en faisant les choses différemment, en essayant car c’est loin d’être toujours possible, de me reposer avant un rendez-vous / une obligation ET surtout après.

Par rapport à la vieillesse, je me suis rendu compte récemment que j’étais devenue sage. Je ne m’indigne plus pour autant de choses qu’avant, pour ces choses pour lesquelles je n’ai aucun pouvoir. Je compense cela en m’impliquant à un niveau très limité en suivant mes valeurs, valeurs qui m’ont permis de trouver un sens à ma vie après mon premier cancer du sein et ma crise existentielle avec la perte de l’illusion de l’immortalité.

Pour en revenir à la question initiale je n’ai bien sûr pas de réponse définitive, mais pour la seconde question je vais essayer de faire aujourd’hui, il est encore tôt chez moi, uniquement les choses qui me plaisent, et ça commence avec ce billet. Cela va être facilité avec la nuit pas trop mauvaise bien évidemment. Ces mots sont aussi motivés par une chronique lue ce matin qui parle d’un sujet dont on ne parle pas dans nos sociétés occidentales, mais qui pourtant concerne tout le monde, mais cela fera l’objet d’un prochain billet tout comme d’autres questions existentielles.

(date d’écriture initiale : 26 mars 2026)

Bienvenue dans le monde des maladies rares!

Vous savez, ou vous imaginez, quand vous annonce que vous avez un cancer, le choc que cela peut provoquer.

Essayez d’imaginer maintenant ce que ça de savoir que vous pourriez en avoir 7 différents à cause de votre ADN.

Voici la première partie de mon histoire, je vais tenter d’écrire régulièrement pour essayer de mieux gérer le tout.

Nous voici donc à l’automne 2023, et suite à ma première mastectomie de routine on m’annonce un premier cancer du sein.

Été 2025, suite au dépistage génétique auquel j’ai eu accès à cause de mon histoire familiale, on m’annonce une rare mutation génétique. Elle porte le joli nom de PTEN, et j’ai la version avec le syndrome tumoral hamartomateux.

J’apprends donc que je risque de développer 7 différents types de cancer avec des % de chances plus ou moins élevés. Je vais vous épargner les pourcentages, mais je dois apprendre à vivre avec un risque d’avoir :

• un cancer de la thyroïde et
• un cancer du sein (je n’ai plus de seins, mais il y a toujours un risque) et
• un cancer de l’estomac et
• un cancer du côlon et
• un cancer de l’endomètre et
• un cancer du rein (je suis née avec un seul rein) et
• un cancer de la peau (un mélanome).

J’ai gagné le gros lot à la loterie! Et ce diagnostic génétique confirme aussi que je suis autiste, l’autisme faisant partie des trop nombreuses manifestations de cette mutation.

Et j’en ai d’autres comme une macrocéphalie. Mon père avait aussi une grosse tête, tout comme mon frère en a une, on ne saura jamais avec certitude ayant perdu mon père, mais je l’ai probablement héritée de lui, et je sais maintenant pourquoi ma mère n’a jamais pu enfant nous trouver un chapeau à notre taille!

Mais revenons auX cancerS et aux trop nombreux examens de suivi que je vais avoir tous les 1 ans, 3 ans et 5 ans.

Mon risque de récurrence de cancer du sein passe donc de 2% à 85%.

À peine le temps de me faire à l’idée, à l’automne 2025 commence le premier cycle des nombreux examens de suivi dont une IRM qui va remplacer la mammographie.

Et donc à l’automne 2025, suite à ma première IRM on m’annonce qu’une tumeur, non détectée à la mammographie de contrôle effectuée quelques mois plus tôt, nécessite une biopsie vu mon profil.

Pour la faire court, janvier 2026 je subis une deuxième mastectomie.

Mars 2026, suite à ma première coloscopie et gastroscopie (j’ignore comment s’appellent ces examens dans vos pays francophones), le gastro-entérologue m’annonce avoir prélevé un polype dans l’estomac, et 7/8 dans l’intestin, tout en précisant qu’il en a vu une centaine en tout dans cette partie de mon corps… Mais bonne nouvelle, il en faut, il n’a pas vu de cancer, je vais prendre ça pour l’instant...

J’ai un rendez-vous de suivi avec lui dans 2 mois pour avoir le résultat des analyses des prélèvements qui devraient prendre entre 3 et 4 semaines.

Et évidemment, j’ai commencé à lire sur le cancer du côlon, car autant de polypes augmente forcément mes risques. Je ne suis pas médecin, mais je ne suis pas bête non plus, les différentes options ne sont pas forcément réjouissantes…

À la fin du mois, j’ai justement un rendez-vous de suivi avec mon oncologue suite à mon deuxième cancer du sein, et je vais lui poser 2 ou 3 questions sur les différents types de polypes, plus particulièrement les polypes hamartomateux du côlon.

Je devrais avoir aussi dans quelques mois un rendez-vous avec une gynécologue pour discuter d’un possible retrait préventif de l’utérus. Ce sera le dernier rendez-vous du premier cycle d’examens qui devrait reprendre en septembre, et je devrais probablement faire une biopsie de l’utérus, une procédure pas drôle du tout en attentant l’opération.

Comment je vais dans tout ça me diriez-vous? Je ne sais pas.

J’ai des vagues d’angoisse/anxiété/stress essayant de me projeter dans l’avenir avec x organes en moins (?), tout en étant autiste et TDAH pour ajouter du fun à l’histoire...

J’ai l’impression d’être divisée en x morceaux devant devoir voir x spécialistes, chaque problématique étant traitée individuellement. Le tout avec un niveau proche du 0 pour la compréhension et le support concernant mes neurodivergences, le tout naviguant dans un système de santé provincial au bord du précipice.

Histoire à suivre!