Autoriser Lockpick dans votre pare-feu

Les pare-feu, les vérifications anti-bot et les murs de connexion peuvent bloquer une analyse. Lorsque l'un d'eux la bloque avant qu'elle voie votre site, le rapport est marqué Bloqué et indique ce qui l'a arrêtée, par exemple la vérification anti-bot de Cloudflare ou de Vercel. Le rapport n'est pas noté, mais il vérifie toujours vos données publiques, et une vérification automatique se met en pause et vous prévient. Lorsque la protection anti-bot se déclenche en cours d'analyse Deep, le rapport conserve tout ce qui a été lu avant, indique que votre protection anti-bot fonctionne, et propose un prompt pour votre agent d'IA qui ajoute la règle ci-dessous. Autoriser Lockpick permet à la prochaine analyse d'aller au bout.

Comment Lockpick se présente

Les analyses envoient les mêmes en-têtes qu'un navigateur Chrome ou Edge ordinaire, y compris son user agent, si bien qu'une analyse voit votre site comme le ferait un visiteur. De toute façon, un user agent ne prouve rien : n'importe qui peut le copier.

Lockpick signe plutôt chaque requête envoyée à votre site avec Web Bot Auth, le standard ouvert qui permet aux robots de prouver qui ils sont. Chaque requête porte cet en-tête, une signature de courte durée pour votre domaine que seule la clé de Lockpick peut produire, ainsi que l'en-tête Signature-Input correspondant.

Signature-Agent: "https://bots.lockpick.app"

Les clés publiques sont publiées à https://bots.lockpick.app/.well-known/http-message-signatures-directory. Les protections anti-bot qui vérifient ces signatures peuvent distinguer une vraie analyse Lockpick de quelqu'un qui emprunte son nom. Les fournisseurs qui listent Lockpick comme robot vérifié le laissent passer sans règle de votre part. Tant que votre fournisseur ne le fait pas, ou si une de vos règles bloque ou met en challenge tous les robots, ajoutez la règle ci-dessous.

Autoriser Lockpick

Ajoutez une règle dans votre pare-feu ou votre protection anti-bot qui ignore les vérifications anti-bot et les limites de débit lorsque l'en-tête Signature-Agent contient bots.lockpick.app. Lockpick n'analyse pas depuis une liste fixe d'adresses IP : autorisez-le donc par cet en-tête plutôt que par adresse.

• Vercel. Dans le pare-feu de votre projet, ajoutez une règle personnalisée dont la condition est Request Header signature-agent contains bots.lockpick.app et dont l'action est Bypass, au-dessus de toute règle personnalisée qui met en challenge ou refuse. Le mode Attack Challenge met en challenge chaque visiteur, sauf les robots connus, tant qu'il est actif, et une règle personnalisée ne le lève pas : vérifiez à nouveau une fois qu'il est désactivé.
• Cloudflare. Ajoutez une règle personnalisée avec l'expression any(http.request.headers["signature-agent"][*] contains "bots.lockpick.app") et l'action Skip, qui ignore les autres règles personnalisées, la limitation de débit, les règles gérées et Super Bot Fight Mode (forfaits payants). Placez-la en premier. Le Bot Fight Mode du forfait gratuit ne peut être ignoré par aucune règle : il faut le désactiver pour que Lockpick passe.
• Autres pare-feu. Cherchez une règle qui ignore la protection anti-bot selon un en-tête de requête. Le rapport nomme Akamai, Imperva, Sucuri, AWS WAF, Azure Front Door, DataDome ou PerimeterX lorsque leur page de blocage indique qui l'a servie, et dit « un pare-feu » lorsqu'il ne peut pas savoir lequel a répondu.

Vérifications anti-bot de Cloudflare et Vercel

Une vérification anti-bot est la page qui demande à un visiteur d'attendre ou de prouver qu'il est humain, parfois avec un statut normal « 200 OK ». Lockpick reconnaît celles de Cloudflare et de Vercel grâce aux marqueurs qu'elles envoient. Il s'arrête aussitôt et n'essaie jamais de les résoudre ni de les contourner. Il ne réessaie pas non plus depuis une autre adresse.

Un pare-feu qui bloque un seul chemin sensible fait son travail, donc cela seul n'arrête jamais une analyse. Lorsque Lockpick vérifie la présence de fichiers qui ne devraient pas être publics (comme /.env ou /wp-config.php.bak) ou de routes courantes (comme /admin), et que votre pare-feu répond par sa page de blocage ou de challenge, le rapport note que ce chemin est protégé et l'analyse continue. Ce n'est que lorsque plusieurs de ces vérifications sont refusées à la suite que Lockpick relit votre page d'accueil. Si le pare-feu refuse la page qu'il servait une minute plus tôt, il bloque Lockpick lui-même, et l'analyse s'arrête. Les vérifications Deep des fichiers sensibles ont lieu en dernier, après ses vérifications de routes et d'API, et dans un ordre différent à chaque analyse. Elles ne vérifient aussi que les fichiers que votre hébergeur peut servir. Sur Vercel, Netlify ou un constructeur de sites comme Shopify ou Webflow, où seul le résultat de votre build est publié, elles ignorent .env, .git, les exports de bases de données et les fichiers serveur, et vérifient vos propres routes à la place.

Pourquoi c'est doux pour votre site

• Chaque analyse a une limite fixe : au maximum 10 requêtes pour une analyse Pulse et 200 pour une analyse Deep.
• Les requêtes sont espacées, pas envoyées toutes d'un coup.
• Une analyse s'arrête tôt si votre site répond « too many requests », commence à échouer ou refuse l'accès.
• Elle suit les règles de votre robots.txt pour chaque page découverte, en utilisant les règles écrites pour Lockpick ou, à défaut, celles pour tous les robots.
• La page qu'ouvre un visiteur et les fichiers qu'elle charge font exception. Comme le navigateur d'un visiteur, une analyse lit votre page d'accueil, les scripts qu'elle charge et /.well-known/security.txt, même lorsque robots.txt demande aux robots de rester à l'écart.
• Si robots.txt ne peut pas être lu, une analyse ne lit que ceux-là et ignore toutes les autres pages.
• Elle ne se connecte jamais, n'envoie jamais de formulaires et ne modifie jamais rien.