Focus : OpenEdition déploie Anubis sur ses plateformes
Suite à un nombre croissant de requêtes automatisées, OpenEdition a déployé sur ses plateformes, comme plusieurs de ses partenaires, le logiciel open source Anubis. Bruno Cénou, responsable du service Administration Systèmes à OpenEdition, revient sur les problématiques liées à la protection des données pour une infrastructure de science ouverte telle qu’OpenEdition.
- Anubis a été déployé suite à une attaque informatique sur la plateforme Calenda. De quel type d’attaque s’agit-il ? Calenda est-elle davantage exposée à ces attaques que les autres plateformes d’OpenEdition ?
Parler d’attaque au singulier est un raccourci pour décrire plutôt une vague de requêtes simultanées provenant de dizaines de milliers d’IP différentes qui finit par submerger nos ressources. L’effet constaté est celui d’une attaque en DDOS (attaque par déni de service distribuée) sans pour autant que l’on puisse attribuer une intention de nuire ni identifier un auteur.
Calenda est davantage vulnérable à ce phénomène parce que son moteur de recherche propose une démultiplication des combinaisons possibles de ses facettes, ce qui produit des dizaines de milliers d’urls dans lesquelles s’engouffrent les robots.
- Était-ce la première fois qu’une telle attaque avait lieu ? Quels sont les risques liés à ces attaques ?
Au cours des deux dernières années, nous avons régulièrement subi des vagues similaires mais la pression et la fréquence se sont accentuées ces six derniers mois.
Le risque principal est l’indisponibilité des plateformes par saturation de nos ressources matérielles.
- Quelle stratégie avait été mise en place jusqu’à présent pour contrer le nombre croissant des requêtes automatiques illégitimes tout en préservant l’accès ouvert aux contenus ?
Jusqu’à présent, notre position était de ne considérer aucune requête automatisée comme illégitime. Tous nos contenus en accès libre l’étaient pour tout type de dispositif. Les différents niveaux de cache et la mise à l’échelle progressive de nos ressources matérielles permettaient d’absorber ces usages en suivant une croissance à peu près mesurable.
Or, depuis ces derniers mois, nous faisons face à une forme d’extractivisme qui ignore totalement la viabilité des ressources exploitées.
La difficulté réside dans le fait que la très grande majorité des requêtes automatisées abusives auxquelles nous avons affaire se présentent comme des requêtes de navigateur, avec des user-agents aléatoires pris parmi les plus communément utilisés et qui proviennent par ailleurs de dizaines de milliers d’IP différentes. Il est donc pratiquement impossible de différencier ce trafic des consultations humaines.
Jusqu’alors, nous arrivions à identifier des rangs d’IP abusives se présentant comme du trafic humain que nous pouvions rattacher, par exemple, à des entreprises de chasse à l’infraction au copyright et que nous bannissions.
D’autre part, le contrat social selon lequel les bots étaient censés se présenter comme tels via leur user-agent et prendre en compte le contenu du fichier robots.txt n’est plus du tout respecté.
De fait, nous avons actuellement affaire à deux grands types de requêtes abusives :
- les requêtes déguisées en consultation humaine mais provenant probablement, ce n’est qu’une hypothèse, de scrappers installés sur des ordinateurs personnels infectés, les IP étant généralement affectées à des fournisseurs d’accès Internet grand public ;
- celles provenant de scrappers IA destinés à l’entraînement qui s’identifient par leur user-agent et dont on connaît partiellement les IP.
- Qu’apporte le déploiement d’Anubis ?
Anubis est déployé en proxy sur nos plateformes, il agit principalement en soumettant un problème mathématique au moteur javascript du navigateur client. L’opération est rapidement exécutée par les navigateurs courants et, lorsque tout se passe bien, le processus est quasiment transparent. En revanche, un robot qui n’exécute pas javascript ou qui ne gère pas les cookies ne passe pas ce premier test et n’a donc pas accès au contenu. Ce simple test met à la porte plus de 90 % des requêtes automatisées déguisées en activité humaine, c’est simple et très efficace.
Par ailleurs, les moteurs historiques d’indexation ou les partenaires connus ne sont soumis à aucun test. Les règles de filtrage sont explicites et totalement configurables selon nos besoins.
Le bénéfice est immédiatement visible, la pression exercée sur nos plateformes est globalement divisée par trois.
Il faut saluer le travail de la développeuse d’Anubis, Xe Iaso, qui explique très bien sa démarche.
- Est-il possible de différencier les requêtes de robots malveillants de celles de robots légitimes, utilisés par exemple pour des analyses automatiques de corpus sur nos plateformes ?
Je parlerais plutôt de robots nuisibles, les intentions et les intérêts de ces pratiques nous étant inconnus.
Il est tout à fait possible d’identifier les robots de partenaires ou de moteurs d’indexation connus sur la base de leurs IP et/ou user-agents, c’est ce que nous faisons.
Ce changement de méthode de notre part met potentiellement à la porte de nombreux usages légitimes dont nous n’avons pas nécessairement connaissance, nous réglons au cas par cas ce qui nous est communiqué.
Contact
Si vous rencontrez des difficultés d’accès aux plateformes suite à la configuration d’Anubis, n’hésitez pas à le signaler à l’équipe d’OpenEdition : contact[at]openedition[dot]org.
À noter
Une personnalisation de la page générée par Anubis lors de la connexion aux sites des plateformes est en cours, elle sera effective dans les prochains jours.
Le texte seul est utilisable sous licence Creative Commons Attribution 4.0 International. Les autres éléments (illustrations, fichiers annexes importés) sont “Tous droits réservés”, sauf mention contraire.
OpenEdition vous propose de citer ce billet de la manière suivante :
Bruno Cénou, Christina Cantrel (31 mars 2026). Focus : OpenEdition déploie Anubis sur ses plateformes. L’Édition électronique ouverte. Consulté le 17 mai 2026 à l’adresse https://doi.org/10.58079/15z8w

