Navigateur headless

Un navigateur headless utilise le même moteur de rendu qu'un navigateur normal, comme Chromium ou WebKit, mais omet la fenêtre à l'écran. Un script le pilote par programmation pour charger des pages, exécuter du JavaScript, cliquer sur des éléments et lire le DOM résultant. Comme il exécute le moteur complet, il peut gérer les applications monopage et le contenu dynamique qu'un simple client HTTP ne peut pas.

Cette puissance est ce qui rend les navigateurs headless attrayants pour les attaquants. Ils peuvent exécuter le JavaScript dont dépendent les scripts de fingerprinting et de challenge, de sorte qu'ils déjouent les défenses qui supposent qu'un client scripté ne peut pas exécuter de code dans la page. À grande échelle, une seule machine peut piloter de nombreuses instances headless en parallèle, chacune prétendant être un visiteur indépendant.

Les environnements headless laissent toutefois des traces détectables. Historiquement, ils exposaient des marqueurs évidents tels qu'un token HeadlessChrome dans le user agent ou un flag navigator.webdriver. Même lorsque ceux-ci sont corrigés, des incohérences plus subtiles subsistent : des API de navigateur absentes ou simulées, des plugins manquants, un rendu inhabituel des graphismes et des polices, des capteurs matériels absents et un comportement temporel qui diffère de celui d'une session interactive.

Les opérateurs de trafic headless malveillant tentent d'effacer ces traces en corrigeant des propriétés, en falsifiant des valeurs et en ajoutant une saisie humaine simulée. La détection se concentre donc sur la cohérence interne, en vérifiant si les nombreux signaux indépendants qu'un navigateur expose concordent réellement entre eux, car une falsification entièrement auto-cohérente est difficile à maintenir sur chaque surface.