Agents IA et GEO : laisser ChatGPT et Google-Agent naviguer sur votre site

En bref

Les agents IA, comme le navigateur cloud de ChatGPT Work ou Google-Agent, visitent désormais les sites pour accomplir des tâches à la place des utilisateurs : comparer, remplir un formulaire, préparer une réservation. Pour qu'ils puissent agir sur votre site, il ne suffit pas d'un robots.txt ouvert : il faut que votre pare-feu ou votre CDN reconnaisse leurs requêtes signées avec Web Bot Auth et les laisse passer.

Mis à jour le 29 octobre 2026.

Le GEO ne se limite plus à être cité dans une réponse. Quand un utilisateur demande à ChatGPT de trouver un devis, de comparer des disponibilités ou de préparer une réservation, un agent ouvre réellement vos pages, clique et remplit des champs. Si une protection anti-bots le bloque, la tâche part chez un concurrent. Ce guide s'appuie sur le centre d'aide OpenAI, la documentation de Google sur ses extracteurs, la documentation de Cloudflare et la norme RFC 9421, consultés le 29 octobre 2026. Pour les robots d'exploration classiques, lisez d'abord notre guide crawlers IA, robots.txt et llms.txt.

Les définitions à retenir

Agent IA : un programme qui navigue sur le web et exécute des actions à la demande d'un utilisateur, par exemple lire une page, cliquer sur un bouton ou remplir un formulaire.

Web Bot Auth : un protocole qui permet à un robot ou à un agent de signer cryptographiquement ses requêtes HTTP pour prouver son identité, au lieu de se fier au seul user-agent ou à l'adresse IP.

Signature HTTP : le mécanisme normalisé par la RFC 9421, qui ajoute les en-têtes Signature et Signature-Input à une requête pour en vérifier l'origine.

Google-Agent : l'extracteur utilisé par des agents hébergés sur l'infrastructure de Google pour naviguer sur le web et exécuter des actions à la demande de l'utilisateur.

Les agents qui visitent déjà vos pages

Le navigateur cloud de ChatGPT Work

Selon l'article Using cloud browser in ChatGPT, mis à jour fin octobre 2026, le navigateur cloud donne à ChatGPT Work son propre navigateur sur un ordinateur distant. Il peut lire des pages, cliquer sur des boutons, saisir des informations dans des formulaires et enchaîner des étapes sur des sites publics ou nécessitant une connexion. Il est disponible sur les forfaits payants, hors Free et Go, dans les régions prises en charge. Avant une action difficile à annuler, comme confirmer une réservation ou payer, ChatGPT demande une confirmation à l'utilisateur. Quand un site exige une connexion, l'utilisateur saisit ses identifiants dans un formulaire sécurisé que le modèle ne voit pas. Par défaut, ChatGPT demande aussi la permission avant d'accéder à un nouveau site ; l'utilisateur peut régler ce comportement sur trois niveaux : toujours demander, approbation automatique ou toujours autoriser.

ChatGPT-User

La documentation des robots d'OpenAI décrit ChatGPT-User, utilisé quand un utilisateur pose une question et que ChatGPT visite une page. Il ne sert pas à explorer le web automatiquement ni à décider de l'apparition dans la recherche. Comme ces visites sont déclenchées par un utilisateur, OpenAI précise que les règles du robots.txt peuvent ne pas s'appliquer.

Google-Agent

La page de Google sur les extracteurs déclenchés par l'utilisateur, mise à jour le 18 septembre 2026, présente Google-Agent avec deux chaînes user-agent, mobile et ordinateur. Ses adresses IP figurent dans le fichier user-triggered-agents.json. Google rappelle que ces extracteurs ignorent généralement le robots.txt, puisque l'action a été demandée par un utilisateur.

Pourquoi le robots.txt ne suffit plus

Le robots.txt reste l'outil de base pour les robots d'exploration comme OAI-SearchBot, GPTBot ou Googlebot. OpenAI rappelle que ces réglages sont indépendants et qu'une modification met environ 24 heures à être prise en compte pour la recherche. Mais pour les agents qui agissent au nom d'un utilisateur, le contrôle se joue ailleurs : dans le pare-feu applicatif, le CDN ou le service anti-bots.

OpenAI le dit clairement dans son guide d'utilisation : certains sites bloquent les agents de navigation automatisés, même si la page fonctionne normalement dans un navigateur classique, et chaque site décide en dernier ressort s'il accepte ce trafic. Bloquer un agent n'empêche pas forcément d'être cité ; cela empêche surtout l'utilisateur d'accomplir sa tâche chez vous. Pour suivre l'effet de ces visites, notre article sur la mesure de la visibilité IA propose des indicateurs.

Vérifier les agents avec Web Bot Auth

Un user-agent peut être falsifié. Web Bot Auth répond à ce problème : l'agent signe chaque requête avec une clé privée, et le site vérifie la signature avec la clé publique publiée par l'opérateur. Le mécanisme repose sur les signatures de messages HTTP de la RFC 9421, publiée en février 2024.

Selon l'article ChatGPT Work's Cloud browser allowlisting, chaque requête du navigateur cloud porte trois en-têtes : Signature, Signature-Input et Signature-Agent, ce dernier indiquant l'adresse de chatgpt.com. Les clés publiques sont publiées sur chatgpt.com, dans le répertoire well-known prévu à cet effet.

Chez Google, la démarche est encore expérimentale. La page Web Bot Auth de Google précise que seule une partie des requêtes de Google-Agent est signée, sous l'identité agent.bot.goog. Google recommande donc de continuer à vérifier aussi les adresses IP, le DNS inverse et le user-agent.

La vérification manuelle suit quatre étapes :

Autoriser les agents selon votre CDN

La plupart des sites n'ont rien à coder : les grands fournisseurs vérifient déjà les signatures. OpenAI donne les identifiants à utiliser :

Pour Cloudflare, il suffit de créer une règle personnalisée dans le WAF, sur l'identifiant de détection 129220581, avec l'action Autoriser ou Ignorer. La documentation Cloudflare, mise à jour le 8 octobre 2026, précise que Cloudflare prend en charge l'algorithme de clé Ed25519 et ne prend pas en charge tous les composants de la RFC 9421. Si un proxy intermédiaire supprime les en-têtes de signature, la vérification échoue : c'est le premier point à contrôler en cas de blocage.

Tableau comparatif des agents et robots IA

Rendre votre site utilisable par un agent

Une fois l'accès ouvert, le site doit rester utilisable sans intervention humaine sur les étapes simples. Les points suivants découlent des limites décrites par OpenAI et Google :

Les agents complètent votre visibilité dans les réponses : les données produits restent essentielles, comme l'explique notre guide ChatGPT Shopping et GEO e-commerce. Si vous vendez sur Shopify, notre article ChatGPT Ads pour Shopify couvre le volet publicitaire, et notre guide sur le Mode IA de Google le volet citations.

Questions fréquentes

Comment autoriser le navigateur cloud de ChatGPT sur mon site ?

Dans votre pare-feu ou votre CDN : OpenAI signe ces requêtes avec Web Bot Auth et donne les identifiants à autoriser chez Cloudflare, Akamai, HUMAN et Vercel. Source : Centre d'aide OpenAI.

Google-Agent tient-il compte du robots.txt ?

Google indique que ses extracteurs déclenchés par l'utilisateur ignorent généralement les règles du robots.txt. Source : Google for Developers.

Toutes les requêtes de Google-Agent sont-elles signées ?

Non. Google teste Web Bot Auth et ne signe qu'une partie des requêtes ; il faut aussi vérifier les adresses IP. Source : Google for Developers.

Faut-il configurer Vercel pour laisser passer ChatGPT ?

Non. Vercel reconnaît le trafic du navigateur cloud et vérifie automatiquement ses requêtes signées. Source : Centre d'aide OpenAI.

Le navigateur cloud peut-il payer à la place de l'utilisateur ?

ChatGPT demande une confirmation avant les actions difficiles à annuler, comme une réservation ou un paiement. Source : Centre d'aide OpenAI.

Ouvrir votre site aux agents IA en sécurité

Chez AdsMirable, nous auditons l'accès des robots et des agents IA à vos pages clés, sans affaiblir votre sécurité, et nous relions ce travail GEO à vos campagnes. Découvrez notre offre ChatGPT Ads, notre page agence ChatGPT Ads en France, demandez un audit gratuit ou contactez-nous.

Sources