Pourquoi vous voyez RelvatoBot
Relvato n'explore pas le web. RelvatoBot ne visite un site que lorsqu'un client Relvato — en général son propriétaire ou son agence — a connecté ce site précis pour le surveiller et prouvé qu'il le contrôle. Aucune découverte, aucun suivi de liens entre domaines, aucun intérêt pour votre contenu.
Sur place, il exécute les moniteurs configurés : charger les pages clés, passer une commande de test, se connecter, mesurer la disponibilité et la vitesse, et comparer les pages à une référence approuvée — pour que le propriétaire soit informé d'une panne avant ses clients.
Relvato ne cherche pas à contourner les contrôles d'accès. Il ne résout pas de CAPTCHA et ne contourne pas une protection anti-bot. Si votre pare-feu bloque une requête, l'exécution échoue et Relvato signale ce blocage au client, qui peut alors décider de l'autoriser.
Comment identifier RelvatoBot
Cloudflare a vérifié RelvatoBot : il figure comme bot vérifié dans l'annuaire des bots de Cloudflare Radar (Monitoring & Operations, opéré par Relvato), avec l'annuaire de clés ci-dessous enregistré. Bot vérifié — RelvatoBot →
Quatre signaux, du plus fort au moins fort. La signature est le seul qui prouve qu'une requête vient réellement de Relvato ; les autres servent à écrire des règles et à situer le contexte.
| Signal | Détails |
|---|---|
| Signature Web Bot Auth | Chaque requête est signée par une HTTP Message Signature Ed25519 (RFC 9421) : les en-têtes Signature, Signature-Input et Signature-Agent, avec le tag « web-bot-auth ». Signature-Agent pointe vers l'annuaire public de clés de Relvato (ci-dessous), afin que votre CDN ou WAF vérifie la signature lui-même. C'est le seul signal impossible à imiter. Cloudflare et AWS WAF savent le valider. |
| User-Agent | Un vrai user agent Chrome ou Safari — le moteur est bien Chromium, et le site doit servir ce que voit un visiteur — suivi du jeton de produit de Relvato. Faites correspondre le jeton ; la partie navigateur évoluera avec les mises à jour du moteur. |
| En-tête X-Relvato-Token | Un secret propre à votre site, affiché dans ses réglages Relvato. C'est une autorisation, pas une preuve d'origine : utilisez-le pour autoriser Relvato sur votre propre site. Traitez-le comme un secret — quiconque le détient pourrait l'envoyer. |
| Origine réseau | Les requêtes partent d'une infrastructure contrôlée par Relvato exécutant Chromium. Les adresses changent : ne vous y fiez pas seules ; les adresses actuelles sont publiées pour les pare-feux qui ne filtrent que par adresse. |
User-Agent : RelvatoBot/1.0 (+https://www.relvato.com/bot)
Annuaire de clés : https://www.relvato.com/.well-known/http-message-signatures-directory
Cloudflare Radar : https://radar.cloudflare.com/bots/directory/relvatobot
Identité lisible par machine : https://www.relvato.com/.well-known/relvato-bot.json
Adresses actuelles : https://www.relvato.com/bot-ips.json
Comment se comporte RelvatoBot
Ce que le bot fait sur votre serveur, pour que vous puissiez en juger sans nous croire sur parole :
- Périmètre : uniquement les sites dont le propriétaire les a connectés à Relvato, et uniquement les pages de ce site.
- Rythme des requêtes : espacé et légèrement variable, un moniteur à la fois par domaine, avec une pause délibérée entre les moniteurs d'une campagne. Si un pare-feu en bloque un, le reste de la file de ce site est retenu au lieu d'aller heurter le même mur.
- 429 et 503 : l'en-tête Retry-After est lu et respecté — Relvato attend au moins ce que votre serveur a demandé.
- robots.txt : lu sur chaque site surveillé et comparé à RelvatoBot, avec Crawl-delay respecté comme délai minimal entre requêtes. L'application des règles Disallow est en cours de déploiement : pendant cette phase, un chemin interdit est enregistré plutôt qu'ignoré, afin qu'une surveillance volontairement configurée ne s'arrête pas sans prévenir. Le propriétaire peut aussi désactiver la règle pour son site, puisque c'est lui qui a configuré le moniteur.
- Défis anti-bot : jamais contournés. Aucun CAPTCHA résolu, aucune évasion ; un moniteur bloqué est signalé comme bloqué.
- Deux exceptions à signaler, toutes deux uniquement sur le site connecté d’un client : le moniteur de préparation aux moteurs de réponse demande au serveur du client s’il servirait GPTBot, Googlebot et d’autres, en envoyant ces user agents ; et le moniteur « Signes de piratage » demande quelques pages du client comme Googlebot (avec l’identifiant de Relvato toujours dans le user agent) et comme un visiteur venant de la recherche Google, pour repérer les piratages qui ne montrent du spam ou une redirection qu’à Google. Ces user agents ne servent jamais à d’autres requêtes de surveillance, ni sur un site qui n’est pas connecté à Relvato.
L'autoriser
Si vous gérez le site et voulez que les moniteurs aboutissent derrière un pare-feu ou un CDN, la règle la plus rapide compare l'en-tête X-Relvato-Token à la valeur de votre site — notre guide pas à pas donne l'expression Cloudflare exacte, ainsi que Sucuri, Wordfence et les pare-feux d'hébergeur.
Sur un WAF capable de vérifier Web Bot Auth (Cloudflare, AWS WAF Bot Control), vous pouvez autoriser la signature : aucun secret à copier, et une vérification cryptographique. Si votre pare-feu n'autorise que par adresse, utilisez la liste publiée — mais revérifiez-la, car les adresses changent.
Le bloquer
Si vous ne voulez pas de Relvato, il n'y a en général rien à faire : il ne s'exécute que pour des sites que ses clients ont connectés et vérifiés. Si l'un de vos sites est surveillé sans votre autorisation, écrivez-nous et nous l'arrêtons.
Vous pouvez aussi le bloquer dans votre pare-feu comme n'importe quel client — par le jeton de produit du user agent, par la signature ou par l'adresse. Relvato ne contournera rien : l'exécution échoue et le client est informé qu'elle a été bloquée.
Pour les équipes sécurité
L’identité de RelvatoBot est publiée sous forme de données : nom, opérateur, motif de user agent, annuaire de clés, comportement et contact. Dans le modèle Verified Bots de Cloudflare, Relvato est un opérateur direct : nous exploitons le bot sur notre propre infrastructure, personne d’autre ne peut envoyer de requêtes en se présentant comme RelvatoBot, et il n’atteint que des sites dont le propriétaire les a connectés et vérifiés. Chaque moniteur est configuré par ce propriétaire.
Le contact sécurité et la politique figurent dans notre security.txt.
Vérifié indépendamment
WebBotAuth.net note les configurations Web Bot Auth publiées : annuaire de clés, signatures et agent card. Ce badge affiche le résultat actuel de Relvato ; ouvrez le rapport pour le vérifier à la source.
Identité lisible par machine : https://www.relvato.com/.well-known/relvato-bot.json
security.txt: https://www.relvato.com/.well-known/security.txt
Contact
Une question sur le bot, ou vous voulez qu'il cesse de visiter un site que vous gérez ? Écrivez-nous à contact@relvato.com.