LeTockBot

L'arrêter

Une ligne dans ton robots.txt, et nous ne revenons pas :

User-agent: LeTockBot
Disallow: /

Nous obéissons à ton robots.txt, y compris quand il ne parle que de User-agent: *. Un module qui passe son temps à vérifier si les autres respectent ce fichier ne peut pas se permettre de l'ignorer. Les pages que tu nous interdis ne sont pas lues ; elles apparaissent dans le rapport de leur propriétaire comme « interdite par ton robots.txt », ce qui est souvent le constat le plus utile — beaucoup de sites s'interdisent eux-mêmes sans le savoir.

Le jeton LeTockBot est présent dans toutes nos identités, y compris celles qui empruntent le nom d'un autre robot (voir plus bas). Le bloquer suffit à nous bloquer partout.

Ce qu'il vient faire

LeTock est un outil de surveillance, et il y a deux façons dont il peut arriver chez toi. La distinction compte, et nous préférons l'écrire que de la laisser deviner.

La surveillance récurrente exige que quelqu'un ait déclaré ton domaine dans son compte et prouvé qu'il t'appartient — un fichier à déposer ou un enregistrement DNS. Autrement dit : si nous repassons régulièrement chez toi, c'est que quelqu'un a prouvé être toi. Si ce n'est pas le cas, écris-nous, on coupe.

Une vérification ponctuelle peut en revanche être demandée par n'importe qui, sur n'importe quel domaine, depuis notre page de vérification — sans compte et sans preuve. C'est une seule visite, elle lit ce que tout visiteur lit, et elle ne se répète pas d'elle-même. Nous le disons parce que c'est vrai : si tu nous vois passer une fois sans avoir rien déclaré, c'est probablement que quelqu'un s'est posé une question sur ton site.

• Audit SEO — jusqu'à 60 pages par passage, listées par ton sitemap.xml, sinon par les liens de ta page d'accueil. Un passage tous les deux jours au plus pour un domaine seul, plus espacé si le compte en surveille plusieurs.
• Disponibilité — une requête sur les adresses que le propriétaire a lui-même choisies, à l'intervalle qu'il a réglé.
• Veille — des requêtes DNS et un certificat, une fois par jour. Rien qui touche à ton serveur web.
• Prospection — une seule visite, sur cinq pages publiques au plus (/contact, /nous-contacter, /mentions-legales, la racine), pour y lire l'adresse de fonction que le site publie lui-même — jamais une adresse nominative, jamais une adresse devinée à partir du nom de domaine. C'est la seule de nos visites que personne ne nous a demandée : nous venons parce que nous avons décidé de venir, et nous préférons l'écrire. Elle ne se répète pas, elle ne remplit aucun formulaire, et elle obéit à ton robots.txt — un Disallow: /contact, même sous User-agent: *, suffit à nous en empêcher.

Nous ne remplissons aucun formulaire, ne suivons aucun lien sortant, ne stockons aucune page entière, et n'utilisons rien de ce que nous lisons pour entraîner quoi que ce soit.

Quand nous empruntons un autre nom

Le module SEA & LLM répond à une question précise : « ton pare-feu laisse-t-il vraiment passer les robots que ton robots.txt autorise ? ». Beaucoup de sites autorisent GPTBot sur le papier et le bloquent en réalité, sans le savoir. Pour le voir, il faut poser la question sous cette identité — un pare-feu décide sur cette sous-chaîne, et un nom approché ne déclencherait pas la règle qu'on cherche à révéler.

Nous n'effaçons jamais notre nom pour autant. L'en-tête porte les deux :

Mozilla/5.0 (compatible; GPTBot/1.1; +https://openai.com/gptbot) LeTockBot/1.0 (verification; +https://letock.fr/robot)

Trois requêtes par passage, une par robot vérifié. Sonder sous une identité empruntée et anonyme serait indéfendable — y compris sur le site de son propre client.

Vérifier que c'est bien nous

N'importe qui peut écrire LeTockBot dans un en-tête. Un nom ne prouve rien, et nos propres écrans le classent d'ailleurs en « auto-déclaré » — ils ne font pas d'exception pour nous.

Les adresses d'où partent nos requêtes sont publiées, à une adresse stable :

https://letock.fr/.well-known/letockbot.json

Si une requête se réclame de nous sans venir de l’une de ces adresses, ce n'est pas nous — et vous pouvez la refuser sans hésiter.

Pourquoi pas un DNS inverse, comme Googlebot : une adresse IP n'a qu'un seul enregistrement PTR, et le nôtre sert au courrier. Entre « nos e-mails arrivent » et « notre robot se vérifie par PTR », le choix n'a pas été difficile. La liste publiée donne la même garantie, et c'est ce que font Bingbot, OpenAI et Anthropic.

Nous écrire

Un comportement anormal, une fréquence excessive, une page qui n'aurait pas dû être lue : dis-le nous ici. Nous répondons, et nous coupons d'abord.