Documentation de l'agent

M-Agents

M-Agents est le navigateur cloud de la plateforme M360M. Il n'ouvre un site que lorsqu'un utilisateur M360M connecté lui demande une tâche précise : un achat, une réservation ou un formulaire à remplir.

Mis à jour le 22 octobre 2026

Ce qu'il fait

Agit pour une personne connectée, sur une tâche que cette personne a demandée.
Demande confirmation à la personne avant toute action sensible, comme payer ou envoyer.
Ce n'est pas un robot d'indexation : il n'indexe pas les sites et n'utilise pas leur contenu pour entraîner des modèles d'IA.
Il ne résout pas de CAPTCHA et ne contourne pas les contrôles anti-robots : CAPTCHA, codes à deux facteurs et confirmations sont confiés à la personne dans une vue en direct.

Comment il s'identifie

Chaque requête du navigateur cloud (pages, frames, images, scripts et XHR/fetch) porte des HTTP Message Signatures (RFC 9421) au format Web Bot Auth que vérifie Cloudflare.

Signature-Agent: "https://m360m.ai/.well-known/http-message-signatures-directory"
Signature-Input: sig1=("@authority" "signature-agent");created=…;keyid="…";alg="ed25519";expires=…;nonce="…";tag="web-bot-auth"
Signature: sig1=:…:

Signature-Agent: https://m360m.ai/.well-known/http-message-signatures-directory
Signature-Input: tag="web-bot-auth" Couvre @authority et signature-agent ; Ed25519 ; valable 60 secondes, avec un nonce ; keyid = empreinte JWK de la clé (RFC 7638).
Signature: La signature Ed25519 de ces composants.
Annuaire des clés: https://m360m.ai/.well-known/http-message-signatures-directory Clés publiques (JWKS), servies en application/http-message-signatures-directory+json et signées par chaque clé.
User-Agent: Le User-Agent non modifié de son moteur Chromium (Linux), sans jeton de produit. Identifiez M-Agents par la signature, pas par le User-Agent ni par l'adresse IP.

Les clés sont Ed25519 et tournent : une nouvelle clé apparaît dans l'annuaire avant de signer, et une ancienne y reste jusqu'à son expiration.

Contrôle par robots.txt

M-Agents est un agent déclenché par l'utilisateur (comme ChatGPT-User) : il n'ouvre une page que lorsqu'une personne le demande dans le chat, ce n'est donc pas un robot d'indexation. Avant d'ouvrir une page, il respecte les règles du robots.txt adressées au jeton M-Agents (les règles génériques User-agent: * destinées aux robots d'indexation ne s'appliquent pas à une demande faite par une personne). Pour le bloquer, ajoutez à votre robots.txt :

User-agent: M-Agents
Disallow: /

Vérifier son trafic : signature et adresses IP

Vérifier

Contrôlez la signature avec l'annuaire des clés ci-dessus. Sur Cloudflare, une fois M-Agents accepté comme agent signé, son trafic apparaît comme vérifié dans ces champs : cf.bot_management.verified_bot, cf.verified_bot_category, cf.bot_management.signed_agent

Où il s'exécute

Dans le cloud M360M sur AWS : un vrai Chromium avec fenêtre, par session.
Lorsqu'un site exige une connexion locale, les requêtes peuvent sortir par une adresse IP d'un fournisseur de proxy commercial dans la zone actuelle de la personne. Elles portent la même signature.
En option, sur l'ordinateur de la personne, via l'extension de navigateur M360M. Ces requêtes ne portent jamais notre signature : ce sont le navigateur, l'adresse IP et les connexions de la personne elle-même.

Décider

Autorisez, contrôlez, limitez ou bloquez avec vos propres règles, par exemple une règle WAF ou une politique de bots d'IA pour la catégorie Agent. C'est vous qui décidez ; nous ne cherchons pas à contourner vos règles.

Signaler

Si vous constatez un problème ou souhaitez nous dire comment M-Agents doit traiter votre site, écrivez à l'adresse ci-dessous.

Comportement

N'ouvre que les pages nécessaires à la tâche, avec au plus trois sessions de navigateur simultanées par personne.
Agit à un rythme humain : mouvements du pointeur, saisie et défilement se font pas à pas.
Un agent configuré pour un site ne peut ouvrir que ce site et ses pages de connexion ; toute autre navigation est bloquée.

Contact

Sécurité, abus et questions sur l'agent. Indiquez l'URL, l'heure (UTC) et, si vous l'avez, le keyid de la signature : dpo@m360m.ai