La vérification d'arnaque automatisée sur Leboncoin : plus dure que prévue

Le problème qui m'agaçait

J'en ai marre des annonces fakes, et je voulais voir comment adresser le problème en boîte blanche tout en étant scalable. Un gros challenge.

Un seul marketplace, pas cinq

Première décision, avant même de coder quoi que ce soit : se concentrer uniquement sur Leboncoin. La proposition initiale visait large — Leboncoin, Vinted, eBay, Facebook Marketplace — mais chaque plateforme a sa propre structure de page, ses propres protections. Vouloir les couvrir toutes dès le départ, c'est le meilleur moyen de n'en couvrir aucune correctement. Une seule marketplace, un signal qui marche vraiment dessus, et on élargira si ça vaut le coup.

Avant de scraper quoi que ce soit

Avant d'écrire la moindre ligne, deux vérifications rapides :

• le fichier robots.txt de Leboncoin est sans ambiguïté : "il est interdit d'utiliser des robots de recherche ou d'autres méthodes automatiques pour accéder à Leboncoin.fr".
• une simple requête HTTP vers une page publique du site s'est prise un 403 immédiat.

Et surtout : le seul concurrent réel sur ce créneau, Shady AD, qui couvre déjà Leboncoin, eBay et Vinted, n'est pas un scraper serveur. C'est une extension de navigateur. Le concurrent avait déjà tranché la question à notre place — sa réponse pesait plus lourd que n'importe quelle intuition d'architecture.

Toute l'architecture a changé avant la première ligne de code : une extension qui lit la page que l'utilisateur a déjà ouverte lui-même, sur un simple clic, plutôt qu'un serveur qui va chercher les pages à sa place.

Le prototype

Extension Chrome et Firefox, déclenchée uniquement sur clic — pas de scan automatique de chaque annonce visitée, pour rester léger à la fois sur les permissions demandées et sur le coût des appels API. Un backend minimal, un seul signal pour commencer : la photo de l'annonce a-t-elle une correspondance exacte ailleurs sur le web ?

Le premier vrai test a tout de suite posé problème

Premier essai sur une vraie annonce : un amplificateur Hi-Fi. Résultat : risque très élevé, la photo apparaissant à l'identique sur des dizaines de sites.

Sauf que ce n'était vraisemblablement pas une arnaque. Même en mode strict ("correspondances exactes"), Google Lens renvoyait des photos différentes du même modèle d'ampli comme si elles étaient identiques — la détection elle-même n'est pas assez fine pour distinguer une vraie copie d'une simple photo similaire du même produit.

Deux ajustements plus tard (filtrer les domaines qui comptent vraiment, puis ne compter que les correspondances réellement identiques plutôt que "produit similaire"), le signal est plus honnête. Mais Google Lens a ses propres limites, et déclenche encore des faux positifs sur ce type de photo fournisseur ou constructeur — pas quelque chose qu'un simple réglage de seuil résout complètement.

Ce qu'il reste à construire

Le signal photo seul ne suffit pas :

• aller plus loin que Google Lens sur les images, puisque ses limites sont justement à l'origine des faux positifs observés,
• passer la description au crible (traduction DeepL comprise) pour repérer un copié-collé venant d'un forum ou d'une autre annonce,
• comparer le prix affiché à un prix de marché de l'occasion — si l'écart dépasse 50% en dessous de la moyenne, c'est déjà un signal fort à lui seul,
• regarder le nombre d'avis du vendeur — un compte avec un ou deux avis seulement devient un signal à part entière, presque automatique.

Ce que j'en retiens

Un cas réel testé révèle plus de failles qu'une heure de débat d'architecture. Ici, ça s'est produit deux fois dans le même projet, à deux niveaux différents : d'abord sur la légalité de l'accès aux données, puis sur la fiabilité du signal lui-même.

Et une grosse limite qu'aucune itération ne lèvera, malheureusement : sans accès aux données internes de Leboncoin — IP, téléphone, email du vendeur, heure de connexion — l'outil reste en boîte noire.

En gros, un produit scalable et automatique, en boîte blanche, pour déceler des arnaques me semble difficile, voire impossible, à rendre vraiment robuste. Peut-être que la seule vraie solution est de passer par le paiement de la marketplace, qui fait tampon et assurance le cas échéant.

En tout cas, c'est ce que je conseille à tous les non-techniciens : passer par le paiement des plateformes pour être protégé au maximum.