Un CAPTCHA demande à chaque visiteur de prouver qu'il est humain. La plupart le sont, donc l'essentiel du coût retombe sur les personnes que vous voulez : une énigme à l'inscription, une case à cocher au login, un nouvel essai quand ça échoue sur mobile. Pendant ce temps, les services de résolution répondent aux énigmes pour une fraction de centime. Si vous cherchez une alternative à reCAPTCHA, Turnstile ou hCaptcha, il est utile de savoir ce que vous voulez à la place.
Ce que vous voulez probablement
- Rien à résoudre pour les gens. La vérification tourne en arrière-plan, à partir de ce que le navigateur montre de lui-même et de la façon dont il est utilisé.
- Une réponse sur laquelle votre serveur peut agir. Pas seulement réussi ou échoué, mais avec quelle certitude, et pourquoi : une classe, un score et le type de preuves derrière.
- La main sur la suite. Refuser, ralentir, demander un second facteur ou retenir des crédits gratuits, décidé dans votre code pour chaque action.
- Aucun nouveau point de défaillance. Si la vérification est lente ou en panne, le formulaire continue de fonctionner.
Comment fonctionne une vérification invisible
Un petit script sur vos pages lit des signaux qu'une personne ne voit pas : si le navigateur est piloté par une automatisation, si ses composants concordent entre eux, quels types de saisie la page a reçus. Il dépose un token signé dans un cookie. Avant l'inscription, le login ou le checkout, votre serveur envoie le token avec l'IP et le User-Agent de la requête et reçoit une décision, dans un timeout que vous choisissez. C'est la forme de Bot Protection : human_high, human, unknown, bot ou bot_high, et l'action à mener.
Une décision, pas un réussi ou échoué
Réussi ou échoué cache les cas intermédiaires, et ce sont eux qui comptent. La plupart des premières visites apportent peu de preuves dans un sens ou dans l'autre ; une bonne vérification répond unknown et les laisse entrer, plutôt que de deviner. Des preuves fortes d'automatisation, c'est bot_high, refusé. Entre les deux, bot est l'endroit où vous choisissez une réponse plus douce : retenir les crédits d'un essai jusqu'à la vérification de l'email, demander un second facteur ou montrer un challenge à ces seuls visiteurs.
Quand un CAPTCHA reste le bon choix
Un challenge a sa place : en réponse à un bot, montré aux quelques visiteurs qui l'ont mérité plutôt qu'à tout le monde. Bot Protection peut les envoyer vers sa propre page de challenge, ou vous pouvez afficher le CAPTCHA que vous avez déjà. Et si vous voulez un widget gratuit et un oui ou non sur un seul formulaire, un CAPTCHA gratuit peut suffire ; les comparaisons ci-dessous disent quand.
Comparé, sources à l'appui
Chaque comparaison ne dit que ce que disent les pages du fournisseur lui-même, et quand l'autre outil est le meilleur choix : Cloudflare Turnstile, Google reCAPTCHA, hCaptcha, et toutes les comparaisons côte à côte.