Introduction à reCAPTCHA
Google reCAPTCHA est un service gratuit de Google qui protège les sites web contre le spam et les abus (bots, soumissions automatisées de formulaires, attaques par force brute…) tout en laissant passer les utilisateurs légitimes.
Il est principalement utilisé sur les formulaires de contact, de connexion, d'inscription ou de commentaire.
Les versions de reCAPTCHA
| Version | Fonctionnement | Expérience utilisateur |
|---|---|---|
| reCAPTCHA v2 "Je ne suis pas un robot" | Case à cocher, parfois suivie d'un défi (images à sélectionner) | Visible, une interaction est demandée |
| reCAPTCHA v2 invisible | Le badge se déclenche automatiquement à la soumission | Invisible sauf en cas de doute |
| reCAPTCHA v3 | Attribue un score de 0.0 à 1.0 à chaque interaction, sans jamais interrompre l'utilisateur | Totalement invisible |
Chez MozArtsduWeb, on privilégie reCAPTCHA v3 : il est invisible pour le visiteur et n'ajoute aucune friction sur les formulaires. On tombe en v2 uniquement si le client a besoin d'une validation explicite (case à cocher) ou pour un traitement plus simple côté serveur.
Comment ça fonctionne (v3)
- Une clé de site (site key) est intégrée dans le code de la page. Elle est publique.
- Au chargement (ou à l'action), le script Google génère un token unique.
- Ce token est envoyé avec le formulaire vers votre serveur.
- Le serveur vérifie le token auprès de Google avec la clé secrète (secret key) et récupère un score.
- Selon le score, on accepte (proche de 1.0 = humain) ou on rejette (proche de 0.0 = bot).
La clé secrète ne doit JAMAIS apparaître dans le code côté navigateur (HTML/JS). Elle reste uniquement côté serveur.
Le badge reCAPTCHA
En v3 et v2 invisible, Google affiche un badge en bas à droite du site.
Google exige que ce badge reste visible, OU que vous affichiez à la place une mention légale informant l'utilisateur que le site est protégé par reCAPTCHA (voir la page Implémentation).
Ressources officielles
Exemple concret
Un exemple d'intégration en production est visible sur le formulaire de contact du site agence-nameless.fr/contact : le badge est masqué et remplacé par la mention légale sous le bouton d'envoi.