Détection de bots : distinguer un robot d’un humain sur vos formulaires

Qu’est-ce qu’un bot, et quand est-il malveillant ?

Un programme qui envoie des requêtes à un site à la place d’une personne. Certains sont utiles, comme les robots des moteurs de recherche ; d’autres remplissent des formulaires, essaient des mots de passe ou créent des comptes en série.

Un bot malveillant est un robot qui se sert d’un site contre l’intérêt de son éditeur ou de ses utilisateurs : il envoie du spam par les formulaires, crée de faux comptes ou essaie des mots de passe sur la page de connexion.

Voir : Glossaire : robot (bot) · Glossaire : bot malveillant · Glossaire : abus automatisé

Que font les bots malveillants sur un formulaire ?

Ils passent là où un site accepte un envoi de n’importe qui :

• le formulaire de contact, pour y envoyer du spam en série ;
• le formulaire d’inscription, pour y créer de faux comptes dont ils abusent ensuite ;
• la page de connexion, pour y essayer des mots de passe : bourrage d’identifiants, force brute, pulvérisation de mots de passe.

Voir : Cas d’usage : protéger un formulaire de contact · Faux comptes et fraude à l’inscription · Cas d’usage : protéger une connexion

Comment Antisy distingue-t-il un robot d’un humain ?

Une balise dans la page charge le script d’Antisy, qui ne montre rien au visiteur. Pendant que le visiteur remplit le formulaire, le script compte les interactions et fait faire au navigateur un court calcul en arrière-plan ; à l’envoi, il le mesure et met lui-même un jeton court dans le champ caché antisy-token.

Dans le navigateur, le script mesure les capacités que le navigateur déclare, les langues et le fuseau horaire du navigateur, le rendu graphique et l’empreinte de l’appareil, des indices d’automatisation, le comportement du moteur JavaScript et le déroulé de l’interaction. Le serveur d’Antisy lit l’ordre des en-têtes HTTP, l’adresse IP, le User-Agent et le contexte de la requête. Jamais l’image dessinée, le nom de la carte graphique ni le contenu des frappes et des champs.

Votre serveur envoie le jeton à Antisy avec son secret. La mesure du navigateur et la décision se font chez Antisy ; la réponse est un verdict, allow ou deny, et vous décidez de la suite.

Voir : Accueil : ce que le script mesure, et combien de temps · Documentation : démarrage rapide

Qu’est-ce qui est toujours refusé ?

Quel que soit le réglage du site, ces envois ne passent pas :

• Un jeton invalide, forgé, rejoué ou expiré, dans tous les modes. Un jeton ne se vérifie qu’une fois : celui d’un envoi accepté ne sert pas à un second.
• Un jeton absent, tant que la collecte du navigateur est allumée pour le site. Un site neuf naît avec la collecte éteinte.
• Un envoi dont la fabrication est prouvée : un programme l’a fabriqué plutôt que le navigateur.
• Un jeton dont le calcul en arrière-plan n’a pas été achevé à temps, quel que soit le mode : un appareil très lent peut ainsi être refusé.

Voir : Documentation : ce qui ne passe jamais

Pourquoi le verdict ne dit-il pas ce qui a trahi un robot ?

La réponse ne contient ni score, ni seuil, ni raison, dans aucun mode : un verdict, jamais le détail qui l’a produit.

Chaque raison rendue apprendrait à celui qui contourne ce qui l’a arrêté. Les codes d’erreur disent seulement ce que votre intégration doit corriger.

Pour la même raison, cette page dit ce qu’Antisy lit et ce qu’il refuse toujours, pas les règles de sa décision.

Peut-on régler la sévérité de la détection ?

Oui, site par site, sur le tableau de bord, avec trois modes : Strict, Équilibré (par défaut) et Permissif. Strict : refuse plus tôt, au risque de gêner quelques vrais visiteurs. Permissif : ne refuse que les cas nets, au risque de laisser passer davantage de robots.

Un faux positif, c’est un vrai visiteur refusé à tort. Pour mesurer les refus à tort, votre serveur peut envoyer à POST /v1/feedback l’issue false_positive ; c’est facultatif, et ce signal ne change aucun verdict en direct.

Voir : Documentation : à quel point refuser · Glossaire : faux positif

Ce qu’Antisy ne détecte pas

• Les bots qui ne passent par aucun formulaire protégé : Antisy ne rend un verdict que pour l’envoi d’un formulaire qu’il protège, et ne se place pas sur le chemin de votre trafic. La lecture d’une page, par une personne ou par le robot d’un moteur de recherche, ne reçoit aucun verdict.
• Ce qui n’est pas un bot : une personne qui remplit elle-même un formulaire, même avec de mauvaises intentions, envoie depuis un vrai navigateur.
• Antisy n’est ni un pare-feu, ni une protection contre les attaques par saturation, ni un outil antifraude de paiement, ni un filtre d’e-mails.

Aucun contrôle anti-bot n’est parfait, et Antisy n’annonce aucun taux de détection : ces taux se mesurent sur du trafic réel, pendant un pilote qui n’a pas commencé. Il s’ajoute aux autres défenses d’un site, comme la limitation des tentatives ou un second facteur ; il ne les remplace pas.

Voir : Questions fréquentes : Antisy arrête-t-il tous les robots ?

Où en est Antisy ?

L’accès se fait sur liste d’attente. L’API et le tableau de bord sont en service depuis le 27 octobre 2026, hébergés chez Infomaniak à Genève ; aucun client n’est encore en production. Un pilote est prévu ; il n’a pas commencé.

La protection d’une connexion ou d’une inscription passe par un kit serveur Node (Express, Fastify, Next.js) qui sera publié sur npm ; il ne l’est pas encore.

Voir : Le pilote · Rejoindre la liste d’attente

Questions fréquentes