Questions fréquentes
Les réponses courtes aux questions d’un intégrateur et d’un décideur sur Antisy : le produit, l’intégration, les données, l’offre. Le détail est dans la documentation.
État au .
Le produit
Qu’est-ce qu’Antisy ?
Antisy est un contrôle anti-bot pour les formulaires et les connexions d’un site web : il vérifie qu’un envoi vient d’un navigateur et non d’un programme, sans rien montrer au visiteur.
Une balise dans la page, un appel depuis votre serveur, et un verdict : allow ou deny. Vous décidez de la suite.
Antisy est le produit d’Antisy SARL, société suisse en création.
Voir : À propos d’Antisy SARL
Quelle est la différence entre Antisy et un CAPTCHA ?
Un CAPTCHA classique demande au visiteur de prouver qu’il est humain : cocher une case, reconnaître des images, résoudre une énigme.
Antisy ne demande rien au visiteur et n’affiche rien : pas de case à cocher, pas d’énigme. Le script compte les interactions pendant que le visiteur remplit le formulaire, fait faire au navigateur un court calcul en arrière-plan et le mesure à l’envoi ; c’est votre serveur qui reçoit le verdict. On parle parfois de « CAPTCHA invisible » pour ce genre de contrôle.
Comment fonctionne Antisy ?
Le navigateur charge le script d’Antisy, qui ne montre rien au visiteur. À l’envoi du formulaire, le script met lui-même un jeton court dans un champ caché nommé antisy-token.
Votre serveur envoie ce jeton à POST /v1/siteverify, avec votre secret. La réponse dit allow ou deny : le visiteur passe, ou non. Vous décidez de la suite.
Que voit le visiteur ?
Rien. Antisy n’affiche ni case à cocher ni énigme.
Son navigateur fait seulement un court calcul en arrière-plan, sans rien afficher. Un appareil très lent qui ne l’achève pas à temps est refusé comme pour un jeton invalide ; un nouvel essai tire un nouveau calcul.
Un refus n’est pas montré par Antisy non plus : c’est votre serveur qui reçoit deny, et c’est lui qui décide de la réponse à donner.
Antisy arrête-t-il tous les robots ?
Non. Aucun contrôle anti-bot n’est parfait, et Antisy n’annonce aucun taux de détection : ces taux se mesurent sur du trafic réel, pendant un pilote qui n’a pas commencé.
Ce qui ne passe jamais est écrit dans la documentation : un jeton invalide, forgé, rejoué ou expiré est refusé dans tous les modes, et un jeton absent l’est aussi tant que la collecte du navigateur est allumée pour le site.
Un jeton dont le calcul en arrière-plan n’a pas été achevé à temps est refusé lui aussi, quel que soit le mode : un appareil très lent peut ainsi être refusé.
Voir : Documentation : ce qui ne passe jamais · Documentation : le délai du calcul en arrière-plan
Pourquoi la réponse ne dit-elle pas la raison d’un refus ?
La réponse ne contient ni score, ni seuil, ni raison, dans aucun mode : un verdict, jamais le détail qui l’a produit.
Chaque raison rendue apprendrait à celui qui contourne ce qui l’a arrêté. Les codes d’erreur disent seulement ce que votre intégration doit corriger.
Peut-on régler la sévérité du contrôle ?
Oui, site par site, sur le tableau de bord, avec trois modes : Strict, Équilibré (par défaut) et Permissif. Il n’y a ni curseur ni valeur à saisir.
Strict : refuse plus tôt, au risque de gêner quelques vrais visiteurs. Permissif : ne refuse que les cas nets, au risque de laisser passer davantage de robots.
Antisy risque-t-il de bloquer de vrais visiteurs ?
Un faux positif, c’est un vrai visiteur refusé à tort. Aucun contrôle anti-bot n’est parfait, et Antisy n’annonce aucun taux de détection : il se mesure sur du trafic réel.
La sévérité se règle site par site, avec trois modes : Strict, Équilibré (par défaut) et Permissif. Le mode Permissif accepte davantage les cas douteux ; le mode Strict refuse plus tôt. Un appareil très lent qui n’achève pas son calcul en arrière-plan à temps est refusé, quel que soit le mode.
Pour mesurer les refus à tort, votre serveur peut envoyer à POST /v1/feedback l’issue false_positive ; c’est facultatif, et ce signal ne change aucun verdict en direct.
Voir : Documentation : à quel point refuser · Glossaire : faux positif
L’intégration
Que faut-il pour intégrer Antisy à un formulaire ?
Une balise dans le <head> de la page et un appel depuis votre serveur. Pour un formulaire POST envoyé vers votre propre site, le script d’Antisy remplit lui-même le champ caché antisy-token à l’envoi : vous n’écrivez pas de JavaScript.
Ce que le script ne couvre pas demande un réglage. Un formulaire envoyé vers un sous-domaine, ou en GET, se marque avec l’attribut data-antisy. Un envoi par fetch ou par form.submit(), ou qui ouvre une nouvelle fenêtre, appelle antisy.token() depuis la page. Un formulaire que vous ne protégez pas se marque data-antisy="off".
Il vous faut aussi un site déclaré dans le tableau de bord avec les noms d’hôte de vos pages, sa clé de site (publique, elle va dans la page), un secret de vérification (il reste sur votre serveur) et des pages servies en HTTPS.
Avec quels langages serveur Antisy fonctionne-t-il ?
La vérification est un appel HTTP, POST /v1/siteverify, avec un corps de formulaire ou du JSON : tout langage qui sait envoyer une requête HTTP convient. La documentation donne des exemples complets en curl, Node, PHP, Python et Go, sans dépendance.
Pour la connexion et l’inscription, un kit serveur Node (Express, Fastify, Next.js) sera publié sur npm ; il ne l’est pas encore.
Voir : Documentation : vérifier un jeton, exemples par langage
Que se passe-t-il si le script est bloqué ?
Le formulaire part quand même, sans jeton : sans champ antisy-token, ou avec ce champ vide si la page en porte déjà un. Lisez-le avec une valeur vide par défaut. C’est le cas avec un bloqueur de publicité ou de traceurs, une politique CSP incomplète, une page en HTTP, un visiteur sans JavaScript, ou un formulaire que le script ne couvre pas et dont la page n’appelle pas antisy.token(). Quand le script a retenu l’envoi et que le jeton tarde, le formulaire part au bout de 6 secondes au plus.
La suite dépend du réglage « Collecte du navigateur » du site. Collecte allumée, un envoi sans jeton ne passe pas : verdict deny. Collecte éteinte, l’absence de jeton n’est pas reprochée. Un site neuf naît avec la collecte éteinte.
Que se passe-t-il si Antisy ne répond pas ?
Votre formulaire continue de fonctionner si vous suivez la règle de la documentation : quand Antisy ne répond pas (erreur réseau, délai de 3 secondes dépassé, réponse 5xx), laissez passer l’envoi et journalisez-le. Une panne chez Antisy ne doit pas bloquer vos visiteurs.
L’inverse est vrai aussi : une erreur causée par votre propre requête ne laisse jamais passer l’envoi.
Antisy fonctionne-t-il avec une politique CSP stricte ?
Oui. La politique doit autoriser https://api.antisy.com dans script-src et dans connect-src, et 'wasm-unsafe-eval' dans script-src, pour le module WebAssembly. 'unsafe-eval' n’est pas demandé.
Les politiques à nonce fonctionnent, avec ou sans 'strict-dynamic'.
Peut-on dire à Antisy ce qui est réellement arrivé à une tentative ?
Oui, c’est facultatif. Votre serveur envoie à POST /v1/feedback, avec le même secret que pour la vérification, l’event_id rendu par siteverify et une issue : success, failure, account_confirmed_fraud ou false_positive.
C’est de la mesure : ce signal ne produit jamais de verdict et ne change rien en direct. Il se limite à 30 jours après l’événement, à une issue par événement, et à un plafond quotidien.
Peut-on protéger une connexion ou une inscription ?
Pas encore. La connexion et l’inscription passent par un autre appel que celui des formulaires simples : assess, qui lie le jeton au compte. Son kit serveur Node sera publié sur npm ; il ne l’est pas encore.
L’appel siteverify des formulaires simples ne lie pas le jeton à un compte : il convient à un formulaire de contact ou à une lettre d’information, pas à une connexion. Côté navigateur, rien de plus : le script remplit le champ du jeton, et data-antisy-action="login" nomme l’action.
Antisy ralentit-il ma page ?
Le script n’affiche rien et ne bloque pas l’affichage de la page : il se charge à part et travaille en arrière-plan pendant que le visiteur remplit le formulaire.
Ce travail est un court calcul en arrière-plan. Quand le script a retenu un envoi et que le jeton tarde, le formulaire part au plus tard après 6 secondes.
Quand le navigateur n’a pas l’algorithme X25519, le script fait ce calcul lui-même, un repli écrit par Antisy. Antisy ne donne aucun chiffre de poids ni de latence tant qu’il ne l’a pas mesuré.
Les données
Quelles données Antisy traite-t-il ?
Dans le navigateur, le script mesure les capacités que le navigateur déclare, les langues et le fuseau horaire du navigateur, le rendu graphique et l’empreinte de l’appareil, des indices d’automatisation, le comportement du moteur JavaScript et le déroulé de l’interaction. Le serveur d’Antisy lit l’ordre des en-têtes HTTP, l’adresse IP, le User-Agent et le contexte de la requête. Jamais l’image dessinée, le nom de la carte graphique ni le contenu des frappes et des champs.
Antisy garde aussi, pour une connexion, un identifiant de connexion chiffré et condensé : la page d’accueil détaille chaque mesure et chaque durée de conservation. Ces données comprennent des données personnelles, que la politique de confidentialité, encore en projet, décrit.
Voir : Accueil : ce que le script mesure, et combien de temps
Combien de temps les données sont-elles conservées ?
Les mesures envoyées par le navigateur sont gardées quelques minutes, le temps de vérifier l’envoi ; une partie d’entre elles, 30 jours si leur conservation est allumée pour le site, ce qu’elle n’est pas par défaut. L’adresse IP, le User-Agent et le contexte de la requête sont effacés à 30 jours, l’identifiant de connexion à 90 jours, et l’enregistrement entier est supprimé à 180 jours au plus.
Ces durées sont des décisions internes d’Antisy, à confirmer par un juriste avant la mise en service.
Voir : Accueil : combien de temps
Où les données sont-elles hébergées ?
L’hébergement est prévu chez Infomaniak, en Suisse. Il n’est pas encore en service.
Les données servent-elles à la publicité ?
Non. Elles servent à la sécurité de votre site : distinguer les visiteurs humains des programmes automatisés. Jamais à la publicité.
Qui est responsable du traitement des données ?
Pour vos visiteurs, votre site reste responsable du traitement ; Antisy agit comme sous-traitant (LPD art. 9), sous contrat. Votre politique de confidentialité doit décrire ce traitement et nommer Antisy.
La politique de confidentialité et le contrat de traitement d’Antisy sont des projets, à valider par un avocat avant publication. L’avis écrit d’un juriste sur les visiteurs de l’Union européenne n’est pas encore obtenu.
Antisy respecte-t-il la LPD et le RGPD ?
Pour les visiteurs de vos sites, votre site reste responsable du traitement ; Antisy agit comme sous-traitant (LPD art. 9), sous contrat. L’hébergement est prévu en Suisse, pas encore en service.
La politique de confidentialité et le contrat de traitement d’Antisy sont encore des projets, à valider par un avocat avant publication. L’avis écrit d’un juriste sur les visiteurs de l’Union européenne n’est pas encore obtenu : Antisy ne promet rien sur ce point.
Voir : Sécurité des données
L’offre et la société
Combien coûte Antisy ?
Quatre paliers, en francs suisses, hors TVA : Gratuit (CHF 0, 2 500 vérifications par mois, 1 site), Standard (CHF 79 par mois, 50 000 vérifications par mois, 3 sites), Pro (CHF 199 par mois, 250 000 vérifications par mois, 10 sites) et Entreprise (dès CHF 990 par mois, sur devis).
En facturation annuelle, dix mois sont payés sur douze. Rien ne se paie en ligne : l’accès se fait sur liste d’attente.
Voir : Tarifs : la grille complète
Que se passe-t-il au-delà du quota de vérifications ?
Sur les paliers Standard et Pro, le dépassement est facturé CHF 1 les 1 000 vérifications.
Sur le palier Gratuit, il n’est pas facturé et votre site n’est jamais bloqué. Le score ne décide plus, donc le site n’est plus protégé par le modèle ; un jeton invalide ou falsifié reste refusé, et un jeton absent aussi tant que la collecte du navigateur est allumée pour le site.
Voir : Tarifs : la grille complète
Peut-on utiliser Antisy aujourd’hui ?
Pas encore. L’accès se fait sur liste d’attente : rien n’est encore en service, et l’hébergement en Suisse est prévu, pas encore en service. L’API répondra sur api.antisy.com dès sa mise en service.
Un pilote est prévu ; il n’a pas commencé, et aucune date n’est annoncée. Vous pouvez laisser une adresse sur la liste d’attente : Antisy vous écrit à l’ouverture des accès, et pour rien d’autre.
Voir : Rejoindre la liste d’attente · Le pilote
Qui est derrière Antisy ?
Antisy SARL est une société suisse en création, dans le canton de Genève. Elle fait de la sécurité informatique, en défense uniquement.
Antisy ne fait que de la défense : aucun trafic n’est envoyé vers un système tiers sans le mandat écrit de son propriétaire.
Voir : À propos d’Antisy SARL
Comment contacter Antisy ?
Par la liste d’attente du site, pour être prévenu de l’ouverture des accès, ou par e-mail à support@antisy.com, la seule adresse de support.
Voir : Rejoindre la liste d’attente