Glossaire du contrôle anti-bot
Les mots qui reviennent dès qu’on protège un formulaire ou une connexion contre les robots, chacun défini en une ou deux phrases.
Bourrage d’identifiants (credential stuffing)
Une attaque qui essaie en masse, sur la page de connexion d’un site, des couples identifiant et mot de passe volés ailleurs. Elle exploite l’habitude de réutiliser les mêmes identifiants d’un service à l’autre.
Calcul en arrière-plan
Un court calcul que le navigateur exécute sans rien afficher pendant que le visiteur remplit le formulaire. Un appareil trop lent qui ne l’achève pas à temps est refusé ; un nouvel essai tire un nouveau calcul.
CAPTCHA
Un test qui demande au visiteur de prouver qu’il est humain : cocher une case, reconnaître des images, résoudre une énigme.
Antisy n’en affiche pas.
CAPTCHA invisible
Un contrôle anti-bot qui ne montre rien au visiteur : il décide à partir de mesures du navigateur plutôt que d’une épreuve à résoudre.
Antisy est de cette famille : pas de case à cocher, pas d’énigme. Le navigateur fait seulement un court calcul en arrière-plan.
Clé de site et secret
Les deux clés d’une intégration. La clé de site (32 caractères) est publique : elle va dans la page. Le secret de vérification (64 caractères) reste sur votre serveur et n’est montré qu’une fois, à sa création.
CSP (Content Security Policy)
Un en-tête HTTP par lequel un site dit au navigateur d’où il peut charger des scripts et vers où il peut envoyer des requêtes.
Une politique stricte doit autoriser https://api.antisy.com dans script-src et connect-src, et 'wasm-unsafe-eval' dans script-src.
Faux compte
Un compte créé par un programme, souvent en série, sur le formulaire d’inscription d’un site.
Faux positif
Un vrai visiteur refusé à tort par un contrôle anti-bot.
Le mode Strict l’accepte davantage : il refuse plus tôt, au risque de gêner quelques vrais visiteurs. Le mode Permissif fait le choix inverse.
Jeton
Une chaîne courte et opaque que le script produit au moment de l’envoi. Avec Antisy, le script la pose dans le champ caché antisy-token du formulaire, elle est valable 60 secondes et ne se vérifie qu’une fois.
Mode de vérification
À quel point Antisy refuse un visiteur douteux, réglé site par site sur le tableau de bord : Strict, Équilibré (par défaut) ou Permissif.
Robot (bot)
Un programme qui envoie des requêtes à un site à la place d’une personne. Certains sont utiles, comme les robots des moteurs de recherche ; d’autres remplissent des formulaires, essaient des mots de passe ou créent des comptes en série.
Sous-traitant
Au sens de la loi suisse sur la protection des données (LPD art. 9), celui qui traite des données pour le compte d’un responsable du traitement.
Pour vos visiteurs, votre site reste le responsable du traitement ; Antisy agit comme sous-traitant, sous contrat.
Spam de formulaire
Des messages envoyés par un programme à travers un formulaire de contact, de commentaire ou d’inscription à une lettre d’information.
Verdict
La réponse d’Antisy à la vérification d’un jeton : allow, le visiteur passe, ou deny, il ne passe pas. Il n’y a que ces deux issues, et la réponse n’en donne jamais la raison.