Protéger un formulaire Next.js contre les robots, sans énigme

# .env.local : jamais dans le dépôt, jamais préfixé par NEXT_PUBLIC_.
ANTISY_SITE_KEY=VOTRE_CLE_DE_SITE
ANTISY_SECRET=VOTRE_SECRET_DE_VERIFICATION

// app/layout.tsx
import type { ReactNode } from "react";

export default function RootLayout({ children }: { children: ReactNode }) {
  return (
    <html lang="fr">
      <head>
        {/* La clé de site est publique : elle va dans la page. Le secret, jamais. */}
        <script src="https://api.antisy.com/v1/i/l.js" data-site={process.env.ANTISY_SITE_KEY} defer />
      </head>
      <body>{children}</body>
    </html>
  );
}

// app/contact/page.tsx : un formulaire HTML ordinaire, sans état ni JavaScript de votre côté.
export default function ContactPage() {
  return (
    <form method="post" action="/api/contact">
      <label>
        Nom <input name="name" autoComplete="name" />
      </label>
      <label>
        E-mail <input name="email" type="email" autoComplete="email" />
      </label>
      <label>
        Message <textarea name="message" />
      </label>
      <button>Envoyer</button>
    </form>
  );
}

// antisy.mjs : Node 22 ou plus, sans dépendance.
// Rend "allow" ou "deny".
// Antisy ne répond pas (réseau, délai, 5xx) : "allow". Tout le reste d'incertain : "deny".

// Le 429 est une décision qui vous appartient. "allow" par défaut, comme pour une panne ;
// pour un formulaire sensible, mettez "deny" (voir la page sur la vérification).
const ON_RATE_LIMIT = "allow";

export async function antisyVerdict(token) {
  // 1. Un jeton présent doit avoir la forme d'un jeton : 1 à 2048 caractères ASCII imprimables.
  //    Sinon, on n'appelle pas Antisy et on ne laisse pas passer.
  //    Un champ vide ou absent (script bloqué) part comme une chaîne vide : Antisy le lit comme un jeton absent.
  if (token && !/^[\x20-\x7e]{1,2048}$/.test(token)) {
    console.warn("Jeton mal formé, envoi non vérifié");
    return "deny";
  }

  let response;
  try {
    response = await fetch("https://api.antisy.com/v1/siteverify", {
      method: "POST",
      // fetch suit les redirections par défaut : une 3xx rejouerait le corps, secret compris, ailleurs.
      // Ici elle est une erreur de votre appel (refusée plus bas).
      redirect: "manual",
      // Un corps URLSearchParams part en application/x-www-form-urlencoded.
      body: new URLSearchParams({
        secret: process.env.ANTISY_SECRET, // votre secret, jamais dans la page
        response: token ?? "",             // le champ antisy-token, tel que reçu
      }),
      signal: AbortSignal.timeout(3000),   // au-delà de 3 s, Antisy ne répond pas
    });
  } catch (error) {
    console.warn("Antisy injoignable, envoi laissé passer :", error.name);
    return "allow";
  }
  if (response.status >= 500) {
    console.warn("Antisy a répondu " + response.status + ", envoi laissé passer");
    return "allow";
  }
  if (response.status === 429) {
    console.warn("Antisy a répondu 429, décision : " + ON_RATE_LIMIT);
    return ON_RATE_LIMIT;
  }
  if (!response.ok) {
    // 400, 401, 413, 415... : le défaut est dans votre appel. À corriger, jamais un laissez-passer.
    console.error("Antisy a refusé la requête (" + response.status + "), envoi non vérifié");
    return "deny";
  }
  const result = await response.json().catch(() => null);
  if (typeof result?.success !== "boolean") {
    console.error("Réponse d'Antisy illisible, envoi non vérifié");
    return "deny";
  }
  // Un secret absent ou refusé n'est pas une erreur HTTP : la réponse est un refus, à 200.
  const codes = result["error-codes"] ?? [];
  if (codes.includes("missing-input-secret") || codes.includes("invalid-input-secret")) {
    console.error("Antisy refuse le secret : " + codes.join(", "));
  }
  // success est la seule acceptation : il vaut true si et seulement si verdict vaut "allow".
  return result.success ? "allow" : "deny";
}

// app/api/contact/route.ts
import { antisyVerdict } from "../../../lib/antisy.mjs";

export async function POST(request: Request) {
  const form = await request.formData();
  const token = form.get("antisy-token"); // une chaîne, un fichier ou rien

  // Champ absent (script bloqué) : chaîne vide, Antisy décide. Un fichier n'est pas un jeton : refus.
  const verdict = token === null || typeof token === "string" ? await antisyVerdict(token ?? "") : "deny";
  if (verdict === "deny") {
    return new Response("Envoi refusé.", { status: 403 }); // refus générique, sans dire pourquoi
  }

  // … enregistrer ou envoyer le message
  return new Response(null, { status: 303, headers: { Location: "/merci" } });
}

// app/layout.tsx : avec une politique CSP à nonce posée par proxy.ts (middleware.ts avant Next.js 16)
import { headers } from "next/headers";
import type { ReactNode } from "react";

export default async function RootLayout({ children }: { children: ReactNode }) {
  const nonce = (await headers()).get("x-nonce") ?? undefined;
  return (
    <html lang="fr">
      <head>
        <script src="https://api.antisy.com/v1/i/l.js" data-site={process.env.ANTISY_SITE_KEY} defer nonce={nonce} />
      </head>
      <body>{children}</body>
    </html>
  );
}

{
  "success": true,
  "verdict": "allow",
  "flags": [],
  "error-codes": [],
  "challenge_ts": "2026-09-24T10:00:00Z",
  "hostname": "shop.example",
  "action": "contact",
  "event_id": "evt_01J7X4M2Q9K8ZP3R5T6V7W8Y9A"
}