Remplacer reCAPTCHA : ce qu’il faut vérifier avant de changer

Faut-il vraiment remplacer reCAPTCHA ?

Changer coûte du temps et peut refuser de vrais visiteurs pendant la bascule. Les raisons qui le justifient sont précises :

• des visiteurs se plaignent, ou vous constatez que des envois légitimes sont refusés ;
• ce que le service enregistre dans le navigateur ou lit de vos visiteurs ne vous convient plus, ou vous ne parvenez plus à le décrire à qui vous le demande ;
• ses conditions d’usage ou de facturation ont changé pour vous ;
• vous voulez un contrôle qui ne demande rien au visiteur.

Si aucune de ces raisons ne vous concerne, gardez ce que vous avez. « Un article conseille de changer » n’en est pas une.

Étape 1 : lister tous les formulaires

Avant de toucher à quoi que ce soit, notez chaque endroit où le contrôle est posé. Pour chacun : la page ou le modèle qui charge le service, la clé qu’il utilise, et l’endroit où sa réponse est vérifiée.

• Les formulaires évidents : contact, inscription, connexion, commentaires, lettre d’information.
• Les oubliés : anciennes pages, pages de campagne, sous-domaines, formulaires d’un autre outil intégré à votre site.
• Les formulaires dont la vérification est faite par une extension ou par un outil de formulaires : ils ont parfois leur propre clé, que votre code ne voit pas.

Cette liste sert deux fois : à ne rien oublier au changement, et à retirer l’ancien service partout à la fin.

Étape 2 : comprendre les deux moitiés

Un contrôle de ce type a deux moitiés. Dans la page, un script ajoute au formulaire un champ caché qui porte un jeton. Sur le serveur, un appel envoie ce jeton au service et lit sa réponse. Les deux se remplacent ensemble :

• si vous retirez le script mais laissez la vérification, le serveur ne reçoit plus de jeton et peut refuser tous les envois ;
• si vous retirez la vérification mais laissez le script, le formulaire a l’air protégé et ne l’est plus, sans que rien ne vous le montre.

Cherchez donc, dans votre code ou dans les réglages de votre outil de formulaire, où la réponse est lue.

Étape 3 : comparer sur ce qui vous concerne

Un tableau de fonctions ne suffit pas. Posez les mêmes cinq questions à chaque service, et cherchez la réponse dans sa documentation plutôt que dans sa page de vente :

• Que voit le visiteur : une case à cocher, des images, ou rien ?
• Qu’enregistre-t-il dans le navigateur, quelles données de la requête lit-il, pour combien de temps, et qui en est responsable ?
• Que se passe-t-il quand le service ne répond pas : l’envoi passe-t-il ou est-il refusé, et est-ce vous qui choisissez ?
• Que coûte-t-il au-delà de l’offre gratuite, et que devient votre formulaire quand le quota est dépassé ?
• Que vous répond-il : un verdict seul, ou aussi une note et des motifs ?

Les motifs aident à régler le contrôle ; ils renseignent aussi celui qui cherche à le contourner. Aucun des deux choix n’est le bon dans l’absolu.

Ce que chaque service dit de lui-même, avec sa source et sa date de lecture, est dans les comparatifs d’Antisy. Pour les données, la réponse à la deuxième question se lit avec la personne qui vous conseille en droit : cet article ne la traite pas.

Voir : Alternative à reCAPTCHA : comparatif avec Antisy · Documentation d’Antisy : un exemple de ce qu’un service écrit de ses données

Étape 4 : essayer avant de couper l’ancien

Montez le nouveau contrôle sur une copie du site, ou sur un formulaire peu critique, avant d’y toucher en production. Puis jouez six cas :

• un envoi normal passe ;
• un envoi sans jeton est refusé, et le visiteur voit un message qui lui offre un autre moyen de vous joindre ;
• un même jeton envoyé deux fois n’est pas accepté deux fois (vérifiez ce que dit la documentation du service) ;
• le script est bloqué par un bloqueur de publicité ou par une politique de sécurité de la page : que reçoit votre serveur ?
• le service ne répond pas : coupez l’accès de votre serveur vers lui, dans un environnement d’essai, et observez ;
• un téléphone lent, et un parcours au clavier seul avec un lecteur d’écran.

Notez le résultat de chaque cas : vous rejouerez la liste après la bascule.

Voir : CAPTCHA et accessibilité : ce que disent les WCAG et le W3C · Spam sur un formulaire de contact : que faire, mesure par mesure

Étape 5 : basculer, surveiller, retirer l’ancien

Basculez un formulaire à la fois, en commençant par un formulaire peu critique, avec un moyen de revenir en arrière dans l’heure. Pendant les jours qui suivent, cherchez les refus à tort : messages de visiteurs qui disent n’avoir pas pu écrire, baisse brutale des envois, envois arrivés par un autre canal.

Retirez l’ancien service seulement après cette période : le script de chaque page, la vérification du serveur, puis la clé chez le fournisseur. Un script et une clé que plus personne ne regarde restent une dépendance et un risque. Si vos pages d’information décrivent l’ancien service, corrigez-les.

Où Antisy se place

Antisy est un contrôle anti-bot invisible (on parle parfois de « CAPTCHA invisible »), pour les formulaires. Une balise dans la page charge le script ; à l’envoi, il met un jeton court dans le champ caché antisy-token ; votre serveur envoie ce jeton à Antisy avec son secret et lit la réponse, allow ou deny. Il n’y a que ces deux résultats, et la réponse n’en donne jamais la raison.

Si vous devez changer maintenant, n’attendez pas Antisy : l’accès se fait sur liste d’attente. Les comparatifs disent ce que chaque service ouvert aujourd’hui affiche, et ce qu’il offre que ne propose pas Antisy. Antisy n’a pas d’extension, ne distingue pas le démarchage tapé à la main, n’annonce aucun taux de détection, et refuse un appareil très lent qui n’achève pas son calcul à temps.

Voir : Comparatifs : Antisy et les autres services · Glossaire : CAPTCHA invisible · Questions fréquentes : quelle différence entre Antisy et un CAPTCHA ? · Les guides d’intégration

Où en est Antisy ?

L’accès se fait sur liste d’attente. L’API et le tableau de bord sont en service depuis le 27 octobre 2026, hébergés chez Infomaniak à Genève ; aucun client n’est encore en production. Le pilote a commencé le 9 novembre 2026 sur nos propres formulaires.

Voir : Le pilote · Rejoindre la liste d’attente

Questions fréquentes