Une protection anti-robots qui reste en Allemagne.
CaptchaCore est un projet allemand parti d’une question simple : une protection anti-bots efficace est-elle possible sans que les données des visiteurs quittent l’UE ?
Pourquoi
Pourquoi ce projet existe
Chaque site a besoin d’une protection contre les bots. Les outils courants chargent en partie leurs scripts depuis des serveurs hors de l’UE ou déposent des cookies — ce que cela implique pour sa propre politique de confidentialité, chaque exploitant doit l’évaluer. Nous voulions une voie où cette question ne se pose même pas.
De plus, les énigmes d’images sont un obstacle. Pour les personnes malvoyantes, elles sont souvent presque impossibles à résoudre, et chaque abandon est un formulaire perdu. Une protection qui exclut ses propres clients a manqué son but.
CaptchaCore tente de résoudre les deux à la fois : une protection efficace par preuve de travail, analyse comportementale et moteur de risque adaptatif, tout en restant une vérification que personne ne remarque et qui ne signale personne à des tiers.
Ce qui distingue concrètement notre approche de reCAPTCHA et hCaptcha figure sur la page de comparaison.
Qui
Qui est derrière
Derrière CaptchaCore se trouve SpeedIT Solutions UG (haftungsbeschränkt), à Isernhagen près de Hanovre. Nous ne sommes pas une start-up en quête de croissance, mais un hébergeur qui exploite ses propres serveurs depuis des années et a appris à quoi ressemble réellement le trafic de robots.
L’application, la base de données et le traitement de vos vérifications tournent sur notre propre matériel dans un centre de données à Francfort, sans fournisseur cloud intermédiaire. C’est pourquoi nous pouvons dire avec certitude où se trouvent vos données — et qu’elles y restent.
Coordonnées complètes dans les mentions légales.
La chaîne de sous-traitance
D'où vient chaque octet
La protection des données ne s'arrête pas à votre propre application. Elle s'arrête au prestataire que vous employez vous-même. C'est pourquoi nous exposons toute la chaîne, intégralement, et pas seulement les parties confortables.
| Composant | Prestataire | Siège social | Remarque |
|---|---|---|---|
| Application, API et base de données | SpeedIT Solutions UG |  Allemagne |
Matériel qui nous appartient, aucun hyperscaler |
| Centre de données | NTT Global Data Centers | Francfort-sur-le-Main |
Hébergement physique uniquement, aucun accès aux contenus |
| Diffusion du widget (CDN) | BunnyWay d.o.o. (Bunny.net) |  Slovénie |
Entreprise européenne, point d'accès UE par défaut |
| Paiements : carte, SEPA, Sofort | Mollie B.V. |  Amsterdam |
Prestataire de paiement néerlandais |
| Paiements : PayPal | PayPal (Europe) S.à r.l. |  Luxembourg |
Société européenne, en option |
| Paiements : virement bancaire | Votre banque |  Espace SEPA |
Sans aucun prestataire de paiement |
| Facturation | Haufe-Lexware GmbH & Co. KG | Fribourg-en-Brisgau |
Facture électronique au format ZUGFeRD |
| Polices | Auto-hébergées | Allemagne |
Outfit et JetBrains Mono, aucun Google Fonts |
| Mesure d'audience | Notre propre instance | Allemagne |
Aucun Google Analytics, aucun pixel publicitaire |
Il existe deux points d'accès pour le fichier du widget. Le point d'accès UE assure la diffusion exclusivement via des sites situés dans des États membres de l’UE. Qui intègre à la place le point d'accès mondial fait diffuser le même fichier dans le monde entier : l'exploitant du CDN voit alors l'adresse IP et l'identification du navigateur du visiteur également hors de l'UE, encadré par les clauses contractuelles types.
Cela ne concerne que le chargement du fichier de script. La vérification elle-même, à savoir le défi, le moteur de risque et la base de données, s'exécute exclusivement sur nos serveurs en Allemagne et jamais via le CDN. Qui veut également limiter le chargement à l'UE intègre le point d'accès UE.
Tous les sous-traitants ultérieurs que nous employons sont nommés dans le contrat de sous-traitance, que vous pouvez conclure par voie électronique dans votre compte et archiver en PDF. Quelles données sont traitées et à quelles fins figure dans le centre de confidentialité.
Comment
Les quatre principes sur lesquels nous acceptons d'être jugés
La minimisation des données est l'architecture, pas un réglage
Les données comportementales ne quittent jamais le navigateur à l'état brut, uniquement sous forme d'indicateurs condensés et de hachage. Les adresses IP sont stockées tronquées et vous fixez vous-même la durée de conservation. Ce qui n'est pas collecté ne peut ni fuiter, ni être vendu, ni être saisi.
L'humain ne remarque rien, le robot paie
En temps normal, il n'y a ni énigme, ni feux tricolores, ni attente. Le calcul en arrière-plan est imperceptible pour un visiteur isolé et coûteux pour une ferme de robots aux millions de requêtes. Si une interaction devient nécessaire, elle s'utilise au clavier et est balisée pour les lecteurs d'écran.
L'honnêteté plutôt que le brouillard marketing
Nous nommons chaque prestataire, y compris ceux qui ne sont pas établis en Allemagne. L'état du système est public, incidents compris. Les prix sont nets et sans astérisque, et résilier ne demande aucun appel téléphonique.
Portable, pas captif
Des extensions prêtes à l'emploi pour WordPress, WoltLab et Symfony, un paquet Composer pour Laravel et une API REST légère pour tout le reste. Qui veut garder la maîtrise complète peut, sur demande, exploiter CaptchaCore sur sa propre infrastructure.
La contre-épreuve
Ce que nous ne faisons délibérément pas
Une promesse n'en est une que lorsqu'elle exclut aussi quelque chose.
Vers où
Ce sur quoi nous travaillons
De nombreux exploitants cherchent des solutions européennes pour leurs formulaires, car clients et délégués à la protection des données posent des questions concrètes. Pour eux, nous construisons une brique assez petite pour s’intégrer partout.
Connecter davantage de systèmes directement
Après WordPress (y compris WooCommerce), WoltLab, Symfony et Laravel viendront Shopware, Joomla et phpBB. Toute plateforme dotée d’un formulaire doit pouvoir utiliser CaptchaCore sans développement propre.
Affiner la détection sans collecter davantage
Le moteur de risque apprend des schémas d'attaque d'un site à l'autre. Ce qui compte, c'est le schéma, pas la personne : c'est pourquoi cela fonctionne avec des adresses IP tronquées et des hachages.
Des preuves plutôt que des affirmations
Un état du système public, des codes de motif traçables et un contrat de sous-traitance que vous concluez dans votre compte et archivez en PDF. L'étape suivante, ce sont des rapports d'audit externes.
Il vous manque une intégration ou vous avez un besoin absent de cette liste ? Écrivez-nous. Les circuits courts sont l'avantage d'une petite équipe.
Envie de l'essayer vous-même ?
La démo en direct montre la vérification du point de vue de l'utilisateur, la page des tarifs le cadre d'un usage commercial. Pour les sites privés, CaptchaCore reste gratuit en permanence.