Étape par étape

Comment fonctionne CaptchaCore.

Risk Engine adaptative, Proof of Work, analyse comportementale et Threat Intelligence travaillent ensemble — invisibles pour les humains, insolubles pour les bots.

En direct · vrai SHA-256 dans votre navigateur

nonce—

essais0

hash—

temps—

Vous arrivez depuis le widget ?

En bref : ce qui vient de se passer

Un site web que vous avez visité utilise CaptchaCore pour vérifier si une requête provient d'un humain ou d'un robot. Vous n'avez eu ni feux tricolores à cliquer ni caractères à déchiffrer : la vérification s'est faite en arrière-plan.

Ouvrir le centre de confidentialité

Aucun cookie0 cookie

La vérification ne dépose aucun cookie ni pixel publicitaire et n’enregistre rien dans le navigateur. Rien n’est recoupé d’un site à l’autre.

Aucune donnée brutemétriques uniquement

Les mouvements de souris et le rythme de frappe sont condensés en indicateurs dans le navigateur. Le serveur ne reçoit que ces valeurs, jamais les mouvements eux-mêmes.

Serveurs en AllemagneDE

Le traitement a lieu exclusivement sur des serveurs en Allemagne et les adresses IP sont stockées tronquées. Aucun transfert vers les États-Unis.

Une vérification, quatre étapes

Ce qui se passe entre le chargement de la page et l'envoi

Cliquez sur une étape : à droite, vous voyez ce que le widget et le serveur échangent réellement à ce moment-là.

Widget ↔ serveur● 1/4

GET /api/v2/challenge · 41 ms

Politique adaptative reçue

profil: login pow: sha-256 · 4 nonce : signé EdDSA ttl: 300 s

Le widget de 16 KB se charge — rien ne s'est encore passé, aucun cookie déposé.

Le déroulement

7 étapes en moins de 300 ms

0116 KB

La page se charge

Le widget V2 (16 KB gzip) est chargé de manière asynchrone — il ne bloque ni le rendu ni l'interaction. Aucun framework, aucune dépendance.

02adaptative

Politique de challenge

Le serveur envoie une politique adaptative : type de challenge, difficulté, profil de site, niveau UAM — signée cryptographiquement avec EdDSA.

03~200ms

Proof of Work

Le navigateur résout une tâche SHA-256 dans un WebWorker — le thread d’interface reste libre, l’utilisateur ne remarque rien. La difficulté s’adapte.

04en parallèle

Comportement & caractéristiques de l’environnement

Entropie de la souris, rythme de frappe, événements tactiles ainsi que temps de rendu Canvas, rendu logiciel, cadence rAF, API de stockage — démasque aussi les navigateurs headless camouflés. Uniquement des métriques condensées, aucune donnée brute.

05EdDSA

Token + bindings

La solution PoW, les scores comportementaux et les bindings signés (origine, site, type de formulaire) sont assemblés en token V2. Aucun replay cross-site possible.

06<50ms

Risk Engine adaptative

Évaluation basée sur des profils : le login plus strict que le formulaire de contact. Vaste archive d'IP (mise à jour plusieurs fois par jour), détection de campagnes, Confidence Score, Reason Codes.

07Score 0-100

Décision

allow, challenge, step_up ou block — selon le profil de site et la politique de formulaire. L'Under-Attack-Mode à 4 niveaux escalade automatiquement.

Couche 1

Proof of Work

Chaque navigateur doit résoudre un calcul avant que le formulaire puisse être envoyé. Imperceptible pour un humain (~200 ms), hors de prix pour des vagues de bots à des milliers de requêtes par seconde.

WebWorker — ne bloque jamais le thread UI

SHA-256, avec une difficulté accrue en cas de risque élevé

Difficulté dynamique selon le profil de site + niveau Under-Attack

Nonce : usage unique, signé EdDSA, aucun replay possible

Proof of Work — SHA-256Difficulté

Essais en moyenne

—

1 humain

—

1 million de requêtes de bots

—

Des millisecondes pour un navigateur — un coût prohibitif pour une ferme de bots avec des millions de requêtes.

Ce que charge le navigateur (gzip)

Widget

16 KB

Worker de calcul

1,3 KB

Cookies

0

Couche 2

Analyse comportementale

Pendant que l'utilisateur remplit le formulaire, le widget collecte passivement des métriques comportementales. Aucune donnée brute ne quitte le navigateur — uniquement des scores agrégés.

Entropie de la souris

Shannon, 8 secteurs

Rythme de frappe

Intervalles entre frappes

Scroll/touch

Événements, vitesse

Changements de focus

Ordre de tabulation

Caractères saisis

vs collés

Time-on-Page

Durée jusqu'à l'envoi

Signaux comportementaux — en direct

Bougez la souris ici — l’entropie augmente

0

Entropie

0

Rythme

0

Événements

Risk Engine — Sentinel50 /100 Risk Score

0 — allow30 — challenge60 — block — 100

Pas encore de signauxchallenge

Couche 3

Risk Engine adaptative

Côté serveur, la Risk Engine évalue tous les signaux selon le contexte — un login est évalué plus strictement qu'un formulaire de contact. Les profils de site et les policies de formulaire pilotent les seuils individuellement.

PoW Behavior Canvas WebGL rAF Archive IP User-Agent Env ASN Geo Rate Threat-Intel Campagnes Profil Confidence

allow

Humain, laisser passer — avec Confidence Score et Reason Codes

challenge / step_up

Suspect — vérification d'interaction supplémentaire ou PoW renforcé

block

Bot détecté — bloquer

Détection

Humain vs bot

Les vrais humains produisent des schémas de comportement naturels. Les bots se trahissent par des signaux absents ou artificiels.

Humain

allow

Schéma de frappe naturel détecté

Entropie de la souris2.7 (naturel)

Rythme de frappe0.68 (variable)

Time-on-Page12.4s

Env: webdriverfalse

Risk Score4 — allow

Bot (Headless Chrome)

block

Remplissage instantané détecté — aucun schéma de frappe

Entropie de la souris0.0 (aucune)

Rythme de frappe0.0 (instantané)

Time-on-Page0.2s

Env: webdrivertrue

Risk Score87 — block

Performance

Tout le processus en <300 ms

Charger le widget 0ms

16 KB async/defer, aucun blocage

Charger la policy ~10ms

Politique de challenge adaptative côté serveur

Résoudre le PoW ~200ms

SHA-256 dans le WebWorker

Collecte du comportement en parallèle

S'exécute en parallèle du PoW

Token + bindings 0ms

Bindings signés EdDSA, instantané

Risk Engine <50ms

Évaluation adaptative + archive IP + Threat Intel

0100 ms200 ms300 ms

L'intérêt

Ce que cela signifie pour votre site web

La technique n'est qu'un moyen. Ce qui compte, c'est que vos formulaires arrivent, que votre service juridique dorme tranquille et que personne n'ait à résoudre un puzzle d'images.

01

Pas de puzzles d'images, pas d'abandons

Les CAPTCHA classiques coûtent des conversions : les utilisateurs échouent sur les feux et les vélos, et les personnes malvoyantes encore plus souvent. CaptchaCore vérifie passivement en arrière-plan. Une interaction n'apparaît qu'en cas de soupçon réel.

Normalement aucune énigme visuelle, textuelle ou audio

Utilisable au clavier et compatible lecteurs d'écran

Au maximum, l'utilisateur coche une case

02

RGPD sans notice explicative

Aucun transfert vers les États-Unis, aucun consentement dans la bannière cookies, aucune requête tierce depuis le widget. Vous concluez le contrat de sous-traitance par voie électronique dans votre compte, PDF inclus pour vos archives.

Traitement exclusivement en Allemagne

Contrat de sous-traitance selon l'art. 28 RGPD en un clic

Adresses IP tronquées, délais de suppression fixes

03

Les attaques coûtent à l'attaquant, pas à vous

La preuve de travail inverse l'économie : une requête isolée est imperceptible, un million devient coûteux. Lors d'une vague d'attaques, le mode sous attaque s'intensifie automatiquement en quatre niveaux.

La difficulté augmente avec la pression de l'attaque

Détection de campagnes entre les sites

Archive d'adresses IP mise à jour plusieurs fois par jour

04

Intégré en quelques minutes

Des plugins prêts à l'emploi pour WordPress, WoltLab et Symfony, un paquet Composer pour Laravel et une API REST légère pour tout le reste. Deux lignes de code dans le formulaire, une ligne côté serveur pour la vérification.

Extension WordPress avec mise à jour automatique

Middleware Laravel et composant Blade

API REST avec codes de motif pour votre propre logique

En comparaison

CaptchaCore, reCAPTCHA et hCaptcha

Les différences qui se retrouvent dans votre politique de confidentialité et dans votre temps de chargement.

Comparaison détaillée avec FriendlyCaptcha →

Critère	CaptchaCore	reCAPTCHA	hCaptcha
Siège du prestataire	Allemagne (SpeedIT Solutions UG)	États-Unis (Google LLC) ; dans l’EEE, Google Ireland Limited	États-Unis (Intuition Machines, Inc.)
Lieu du traitement	Allemagne	sur des serveurs dans le monde entier, selon Google	aux États-Unis, selon son avis de confidentialité
Cookies déposés par le widget	aucun	oui, _GRECAPTCHA pour l’analyse de risque	oui, cookies techniques (notamment répartition de charge, session)
puzzles d'images possibles	non	oui, selon la version	oui
Interaction dans le cas normal	aucun	selon la version, aucune (v3) à un clic (v2)	Clic ; mode passif dans les offres payantes
Justification de la décision	Codes de motif dans chaque réponse	Codes de motif avec un compte de facturation	Motifs de score dans Enterprise

Informations sur les tiers d’après leur documentation publique, état septembre 2026 — toutes les sources figurent dans la comparaison détaillée. Nous ne donnons pas d’appréciation juridique.

Questions fréquentes

Ce que clients et visiteurs demandent le plus souvent

Dois-je mentionner CaptchaCore dans la bannière cookies ?

Le widget ne dépose aucun cookie, pas même en Under Attack Mode, n’enregistre rien dans le navigateur et ne charge rien depuis des tiers. Si vous mentionnez CaptchaCore dans votre gestion du consentement, c’est à vous d’en décider avec votre conseil en protection des données. Nous fournissons un texte prêt à l’emploi pour votre politique de confidentialité.

Que se passe-t-il si une personne réelle est bloquée à tort ?

Le moteur de risque connaît quatre issues, pas deux. En cas de doute, il renvoie challenge ou step_up, c'est-à-dire une vérification supplémentaire plutôt qu'un blocage. Chaque décision porte des codes de motif : le journal montre précisément quel signal a pesé et vous pouvez ajuster les seuils formulaire par formulaire.

Cela fonctionne-t-il sans JavaScript ?

Non, la preuve de travail et l'analyse comportementale nécessitent JavaScript. Pour les utilisateurs qui n'en disposent pas, vous décidez formulaire par formulaire si l'envoi est refusé ou accepté et journalisé. Les indisponibilités du service suivent le même principe : c'est vous qui décidez de bloquer ou de laisser passer en cas de doute.

La vérification est-elle accessible ?

Dans le cas normal, il n'y a rien à manipuler. Si une interaction devient nécessaire, elle s'utilise au clavier et est balisée pour les lecteurs d'écran. Il n'y a volontairement aucune énigme visuelle ou audio, sur lesquelles les personnes malvoyantes ou malentendantes échouent régulièrement.

Quelles données voyez-vous, en tant qu'exploitant de CaptchaCore ?

Risk Scores, résultats de vérification et hashes salés, ainsi que l’adresse IP tronquée et la famille approximative de navigateur, de système d’exploitation et d’appareil. Aucun contenu de formulaire, aucun mouvement de souris, aucune frappe au clavier. Les données liées à l’IP sont vidées après 30 jours ; les autres statistiques sont conservées de 7 à 365 jours selon la formule.

Combien cela coûte-t-il et en combien de temps suis-je opérationnel ?

Il existe un palier gratuit permanent pour les sites privés, les offres commerciales se situant au-dessus. Sous WordPress, l'intégration prend quelques minutes : installer l'extension, saisir la clé du site, choisir les formulaires. Sur demande, les factures sont émises au format de facture électronique ZUGFeRD.

Prêt à le voir par vous-même ?

Essayez la vérification dans la démo en direct, consultez les tarifs ou lisez directement dans la documentation à quoi ressemble l'intégration.

Tester la démo live Voir les tarifs Documentation

Gratuit en permanence pour les sites privés · Traitement en Allemagne · Contrat de sous-traitance dans votre compte