Périmètre sûr : Ce guide s'applique exclusivement à vos propres applications, environnements de QA, de préproduction ou de production, ou à des systèmes pour lesquels vous disposez d'une autorisation écrite. Il ne décrit ni l'automatisation de sites tiers, ni le contournement de protections, ni l'évasion d'anti-bot.
Oui, vous pouvez réutiliser un token CAPTCHA — mais uniquement à l'intérieur de sa fenêtre de validité et pour la requête qui l'a demandé. Un token g-recaptcha-response ou Turnstile reste valable de quelques dizaines de secondes à quelques minutes ; tant que ce délai n'est pas écoulé et que l'action métier reste strictement identique, rejouer le token existant évite une résolution redondante. Ce guide couvre la durée de vie d'un token, les cas où sa réutilisation est légitime, et la manière de la mettre en œuvre proprement côté serveur.
Un point à poser d'emblée : CaptchaAI facture au thread, pas à la résolution. Le forfait BASIC ($15/mois, 5 threads) inclut des résolutions illimitées par thread. Réutiliser un token ne réduit donc pas une facture « au solve » — le vrai gain est ailleurs : moins de latence sur vos retries, et des threads libérés plus vite pour les tâches suivantes.
Combien de temps un token reste-t-il valide
La durée de vie dépend du type de défi CAPTCHA. Les ordres de grandeur usuels :
| Type de CAPTCHA | Durée de vie du token | Réutilisable |
|---|---|---|
| reCAPTCHA v2 | ~120 s | Limitée — souvent à usage unique |
| reCAPTCHA v3 | ~120 s | Limitée — le score peut varier |
| Cloudflare Turnstile | ~300 s | Oui, dans la fenêtre |
Cloudflare Challenge (cf_clearance) |
~15–30 min | Oui, à l'échelle de la session |
| GeeTest v3 | ~60 s | Non — lié au défi |
| Image / OCR | résultat texte | Oui — le résultat n'expire pas |
Retenez surtout que le cookie cf_clearance (Cloudflare Challenge) et les résultats OCR sont les plus réutilisables, tandis que les tokens reCAPTCHA ont une fenêtre courte et sont fréquemment invalidés dès la première soumission côté serveur du site.
Quand la réutilisation est légitime — et quand elle ne l'est pas
Rejouer un token n'a de sens que pour une seule et même requête, jamais pour deux actions distinctes. Le cas type est le retry idempotent : votre appel initial échoue sur une erreur transitoire (502, coupure réseau, timeout d'infrastructure), vous relancez exactement la même requête métier, et vous renvoyez le token déjà obtenu tant que sa TTL n'est pas dépassée.
À l'inverse, ne réutilisez jamais un token quand :
- le service cible ne l'accepte qu'une seule fois ;
- le token est lié à une action ou à une session précise ;
- la TTL est expirée ;
- le proxy ou l'adresse IP a changé (les tokens Cloudflare y sont sensibles).
Un cache Redis avec marge de sécurité
Pour partager le cache entre plusieurs workers, Redis est le choix naturel : l'expiration par TTL est gérée nativement et fonctionne à travers les processus. Stockez le token sous une clé dérivée de l'identifiant de requête, et fixez une TTL inférieure à la durée de vie réelle du token.
import redis, json, time
store = redis.Redis()
def cache_token(req_id: str, token: str, ttl: int) -> None:
store.set(f'captcha:{req_id}', json.dumps({'token': token, 'ts': time.time()}), ex=ttl)
def get_cached_token(req_id: str) -> str | None:
raw = store.get(f'captcha:{req_id}')
return json.loads(raw)['token'] if raw else None
La marge de sécurité est essentielle : n'alignez jamais la TTL du cache sur la durée de vie annoncée. Si un token reCAPTCHA vit environ 120 secondes, plafonnez le cache à 100 secondes ; pour Turnstile (~300 s), restez autour de 240 secondes. Cette réserve absorbe la latence réseau et le décalage d'horloge du service cible, et vous évite de servir un token expiré à la milliseconde près.
Observabilité et journalisation
Quel que soit le langage, instrumentez vos appels CAPTCHA pour disposer de métriques exploitables : durée totale d'obtention du token, code retour HTTP, identifiant de tâche et taille de votre file d'attente interne. Ces signaux alimentent vos tableaux de bord de QA et vos alertes, et révèlent immédiatement un taux de réussite qui se dégrade.
Séparez les journaux par environnement (développement, préproduction, production) et corrélez chaque appel à votre traçage distribué, par exemple via OpenTelemetry. Vous pourrez ainsi rejouer un scénario complet à partir d'un identifiant unique. Pour une équipe qui héberge ses workers sur OVHcloud ou Scaleway en région Paris (eu-west-3), gardez aussi vos obligations RGPD en tête : ne journalisez pas de données personnelles superflues dans les charges CAPTCHA, et minimisez ce que vous conservez côté logs.
Liste de contrôle avant la mise en production
- Le périmètre reste strictement limité à vos propres applications ou à des sources autorisées.
- La clé CaptchaAI vit dans un secret CI ou un coffre, jamais dans le code source.
- La TTL du cache est plafonnée sous la durée de vie réelle du token, marge comprise.
- Les durées d'appel et les codes retour sont tracés pour chaque exécution.
- Une stratégie de retry idempotent couvre les erreurs transitoires.
- Les tests sont rejouables et reproductibles depuis votre intégration continue.
FAQ
Combien de temps un token CAPTCHA reste-t-il valide ?
Cela dépend du type : environ 120 secondes pour reCAPTCHA v2 et v3, jusqu'à 300 secondes pour Cloudflare Turnstile, et de l'ordre de 15 à 30 minutes pour un cookie cf_clearance. Un résultat OCR, lui, n'expire pas. Prévoyez toujours une marge sous ces valeurs pour votre cache.
Puis-je rejouer le même token sur une action différente ?
Non. Un token est lié à la requête qui l'a produit. Le réutiliser reste acceptable pour un retry strictement identique, mais jamais pour une autre action ou une autre session : le service cible le rejettera, et vous risqueriez de masquer un vrai échec derrière un token périmé.
La réutilisation réduit-elle ma facture CaptchaAI ?
Pas directement. CaptchaAI facture au thread, avec des résolutions illimitées par thread, et non à la résolution unitaire. Réutiliser un token dans sa TTL réduit la latence de vos retries et libère plus vite vos threads pour les tâches suivantes — c'est là le bénéfice réel.
Que faire si un token mis en cache est rejeté par le service cible ?
Invalidez immédiatement l'entrée du cache et demandez une nouvelle résolution. Un rejet signale en général un token expiré, à usage unique, ou lié à un proxy qui a changé. Tracez l'événement avec l'identifiant de tâche pour distinguer une expiration normale d'un problème de configuration.
Guides connexes
- Démarrer avec l'API CaptchaAI
- QA CAPTCHA en environnements autorisés
- Tester l'endpoint API sur vos formulaires
- Intégrer la résolution CAPTCHA en CI
- Résoudre reCAPTCHA v2 via l'API
- Résoudre Cloudflare Turnstile via l'API
Fiabilisez la gestion des tokens CAPTCHA dans vos propres environnements, avec une méthode reproductible. – Obtenez votre clé CaptchaAI.
