Périmètre sûr : ce guide s'applique exclusivement à vos propres applications, à vos environnements de QA, de préproduction ou de production, ou à des systèmes pour lesquels vous disposez d'une autorisation écrite. Il ne décrit ni l'automatisation de sites tiers, ni l'évasion de protections anti-abus.
Un proxy mobile ne résout aucun CAPTCHA. Il change une seule chose : le chemin réseau par lequel votre test arrive sur votre application. En QA autorisée, il sert donc à reproduire les conditions réelles de vos utilisateurs — opérateur, latence, IP partagée — pendant que la résolution des défis reste un appel d'API explicite et tracé. Confondre les deux produit des chiffres invérifiables.
Ce qu'un proxy mobile change réellement pour un test CAPTCHA
Les opérateurs mobiles distribuent leurs adresses via du CGNAT : une même IP publique est partagée par un grand nombre d'abonnés réels, sans signature individuelle exploitable — contrairement à un bloc datacenter loué à l'heure. Votre recette traverse donc les mêmes filtres que le trafic de vos clients Orange, Proximus, Swisscom ou Bell.
C'est ce que vous voulez tester : la réaction de vos propres règles anti-abus et de votre rate limiting face à une IP partagée, dont la réputation peut changer d'une heure à l'autre selon ce que font les autres abonnés.
Trois scénarios de recette où le réseau mobile compte
Inscription et connexion depuis la 4G
Les parcours d'inscription sont l'endroit où les défis apparaissent le plus souvent. Rejouez-les depuis une IP mobile : le widget s'affiche-t-il au bon moment, le token est-il accepté après injection, l'utilisateur sort-il de la boucle de revalidation ?
Latence et timeouts réalistes
Un aller-retour sur réseau cellulaire se compte en dizaines à centaines de millisecondes, contre quelques millisecondes depuis une instance hébergée à Paris (eu-west-3), chez OVHcloud ou Scaleway. Vos timeouts côté client, souvent calibrés sur un poste filaire, doivent être revérifiés : un délai d'expiration de 5 s pour un formulaire complet est réaliste en salle, beaucoup moins en mobilité.
Variabilité régionale francophone
Une application ne voit pas le même trafic depuis la France, la Belgique, la Suisse, le Québec ou le Maghreb. Rejouer la recette derrière deux ou trois opérateurs révèle des écarts de réputation d'IP et de résolution DNS invisibles depuis vos runners hébergés.
Vérifier la connexion avant de lancer vos tests CAPTCHA
Commencez toujours par un appel de santé : si le tunnel proxy est mal configuré, tous vos résultats suivants ne sont que du bruit.
Exemple Python :
import os, requests
PROXY = {'https': os.environ['MOBILE_PROXY_URL']}
r = requests.get(os.environ['QA_BASE_URL'] + '/health', proxies=PROXY, timeout=30)
r.raise_for_status()
print(r.status_code)
L'URL du proxy et l'URL de base restent dans des variables d'environnement. Même règle pour la clé API : un secret d'intégration continue ou un coffre, jamais le code source.
Ce que les proxys mobiles ne règlent pas
Un réseau mobile réduit le bruit, il ne supprime pas les défis. Vos scénarios en rencontreront, et il faut alors une réponse déterministe plutôt qu'une nouvelle tentative aveugle. C'est le rôle de l'API : CaptchaAI prend en charge reCAPTCHA v2 (y compris Invisible, callback et Enterprise), reCAPTCHA v3, Cloudflare Turnstile, Cloudflare Challenge, GeeTest v3, les CAPTCHA image/OCR, les grilles d'images et BLS CAPTCHA, plus CaptchaFox (bêta), Friendly Captcha (bêta) et Lemin (bêta).
Deux points à connaître avant d'écrire le plan de test : hCaptcha et FunCaptcha (Arkose Labs) ne sont pas pris en charge, et GeeTest v4 est annoncé comme à venir, pas comme disponible. Si votre application repose sur l'un de ces trois types, la partie automatisée de la recette doit être conçue autrement dès le départ.
Côté capacité, la facturation repose sur les threads, c'est-à-dire le nombre de défis traités simultanément, avec un nombre de résolutions illimité par thread. Le plan BASIC ($15/mois, 5 threads) suffit largement à une recette nocturne ; ADVANCE ($90/mois, 50 threads) correspond plutôt à une campagne parallélisée sur plusieurs environnements. La facturation reste en dollars US.
Coût : arbitrer entre proxys mobiles et proxys résidentiels
La bande passante mobile est de loin la plus chère du marché : selon les grilles tarifaires publiées par les fournisseurs, comptez un ordre de grandeur au-dessus d'un proxy datacenter au gigaoctet. La règle d'arbitrage est simple — proxy mobile pour les parcours où chaque exécution doit aboutir (inscription, checkout, authentification forte), proxy résidentiel ou simple runner d'intégration continue pour les scénarios de volume où seul le taux agrégé compte.
Observabilité et journalisation
Instrumentez chaque appel CAPTCHA : durée totale d'obtention du token, code retour HTTP, identifiant de tâche, taille de la file d'attente interne et opérateur mobile utilisé. Sans cette dernière dimension, vous ne pourrez pas attribuer un écart de taux de réussite au réseau plutôt qu'à votre code.
Séparez les journaux par environnement et corrélez-les à votre traçage distribué, par exemple avec OpenTelemetry : un identifiant unique doit suffire à rejouer un scénario complet. Côté RGPD, une adresse IP est une donnée personnelle — conservez ces journaux le temps strictement nécessaire au diagnostic.
Liste de contrôle avant la campagne de tests
- Le périmètre se limite à vos applications ou à des sources dûment autorisées par écrit.
- L'URL du proxy et la clé CaptchaAI vivent dans un secret d'intégration continue ou un coffre.
- Un appel de santé valide le tunnel mobile avant le premier scénario.
- Les durées d'appel, les codes retour et l'opérateur sont tracés à chaque exécution.
- Une stratégie de retry idempotent avec backoff exponentiel borné couvre les erreurs transitoires.
- La durée de conservation des journaux contenant des adresses IP est définie et documentée.
FAQ
Un proxy mobile réduit-il le nombre de défis CAPTCHA ?
Il modifie la réputation de l'IP source, ce qui peut faire varier la fréquence des défis, mais aucun chiffre stable ne peut être promis : tout dépend de votre application, de l'opérateur et du moment de la journée. Mesurez-le sur vos environnements.
Les IP mobiles posent-elles un problème RGPD dans mes journaux ?
Une adresse IP est une donnée à caractère personnel. Minimisez ce que vous conservez, fixez une durée de rétention, restreignez l'accès aux journaux et vérifiez vos obligations avant tout transfert vers un service externe.
Que faire si un défi CAPTCHA apparaît quand même pendant le test ?
Envoyez la tâche à l'API, interrogez le résultat à intervalle raisonnable, puis injectez le token dans le formulaire. La démarche complète est détaillée dans le guide reCAPTCHA v2 et dans celui de Turnstile, référencés ci-dessous.
Comment savoir si l'écart de latence vient bien du réseau mobile ?
Faites tourner la même suite deux fois, avec et sans le proxy mobile, tout le reste identique. Comparez les médianes plutôt que les moyennes : quelques valeurs extrêmes suffisent à déplacer une moyenne de plusieurs centaines de millisecondes.
Guides connexes
- Démarrer avec l'API CaptchaAI
- Cadrer une recette CAPTCHA en environnement autorisé
- Tester l'endpoint de résolution sur vos formulaires
- Brancher la résolution CAPTCHA sur votre CI
- Obtenir un token reCAPTCHA v2 via l'API
- Traiter un défi Cloudflare Turnstile via l'API
Rendez vos recettes CAPTCHA reproductibles, d'un opérateur à l'autre et d'une exécution à l'autre. – Obtenez votre clé CaptchaAI.
