Périmètre sûr : ce guide s'applique à vos propres applications — développement, préproduction, production — ou à des systèmes pour lesquels vous disposez d'une autorisation écrite. Il ne décrit ni l'automatisation de sites tiers, ni aucune technique d'anti-détection.
Un score reCAPTCHA v3 ne se corrige pas depuis le navigateur : il se lit côté serveur, et c'est votre application qui décide quoi en faire. Google renvoie une valeur continue entre 0,0 et 1,0 qui exprime une probabilité, pas un verdict — et cette nuance change entièrement la façon de câbler un formulaire. Votre travail consiste donc à comprendre quelles familles de signaux déplacent cette valeur, puis à traduire le score en décision produit sans transformer vos utilisateurs légitimes en faux positifs.
Ce que le score exprime réellement
Google ne publie pas l'algorithme. Le contrat vérifiable reste simple : la clé du site produit un token, que votre serveur échange contre un score et une action. Deux conséquences :
- Le score est relatif à votre site. Un seuil qui fonctionne sur une place de marché grand public sera trop strict sur un back-office métier où quinze personnes se connectent depuis la même IP d'entreprise.
- Le score dépend de l'
actiondéclarée. Un score de 0,4 surloginne se compare pas à un 0,4 surnewsletter. Segmentez vos mesures par action avant de toucher au moindre seuil.
Les familles de signaux qui déplacent le score
Profil de session et historique
Durée de la session, cookies reCAPTCHA issus de visites précédentes, historique de navigation cohérent : ces éléments tirent le score vers le haut. À l'inverse, une session fraîche ouverte en navigation privée sur un formulaire atteint directement démarre plus bas — sans le moindre abus.
Profil du navigateur et environnement
Langues déclarées, plugins, dimensions d'écran, fuseau horaire, cohérence entre le User-Agent et le rendu réel : reCAPTCHA compare ces éléments entre eux plus qu'il ne les juge isolément. C'est l'incohérence qui pèse — un fuseau horaire américain sur une IP marseillaise, par exemple.
Comportement dans la page
C'est la famille la plus lourde. Mouvements de souris, rythme de frappe, défilement, ordre d'interaction avec les champs : un remplissage instantané par affectation de valeur en JavaScript ne ressemble à rien d'humain. Vos propres tests automatisés en subissent les conséquences, d'où les scores très bas observés en intégration continue.
Réputation réseau
Les plages d'IP de datacenter, les sorties VPN mutualisées et les nœuds Tor pèsent négativement. À noter : un VPN d'entreprise qui fait sortir tout un siège par une seule adresse, ou un partage de connexion mobile en CGNAT, produit régulièrement des scores bas chez des utilisateurs légitimes.
Fixer deux seuils plutôt qu'un
Un seuil unique force un choix binaire : laisser passer ou bloquer. Deux paliers ouvrent une zone grise exploitable :
| Score observé | Décision côté serveur | Effet pour l'utilisateur |
|---|---|---|
| ≥ 0,7 | Traiter la requête normalement | Aucun frottement |
| 0,3–0,7 | Étape de vérification supplémentaire que vous maîtrisez | Léger frottement, réversible |
| < 0,3 | Refuser ou placer en revue manuelle | Blocage explicite et journalisé |
Ces valeurs sont un point de départ, pas une vérité. Mesurez la distribution réelle de vos scores par action pendant deux semaines en mode observation — score enregistré, aucune décision prise — puis placez vos paliers sur les percentiles constatés.
Vérifier le token côté serveur
La vérification n'a de sens que de serveur à serveur : un contrôle côté client est trivialement modifiable. Isolez l'appel derrière une fonction unique, plus simple à instrumenter et à tester.
import requests
def verify_token_with_backend(token: str, your_backend_url: str) -> bool:
"""Vérifier le token CAPTCHA avec votre propre backend."""
response = requests.post(
your_backend_url + '/api/captcha/verify',
json={'token': token},
timeout=15,
)
response.raise_for_status()
return response.json().get('valid', False)
Le token a une durée de vie courte : générez-le à l'envoi du formulaire, pas au chargement de la page, sinon vos utilisateurs qui rédigent un message long verront leur envoi refusé sans comprendre pourquoi.
Exemple : un tunnel d'inscription B2B
Prenons un éditeur SaaS lyonnais dont la clientèle se répartit entre la France, la Belgique et le Maghreb. Depuis l'activation d'un seuil unique à 0,5, le taux d'abandon à l'inscription grimpe. La segmentation par action montre deux populations pénalisées : les visiteurs arrivés d'un lien de campagne directement sur le formulaire, et les utilisateurs mobiles en itinérance.
Le correctif ne touche pas au score, mais à la décision : la zone 0,3–0,7 bascule vers une confirmation par e-mail plutôt qu'un refus, et l'action signup reçoit son propre palier, plus permissif que login. Côté RGPD, l'équipe inscrit la finalité au registre et limite la conservation des journaux de score à trente jours.
Pour rejouer ces cas en préproduction, une API de résolution évite de dépendre d'un navigateur réel : CaptchaAI prend en charge reCAPTCHA v2 et v3, Cloudflare Turnstile, Cloudflare Challenge et GeeTest v3, à partir du plan BASIC ($15/mois, 5 threads). Voir le guide de démarrage rapide.
Observabilité et journalisation
Instrumentez chaque vérification : score renvoyé, action déclarée, durée d'obtention du token, code retour HTTP et identifiant de tâche. Ces séries permettent d'ajuster un seuil sur des faits plutôt que sur une intuition. Séparez les journaux par environnement et corrélez-les à votre traçage distribué, par exemple via OpenTelemetry : vous rejouerez un parcours complet à partir d'un identifiant unique.
Liste de contrôle avant mise en production
- Le périmètre reste limité à vos applications ou à des sources autorisées.
- Les scores sont mesurés en observation avant toute décision de blocage.
- Les seuils sont définis par
action, pas globalement. - La clé API vit dans un secret CI ou un coffre, jamais dans le code source.
- Durées d'appel, codes retour et scores sont tracés à chaque exécution.
- Un retry avec backoff exponentiel borné couvre les erreurs transitoires.
- La conservation des journaux de score est documentée et bornée.
FAQ
Ce guide couvre-t-il l'automatisation de sites tiers ?
Non. Tous les exemples portent sur vos propres applications ou sur des environnements de test autorisés par écrit. Si une source externe entre en jeu, validez d'abord ses conditions d'utilisation.
Le score reCAPTCHA v3 relève-t-il du RGPD ?
Traitez-le comme tel : il découle de signaux rattachables à une personne identifiable. Documentez la finalité, limitez la conservation, mentionnez le traitement dans votre politique de confidentialité et validez le cadrage avec votre DPO.
Faut-il générer un nouveau token à chaque envoi de formulaire ?
Oui. Le token est à usage unique et sa validité est courte : générez-le à la soumission, et régénérez-le si l'utilisateur corrige son formulaire après un refus.
CaptchaAI prend-il en charge hCaptcha ou FunCaptcha ?
Non — ces deux types ne sont pas pris en charge, et GeeTest v4 est seulement annoncé à venir. Les types couverts sont reCAPTCHA v2 et v3, Cloudflare Turnstile, Cloudflare Challenge, GeeTest v3 et les CAPTCHA image, texte ou en grille.
Guides connexes
- Démarrage rapide CaptchaAI
- QA CAPTCHA en environnements autorisés
- Tester l'endpoint API sur vos formulaires
- Intégration CAPTCHA dans la CI
- Résoudre reCAPTCHA v2 via l'API
- Résoudre Cloudflare Turnstile via l'API
Passez de la théorie des signaux à des seuils mesurés sur votre propre trafic. – Obtenez votre clé CaptchaAI.
