Périmètre sûr : ce guide s'applique à vos propres applications et environnements, ou à des systèmes pour lesquels vous disposez d'une autorisation écrite. Il ne traite pas de l'automatisation de sites tiers.
Pour un formulaire public en 2026, deux options concentrent l'essentiel des déploiements : Cloudflare Turnstile pour un défi discret et sans coût de licence, reCAPTCHA v3 quand il vous faut un score exploitable côté serveur. hCaptcha et ALTCHA répondent à d'autres contraintes, notamment l'auto-hébergement complet pour le second. La matrice ci-dessous pose les quatre familles côte à côte, détaille les critères qui font basculer la décision et précise ce que CaptchaAI sait résoudre — ou non.
Les quatre familles, côte à côte
| Famille | Modèle | Signal principal | Auto-hébergeable | Prise en charge CaptchaAI |
|---|---|---|---|---|
| reCAPTCHA v2 / v3 | service géré Google | case à cocher, grille, score de risque | Non | ✅ v2, v2 Invisible, v2 Enterprise, v3, v3 Enterprise |
| Cloudflare Turnstile | service géré Cloudflare | défi passif dans le navigateur | Non | ✅ Turnstile et Cloudflare Challenge |
| hCaptcha | service géré, éditeur tiers | grille d'images | Non | ❌ non pris en charge |
| ALTCHA | projet open source | preuve de travail côté client | Oui | ❌ pas encore pris en charge |
Les deux dernières colonnes coûtent cher si vous les découvrez tard : l'auto-hébergement supprime la dépendance à un tiers, mais la robustesse devient la vôtre.
Ce que CaptchaAI résout dans cette matrice
CaptchaAI couvre la famille reCAPTCHA au complet (v2, v2 Invisible, v2 avec callback, v2 Enterprise, v3, v3 Enterprise), Cloudflare Turnstile et Cloudflare Challenge, GeeTest v3, l'image et l'OCR et les grilles d'images. Trois types s'y ajoutent en bêta : CaptchaFox (bêta), Friendly Captcha (bêta) et Lemin (bêta).
À connaître avant de bâtir un plan de tests : hCaptcha n'est pas pris en charge, pas plus que FunCaptcha (Arkose Labs) ; GeeTest v4 est annoncé comme à venir sans être disponible ; ALTCHA n'entre pas non plus dans le périmètre. Si votre choix se porte sur l'une de ces familles, vos tests devront reposer sur un autre mécanisme : clé de test de l'éditeur, ou désactivation documentée du défi en préproduction.
Les critères qui font réellement basculer la décision
- Le signal attendu par votre backend. Un score continu (reCAPTCHA v3) autorise des règles graduées ; un verdict binaire (Turnstile, hCaptcha) simplifie l'intégration sans permettre de nuance.
- La friction acceptable. Turnstile et reCAPTCHA v3 restent invisibles la plupart du temps ; une grille d'images sur un tunnel de paiement se paie en abandons.
- Le budget d'infrastructure. ALTCHA n'ajoute aucun coût de licence mais déplace la charge vers le navigateur du visiteur — à mesurer sur mobile d'entrée de gamme.
- La testabilité. Votre intégration continue doit pouvoir franchir le défi : c'est un critère d'architecture, pas un détail.
- Les obligations RGPD. reCAPTCHA et hCaptcha impliquent un transfert vers un tiers, à inscrire dans votre registre de traitements ; ALTCHA n'appelle aucun service externe.
Un scénario concret : migration d'un formulaire de devis
Une équipe lyonnaise héberge son application sur OVHcloud et fait transiter son trafic par Cloudflare. Son formulaire de devis utilise reCAPTCHA v2 depuis quatre ans, et le taux d'abandon sur mobile grimpe. Turnstile s'impose : le fournisseur est déjà en place, le défi est passif, le sujet RGPD plus simple à documenter.
Le point de blocage est ailleurs : la suite de tests de bout en bout doit franchir le nouveau défi en préproduction, à chaque déploiement. CaptchaAI prend en charge reCAPTCHA v2 comme Turnstile via la même boucle d'envoi et d'interrogation : seul le type de tâche change, les tests ne sont pas réécrits.
Mesurer avant de trancher
Comparez les options à conditions égales : même charge, même fenêtre horaire, même environnement. Relevez médiane, P90, P99 et taux de réussite sur une semaine complète — un lundi matin et un dimanche soir ne donnent pas les mêmes chiffres.
Documentez ensuite la décision et privilégiez les implémentations réversibles : si l'option retenue déçoit, vous devez pouvoir basculer sans réécrire votre intégration. Une couche d'abstraction fine autour de la vérification du token y suffit.
Vérifier le solde avant une campagne de tests
Avant une comparaison portant sur plusieurs centaines d'exécutions, contrôlez le solde depuis votre suite de tests :
import os
import requests
API_KEY = os.environ['CAPTCHAAI_KEY']
def get_balance() -> float:
resp = requests.post(
'https://api.captchaai.com/getBalance',
json={'clientKey': API_KEY},
timeout=15,
)
resp.raise_for_status()
return float(resp.json().get('balance', 0))
La facturation repose sur les threads simultanés, avec des résolutions illimitées par thread et en dollars US : BASIC ($15/mois, 5 threads) suffit à une campagne de mesure, une charge de production continue se dimensionne plutôt sur ADVANCE ($90/mois, 50 threads).
Instrumenter la comparaison
Instrumentez chaque appel CAPTCHA : durée d'obtention du token, code retour HTTP, identifiant de tâche, taille de la file d'attente. Ces signaux départageront les candidats.
Séparez les journaux par environnement et corrélez les identifiants à votre traçage distribué, par exemple via OpenTelemetry : vous rejouerez un scénario complet à partir d'un identifiant unique.
Liste de contrôle avant la mise en production
- Le périmètre reste limité à vos propres applications ou à des sources autorisées.
- La clé CaptchaAI est stockée dans un coffre ou un secret d'intégration continue.
- Les durées d'appel et les codes retour sont tracés à chaque exécution.
- Un retry idempotent avec backoff exponentiel borné couvre les erreurs transitoires.
- Le type retenu est vérifié dans la matrice avant d'être annoncé comme testable.
- Les traitements liés au défi figurent dans votre documentation RGPD.
FAQ
CaptchaAI prend-il en charge hCaptcha et ALTCHA ?
Non — ni l'un ni l'autre. hCaptcha n'est pas pris en charge, pas plus que FunCaptcha (Arkose Labs), et ALTCHA ne figure pas dans les types disponibles. La couverture porte sur reCAPTCHA v2 et v3, Turnstile et Cloudflare Challenge, GeeTest v3, l'image et l'OCR, les grilles et BLS, plus trois types en bêta.
Turnstile ou reCAPTCHA v3 pour un formulaire public ?
Turnstile si un verdict binaire suffit et que vous passez déjà par Cloudflare. reCAPTCHA v3 si vos règles ont besoin d'un score continu — vérification supplémentaire au-dessus d'un seuil plutôt que refus d'emblée. Les deux sont résolus par l'API CaptchaAI dans vos environnements de test.
ALTCHA est-il plus simple à justifier au regard du RGPD ?
Sa preuve de travail s'exécute dans le navigateur, sans appel externe, ce qui écarte la question du transfert de données vers un tiers. Cela ne dispense ni du registre de traitements ni d'une analyse par votre responsable conformité.
Combien coûtent les tests automatisés pendant une comparaison ?
Le coût dépend du nombre de threads simultanés, pas du nombre de résolutions. Quelques dizaines d'exécutions parallèles tiennent dans BASIC ($15/mois, 5 threads) ou STANDARD ($30/mois, 15 threads) ; au-delà, dimensionnez sur le parallélisme réel de votre intégration continue.
Guides connexes
- Démarrage rapide CaptchaAI
- Tester les CAPTCHA en environnement autorisé
- Vérifier l'endpoint API sur vos formulaires
- Résolution CAPTCHA en intégration continue
- Résoudre reCAPTCHA v2 via l'API
Hésitation entre deux familles ? Mesurez-les sur votre propre trafic. – Obtenez votre clé CaptchaAI.
