Installer AubeCaptcha sur votre site

Ce que ça demande vraiment

Protéger un formulaire, c'est deux gestes, et il faut les deux.

1. Dans la page qui affiche le formulaire : coller deux lignes. Ce geste-là est du copier-coller, vous pouvez le faire vous-même.
2. Dans le programme qui reçoit le formulaire : ajouter trois lignes qui demandent à AubeCaptcha si le visiteur a bien passé le test. Ce geste demande quelqu'un qui touche au code de votre site.

Étape 1, créer votre site

Connectez-vous au tableau de bord avec votre compte AubeMail, puis remplissez le formulaire « Nouveau site » :

Vous obtenez alors deux clés. La sitekey est publique, elle vit dans votre page. Le secret ne doit jamais apparaître dans une page web : il reste sur votre serveur, comme un mot de passe.

Étape 2, coller deux lignes dans votre page

Le tableau de bord vous donne ce bloc déjà rempli avec votre clé, sous le bouton « Code à coller ». Il se place à l'intérieur de votre formulaire, juste avant le bouton d'envoi :

<script src="https://captcha.aubeetoilee.com/widget.js" async defer></script>
<div class="aubecaptcha" data-sitekey="VOTRE_SITEKEY"></div>

C'est tout pour la page. La case « Je ne suis pas un robot » apparaît, et le formulaire reçoit tout seul un jeton invisible une fois le test passé.

const jeton = await window.aubecaptcha.execute(bloc); // bloc : la div .aubecaptcha
fetch("/inscription", { method: "POST", body: JSON.stringify({ ...champs, jeton }) });
// Refus du serveur (jeton consommé) : window.aubecaptcha.reset(bloc)

Étape 3, la partie à transmettre

Envoyez ce qui suit à la personne qui s'occupe de votre site, avec votre secret. Elle reconnaîtra : c'est la même mécanique que reCAPTCHA de Google, en trois lignes.

Python (Flask, Django)

import requests

r = requests.post("https://captcha.aubeetoilee.com/api/verify", json={
    "secret": "VOTRE_SECRET",
    "token": request.form.get("aubecaptcha-token"),
}, timeout=10)
if not r.json().get("success"):
    abort(400, "Vérification anti-robot refusée")

PHP (dont WordPress)

$reponse = wp_remote_post("https://captcha.aubeetoilee.com/api/verify", [
  "body" => [
    "secret"   => "VOTRE_SECRET",
    "response" => $_POST["aubecaptcha-token"] ?? "",
  ],
  "timeout" => 10,
]);
$ok = json_decode(wp_remote_retrieve_body($reponse), true)["success"] ?? false;
if (!$ok) { wp_die("Vérification anti-robot refusée"); }

Node (Express)

const r = await fetch("https://captcha.aubeetoilee.com/api/verify", {
  method: "POST",
  headers: { "Content-Type": "application/json" },
  body: JSON.stringify({
    secret: process.env.AUBECAPTCHA_SECRET,
    token: req.body["aubecaptcha-token"],
  }),
});
if (!(await r.json()).success) { return res.status(400).send("Refusé"); }

Un jeton ne sert qu'une fois et vit cinq minutes. La réponse contient aussi hostname, le domaine d'où le test a réellement été passé : le comparer au vôtre rend un jeton volé inutilisable.

Vérifier que c'est bien branché

Un test, sans connaissances techniques. Ouvrez votre formulaire, remplissez-le, ne cochez pas la case, et envoyez.

• Le formulaire est refusé : c'est branché des deux côtés.
• Le formulaire passe quand même : seule la page a été faite, la vérification manque côté serveur. Retour à l'étape 3.

Ensuite, le tableau de bord affiche les compteurs de chaque site : défis servis, résolus, échoués, et vérifications faites par votre serveur. Si la colonne « vérifications serveur » reste à zéro alors que les autres montent, l'étape 3 n'est pas en place.

Un CAPTCHA sert-il encore à quelque chose face à l'IA ?

Question honnête, réponse honnête : plus sous sa forme d'énigme. Reconnaître des feux de circulation ou déchiffrer un texte tordu, une machine le fait aujourd'hui mieux qu'un humain fatigué, et des services vendent la résolution en masse pour quelques sous. Un test d'intelligence ne sépare plus l'humain du robot.

Ce qui fonctionne encore, c'est de faire payer chaque tentative. C'est le principe du mode par défaut d'AubeCaptcha : le navigateur du visiteur effectue un petit calcul avant d'obtenir son jeton. Une personne ne s'en aperçoit pas. Un robot qui vise cent mille inscriptions doit financer cent mille calculs, plus le temps, plus les adresses nécessaires pour ne pas être freiné. L'attaque ne devient pas impossible, elle devient non rentable, et c'est précisément l'objectif.

Deux conséquences pratiques. Le réglage « Effort demandé » est votre levier : si un formulaire est visé, montez-le. Et un CAPTCHA ne remplace jamais les limites de votre propre application : gardez un plafond de tentatives sur une page de connexion, il protège d'autre chose.

Ce que ça ne fait pas

• Ce n'est pas un anti-spam de contenu : un humain déterminé passe et écrit ce qu'il veut.
• Ce n'est pas une protection contre l'essai de mots de passe en série, qui se traite par un plafond de tentatives.
• Ce n'est pas une vérification d'identité : le service dit « ce visiteur a payé le péage », jamais « ce visiteur est monsieur Untel ».

Aucun cookie n'est déposé, aucune donnée n'est revendue, les adresses sont tronquées avant journalisation et les traces sont purgées sous 24 heures.