Qu’est-ce que reCAPTCHA ?
reCAPTCHA est le service CAPTCHA de Google, lancé en 2007 (issu du projet académique reCAPTCHA de Carnegie Mellon) puis intégré à Google Cloud. C’est le CAPTCHA le plus déployé au monde, avec présence sur des millions de sites. Il existe en plusieurs versions ciblant différents profils de risque.
Versions
reCAPTCHA v2 (2014). Introduit la fameuse case « Je ne suis pas un robot ». Comportement : un seul clic visible, mais derrière une riche évaluation comportementale (trajectoire de souris, temps écoulé, historique avec services Google, empreinte d’appareil). Les sessions à risque déclenchent une grille d’images secondaire (sélectionner toutes les images de feux de signalisation, par exemple).
reCAPTCHA v3 (2018). Architecture entièrement différente : pas de case, pas de grille, aucune interaction utilisateur. Le système tourne en arrière-plan et retourne un score continu entre 0,0 (probable robot) et 1,0 (probable humain) avec une chaîne d’action enregistrée. L’organisateur fixe un seuil (0,5 par défaut, 0,7 pour actions sensibles) et configure la conséquence des scores inférieurs.
reCAPTCHA Enterprise. Palier le plus élevé, accessible via Google Cloud Platform. Étend v3 avec signaux supplémentaires, explications de score granulaires, difficulté de défi adaptative, et garanties de disponibilité contractuelles. La difficulté adaptative escalade pour les sessions correspondant à des schémas de fraude connus, même si elles n’ont jamais été observées sur le domaine spécifique.
Vérification serveur
Tous les paliers utilisent un échange de jeton à deux étapes. Le widget génère un jeton après défi ; le serveur du site envoie un POST à https://www.google.com/recaptcha/api/siteverify avec le jeton et la clé secrète, et reçoit un JSON avec success booléen et hostname. Un jeton ne peut pas être forgé client-side — il est lié cryptographiquement à la clé du site.
Pour les votes
Les votes protégés par reCAPTCHA exigent la résolution humaine. Les solveurs OCR/ML sont mesurablement détectables par le scoring comportemental de v3 et les analyses post-soumission d’Enterprise. Notre réseau de solveurs humains avec IP résidentielles atteint 99,7 % de réussite à travers v2/v3/Enterprise.
