5 exemples de CAPTCHA qui présentent de grosses différences.
Il existe 5 principaux types de CAPTCHA utilisés aujourd’hui, et ils diffèrent fortement en matière de sécurité, d’expérience utilisateur, d’accessibilité et de conformité à la confidentialité (privacy).
Les CAPTCHA traditionnels sont obsolètes.
Les CAPTCHA textuels, image et audio sont de plus en plus faciles à contourner pour les bots alimentés par l’IA. Ils créent parallèlement de vrais obstacles pour les utilisateurs humains, notamment pour ceux en situation de handicap.
Les CAPTCHA invisibles se font au prix de la confidentialité.
Les CAPTCHA basés sur des signaux suppriment les défis visuels mais s’appuient sur le suivi comportemental, ce qui crée de sérieux risques de confidentialité et de conformité RGPD.
Le CAPTCHA Proof-of-Work coche toutes les cases.
Les CAPTCHA Proof-of-Work, comme Friendly Captcha, sont sûrs, invisibles, accessibles et entièrement conformes au RGPD. C’est le seul type de CAPTCHA qui réunit ces quatre qualités sans compromis.
Friendly Captcha ausprobieren ›
Il existe 5 exemples ou types de CAPTCHA : le CAPTCHA textuel, le CAPTCHA image, le CAPTCHA audio, le CAPTCHA signal-based (invisible) et le CAPTCHA à preuve de travail ou Proof-of-Work. Nous connaissons tous les anciens challenges CAPTCHA qui consistent à sélectionner des feux de circulation, à résoudre de faux problèmes de maths ou à déchiffrer un texte déformé. La technologie CAPTCHA moderne a pourtant bien dépassé ces systèmes traditionnels.
Chaque type de CAPTCHA, en tant que test de turing, envisage et résout la protection contre les bots et le spam différemment, avec des compromis clairs en matière de sécurité, d’opérabilité, d’accessibilité et de conformité à la confidentialité. Pour tout site web avec un trafic web modéré à élevé, le choix du type de CAPTCHA a de vraies conséquences. Les CAPTCHA les plus anciens sont faciles à contourner pour les bots alimentés par l’IA et créent souvent, en même temps, une friction inutile pour les utilisateurs humains.
Dans cet article, nous expliquerons le fonctionnement de chacun des cinq exemples de CAPTCHA, leurs cas d’usage et leurs limites face aux exigences modernes comme la conformité RGPD et une expérience utilisateur inclusive. Vous verrez aussi comment choisir le bon CAPTCHA et la bonne stratégie de bot management pour votre site web. Enfin, nous détaillerons pourquoi l’approche Proof-of-Work de Friendly Captcha se distingue comme une option pérenne pour les entreprises qui ont besoin d’une sécurité robuste, sans pour autant sacrifier la confidentialité, ni l’accessibilité.
CAPTCHA textuel
Le CAPTCHA textuel est la forme originale de protection contre les bots : il existe quasiment depuis les débuts du web. Il demande aux utilisateurs d’identifier et de saisir des caractères affichés dans une image déformée ou masquée sur leur ordinateur ou mobile, ce qui complique la lecture par des scripts automatisés.
La déformation s’obtient en déformant, redimensionnant ou faisant pivoter les caractères, parfois avec des éléments graphiques comme des lignes, des arcs ou des points. Même si cette approche offrait autrefois une sécurité de base, son efficacité et son opérabilité ont fortement diminué.
Cas courants
Lettres/chiffres déformés : les utilisateurs saisissent les caractères affichés dans des images avec des lettres déformées ou qui se chevauchent. C’est le format CAPTCHA classique, popularisé par Google reCAPTCHA v1.
Puzzles textuels logiques : des questions comme « Quel est le troisième mot de cette phrase ? » qui demandent aux utilisateurs de compléter un mot manquant ou de résoudre de petits problèmes de langage.
Reconnaissance de mots : il faut ici saisir des mots affichés dans des polices stylisées pouvant inclure des caractères superposés.
Points forts
Simple à déployer : facile à intégrer dans n’importe quel formulaire avec peu de code.
Léger : nécessite peu de bande passante et aucune puissance de calcul avancée.
Long historique d’utilisation : familier pour les entreprises comme pour les utilisateurs ; bien documenté dans l’écosystème développeur.
Points faibles
Vulnérabilité à l’IA : les bots modernes utilisant l’IA, y compris la reconnaissance optique de caractères, résolvent les CAPTCHA textuels de manière fiable et à grande échelle. Même les prompts de caractères aléatoires ne sont plus un obstacle fiable pour les scripts avancés.
Barrières d’accessibilité : particulièrement difficiles pour les personnes dyslexiques, malvoyantes ou porteur d’un handicap cognitif, ce qui entraîne un fort taux de faux positifs chez les vrais utilisateurs.
Mauvaise expérience utilisateur : le CAPTCHA textuel traditionnel est souvent frustrant, même pour les utilisateurs sans handicap, ce qui augmente les abandons.
Idéal pour
Les systèmes legacy ou les services anciens qui privilégient la stabilité et la continuité plutôt que l’innovation. Le CAPTCHA textuel est déconseillé pour les applications web modernes ou toute plateforme ayant d’importants besoins, que ce soit en termes de trafic ou au niveau de la protection des données.
CAPTCHA image
Les CAPTCHA image, ou CAPTCHA visuels, remplacent le texte déformé par des puzzles visuels. Généralement, les utilisateurs sont sommés d’identifier des objets dans une grille de photos. Ils ont été introduits comme successeur plus opérationnel des CAPTCHA textuels, en s’appuyant sur la capacité du cerveau humain à reconnaître et catégoriser des scènes visuelles.
Des implémentations bien connues incluent Google reCAPTCHA v2 et hCaptcha, qui restent largement déployées malgré des critiques persistantes sur l’accessibilité et la confidentialité des données.
Cas courants
Puzzles en grille : « Sélectionnez tous les carrés contenant des feux de circulation / passages piétons / bus ». C’est le format rendu célèbre par Google reCAPTCHA v2.
Sélection d’une seule image : cliquer sur l’image qui correspond à une description donnée (par exemple, « Cliquez sur le chat »).
Tâches objet-dans-une-scène : identifier un objet spécifique dans une seule photo plutôt que dans une grille.
Points forts
Large reconnaissance : le format en grille est familier à des milliards d’utilisateurs dans le monde.
Facile à déployer : des implémentations gratuites et open source sont largement disponibles.
Plus intuitif que le texte : la reconnaissance visuelle de formes paraît naturelle à la plupart des utilisateurs… au moins au début.
Points faibles
UX frustrante : les grilles d’images en plusieurs étapes entraînent souvent des tentatives répétées, ce qui augmente l’abandon.
Barrières d’accessibilité : inutilisable pour les utilisateurs malvoyants sans solution audio de secours sur la page web ; incompatible avec de nombreux lecteurs d’écran.
Sécurité en baisse : les CAPTCHA image ont été conçus pour des tâches où les bots malveillants peinaient à identifier des objets dans des scènes ambiguës, mais la reconnaissance d’images par l’IA atteint désormais une précision quasi humaine.
Confidentialité et RGPD : Google reCAPTCHA v2 transmet des données comportementales et liées à l’appareil vers des serveurs basés aux États-Unis, ce qui crée des risques de conformité pour les organisations soumises au GDPR.
Idéal pour
Les petits sites web ou communautés en ligne qui ont besoin d’une solution simple et reconnaissable, et qui n’ont pas d’exigences strictes en matière de protection des données. Ne convient pas aux organisations traitant des données personnelles sous RGPD, ni à celles ciblant des utilisateurs de l’UE.
CAPTCHA audio
Les CAPTCHA audio ont été introduits comme solution de repli pour l’accessibilité, à destination des utilisateurs qui ne peuvent pas résoudre des défis visuels – principalement les personnes malvoyantes. Ils diffusent un enregistrement de caractères ou de mots parlés que l’utilisateur/trice doit transcrire correctement.
En pratique, les CAPTCHA audio échouent sur les deux plans. Ils sont régulièrement résolus par des algorithmes de reconnaissance vocale, et l’audio déformé crée des obstacles pour les utilisateurs-mêmes qu’ils étaient censés aider.
Cas courants
Séquences de lettres/chiffres : un enregistrement de caractères prononcés avec du bruit de fond que l’utilisateur doit transcrire ; ces CAPTCHA reposent sur l’incapacité supposée des bots à reconnaître les bons caractères malgré le bruit.
Discours déformé : audio avec écho ajouté, variation de vitesse ou voix superposées pour gêner la transcription par les bots.
Dictée de mots : mots entiers, courtes phrases ou, dans certaines variantes, mots courts lus à voix haute que l’utilisateur doit saisir dans un champ texte.
Points forts
Solution de repli pour l’accessibilité : principale alternative pour les utilisateurs malvoyants qui ne peuvent pas résoudre des défis visuels.
Aucune exigence visuelle : les CAPTCHA audio peuvent être utilisés sans écran ou dans des contextes ou la vision n’est pas requise.
Coût additionnel faible : souvent intégrés aux solutions CAPTCHA existantes comme option supplémentaire.
Points faibles
Facile à résoudre pour les bots : les API modernes de reconnaissance vocale et l’intelligence artificielle décodent de manière précise et fiable les CAPTCHA audio, même avec du bruit ajouté.
Barrière linguistique : les défis sont généralement disponibles uniquement en anglais, ce qui exclut les utilisateurs non anglophones.
Mauvaise UX : l’audio déformé est frustrant pour les internautes présentant une déficience auditive, un handicap cognitif, ou pour ceux/celles qui se trouvent dans un environnement bruyant.
Charge cognitive élevée : demande une attention soutenue et une transcription précise. Il s’agit d’un obstacle important pour de nombreux utilisateurs en situation de handicap.
Idéal pour
Les CAPTCHA audio doivent rester une solution de secours d’accessibilité de dernier recours. En raison de ses limites en matière de sécurité et d’opérabilité, les organisations et leurs administrateurs web sont fortement encouragées à envisager des alternatives sans barrières, comme les CAPTCHA Proof-of-Work.
CAPTCHA signal-based (invisible)
Les CAPTCHA signal-based, souvent appelés CAPTCHA invisibles, vérifient les utilisateurs en analysant des signaux comportementaux et environnementaux en arrière-plan, plutôt qu’en affichant un défi explicite. Les cookies, les mouvements de souris, les fingerprints de device et les schémas de session sont évalués pour distinguer les vrais utilisateurs des trafics et des opérations automatisés.
Si l’analyse en arrière-plan échoue, un défi secondaire comme un CAPTCHA image est généralement déclenché. Google reCAPTCHA v3 est l’exemple le plus répandu de cette approche.
Cas courants
Systèmes de scoring du risque : des solutions comme Google reCAPTCHA v3 utilisent une forme de CAPTCHA adaptatif, attribuant un score de probabilité basé sur des signaux comportementaux. reCAPTCHA v3 ajuste le niveau de friction selon le risque plutôt que d’afficher le même défi à tous les visiteurs.
Vérification du navigateur et de l’environnement : validation des fingerprints TLS, des cookies de session et des caractéristiques de l’appareil afin de distinguer les bots des humains.
Suivi comportemental : surveillance des mouvements de souris, des schémas de défilement, du timing des clics et des séquences d’interaction tout au long de la session.
Points forts
UX à moindre friction : les utilisateurs légitimes ne voient généralement aucun défi.
Amélioration des taux de conversion : réduit les abandons aux moments clés comme le checkout ou la création de compte.
Scalable : gère de gros volumes de trafic sans ajouter de latence mesurable pour les utilisateurs.
Points faibles
Taux élevé de faux positifs pour les personnes en situation de handicap : les utilisateurs malvoyants, qui s’appuient sur des technologies d’assistance ou interagissent de manière non standard, sont fréquemment classés à tort comme des bots. Les mécanismes de CAPTCHA signal-based évaluent le comportement par rapport à une norme. Toute déviation, même légitime, peut déclencher un faux positif.
Préoccupations majeures en matière de confidentialité : repose sur un suivi comportemental continu et une collecte de données intersites, ce qui soulève de sérieux enjeux de conformité RGPD et CCPA.
Scoring opaque : les opérateurs ne peuvent souvent pas déterminer pourquoi certains utilisateurs sont bloqués, ce qui complique la correction des rejets abusifs.
Risques pour la souveraineté des données de l’UE : les principaux fournisseurs, comme Google reCAPTCHA v3, transfèrent les données des utilisateurs vers des serveurs situés hors de l’UE, ce qui peut enfreindre les exigences du GDPR. Vérifiez votre site web avec le Scanner de Souveraineté des Données de Friendly Captcha.
Idéal pour
Les plateformes e-commerce ou SaaS où une UX fluide et les taux de conversion sont prioritaires. Utilisez un CAPTCHA signal-based lorsque les obligations de protection des données et le risque d’exclure des utilisateurs en situation de handicap sont des compromis acceptables.
CAPTCHA Proof-of-Work
Un CAPTCHA Proof-of-Work utilise un puzzle cryptographique résolu invisiblement par l’appareil de l’utilisateur, sans aucune interaction manuelle. Pendant que l’utilisateur remplit un formulaire, ce CAPTCHA moderne fonctionne entièrement en arrière-plan et résoud le défi en quelques secondes.
Les implémentations modernes comme Friendly Captcha évaluent également des signaux de risque avancés. Friendly Captcha ajuste dynamiquement la difficulté du puzzle en fonction d’une évaluation de menace en temps réel, combinant une sécurité forte avec une expérience utilisateur totalement fluide.
Cas courants
Puzzles cryptographiques en arrière-plan : l’appareil de l’utilisateur résout invisiblement un défi de calcul pendant que l’utilisateur interagit avec un formulaire. Aucune saisie n’est requise.
Proof-of-Work adaptative : c’est réellement l’une des approches CAPTCHA les plus récentes, née de l’automatisation toujours plus sophistiquée et de l’évolution des schémas d’attaque. La difficulté du défi s’adapte en temps réel selon des signaux d’évaluation du risque comme l’adresse IP et les schémas de requêtes.
Vérification hybride : combine le puzzle cryptographique avec une analyse passive des signaux (par ex. métadonnées de requête, contexte de session) pour plus de précision, sans friction supplémentaire pour l’utilisateur.
Points forts
Totalement invisible : aucun défi, aucune interruption, aucune charge cognitive. Les utilisateurs ne remarquent jamais les CAPTCHA Proof-of-Work.
Accessible by design : ne nécessite aucune interaction visuelle, audio ou manuelle, ce qui le rend intrinsèquement conforme aux WCAG et utilisable par tous.
Entièrement conforme RGPD et CCPA : aucune donnée personnelle, aucun cookie de suivi comportemental, et aucune collecte de données intersite n’est nécessaire.
Résistant à l’IA et aux bots : le coût de calcul nécessaire pour résoudre les puzzles à grande échelle rend les attaques automatisées économiquement impraticables, y compris pour les bots avancés et les scripts sophistiqués.
Souveraineté des données dans l’UE : Friendly Captcha opère des centres de données dédiés dans l’UE, garantissant que les données ne quittent jamais la juridiction européenne.
Points faibles
Dépendance à l’appareil : sur du matériel très ancien ou limité en ressources, la résolution du puzzle cryptographique peut ajouter un léger délai d’une à deux secondes.
Nécessite JavaScript : le widget repose sur JavaScript côté client. Les environnements où JS est désactivé nécessitent une solution de secours.
Effort d’intégration : la mise en œuvre nécessite d’intégrer un widget JavaScript et de vérifier le jeton de solution côté serveur, ce qui est un peu plus poussé qu’un simple champ de formulaire HTML.
Idéal pour
Toute organisation ayant de fortes exigences en matière de sécurité et de protection des données : entreprises, organismes du secteur public, établissements de santé, services financiers, plateformes e-commerce et toute entreprise opérant sous RGPD, CCPA ou d’autres réglementations de confidentialité similaires. Le CAPTCHA Proof-of-Work est aussi le choix idéal pour les organisations qui doivent respecter des normes d’accessibilité comme WCAG 2.2 ou l’European Accessibility Act (EAA).
Tableau comparatif des CAPTCHA : sécurité, UX, confidentialité et accessibilité
| Type de CAPTCHA | Sécurité | Expérience utilisateur | Conformité à la confidentialité | Accessibilité | Effort d’intégration |
|---|---|---|---|---|---|
|
Textuel |
Faible |
Faible |
✅ Oui |
❌ Non |
Facile |
|
Image |
Faible |
Faible |
❌ Non |
❌ Non |
Facile |
|
Audio |
Très faible |
Faible |
✅ Oui |
⚠️ Limitée |
Facile |
|
Invisible |
Moyenne |
Élevée |
❌ Non |
⚠️ Limitée |
Moyen |
|
Élevée |
Élevée |
✅ Oui |
✅ Oui |
Moyen |
Quelques observations ressortent :
La sécurité et l’UX vont rarement de pair, sauf avec le CAPTCHA Proof-of-Work, qui offre les deux sans compromis.
La conformité RGPD élimine la plupart des options grand public pour les organisations basées dans l’UE. Les CAPTCHA image (Google reCAPTCHA v2) et signal-based (Google reCAPTCHA v3) transfèrent tous deux des données vers des serveurs américains, ce qui les rend problématiques au regard du GDPR.
L’accessibilité est le point faible des anciens types de CAPTCHA. Les CAPTCHA audio, textuels ou image créent tous des obstacles importants pour les personnes en situation de handicap. Il s’agit d’une préoccupation juridique croissante dans le cadre de l’European Accessibility Act (EAA), entré en vigueur en juin 2025.
Le Proof-of-Work est le seul type de CAPTCHA moderne qui obtient des scores positifs sur les cinq dimensions, ce qui en fait la recommandation par défaut pour les organisations qui ne peuvent faire aucun compromis sur la sécurité, la confidentialité ou l’inclusivité.
Comment choisir le bon type de CAPTCHA
Chacun de ces cinq exemples de CAPTCHA a ses cas d’utilisation de prédilection :
CAPTCHA textuel : les CAPTCHA textuels se trouvent encore dans les systèmes legacy et certains services publics anciens, où la stabilité et la compatibilité ascendante sont les préoccupations principales.
CAPTCHA image : adapté aux petits sites web ou aux projets hobby qui ont besoin d’une solution reconnaissable, facile à déployer, et qui n’ont pas d’obligations GDPR.
CAPTCHA audio : principalement utile comme solution de repli pour l’accessibilité aux côtés des CAPTCHA visuels. Le CAPTCHA audio ne peut pas être une solution autonome.
CAPTCHA signal-based (invisible) : une option viable pour les plateformes e-commerce ou SaaS où l’UX sans friction et les taux de conversion sont prioritaires, à condition que les compromis en matière de protection des données soient acceptables.
CAPTCHA Proof-of-Work : le bon choix pour toute organisation qui ne peut pas compromettre la sécurité, la confidentialité ou l’accessibilité. Cela comprend les entreprises, les organismes publics et les sociétés opérant sous RGPD.
Pour la plupart des organisations modernes, toutefois, le défi va au-delà du simple choix d’un type de CAPTCHA. Les cybermenaces évoluent en continu, et les entreprises doivent s’assurer que leur solution CAPTCHA peut s’adapter aux nouveaux schémas d’attaque sans créer de nouvelle friction pour les utilisateurs légitimes, ni créer de nouveaux risques.
C’est là que Friendly Captcha se distingue. Plutôt que d’imposer un compromis entre sécurité, opérabilité et privacy, l’approche Proof-of-Work de Friendly Captcha offre les trois à la fois. La nouvelle technologie CAPTCHA de Friendly Captcha permet aux organisations de :
Protéger chaque parcours utilisateur, de la connexion et l’inscription jusqu’au checkout et à la récupération de mot de passe, avec une solution unique et cohérente.
Garder une longueur d’avance sur l’évolution des techniques de bots sans dépendre d’interactions utilisateur ni de données comportementales susceptibles de soulever des problèmes de conformité.
Répondre aux exigences d’accessibilité et de protection des données dès le départ, sans configuration supplémentaire.
Conclusion
En 2026, le CAPTCHA reste essentiel, mais choisir le bon type de CAPTCHA est plus important que jamais. Les CAPTCHA textuels, image et audio perdent du terrain face aux bots alimentés par l’IA tout en créant de véritables obstacles pour les utilisateurs légitimes.
Pour les entreprises qui ont besoin de sécurité CAPTCHA, de conformité et d’accessibilité sans compromis, le CAPTCHA Proof-of-Work est la réponse évidente. Friendly Captcha offre les trois : invisible, prêt à l’emploi, et hébergé entièrement dans l’UE.
Commencez à protéger votre site web dès aujourd’hui et essayez Friendly Captcha gratuitement.
FAQ
Il existe aujourd’hui cinq principaux types de CAPTCHA. CAPTCHA signifie Completely Automated Public Turing Test to tell computers and humans apart. Les 5 principaux types de CAPTCHA sont :
Les CAPTCHA textuels demandent aux utilisateurs de déchiffrer et de saisir des caractères déformés.
Les CAPTCHA image présentent des puzzles visuels comme une sélection d’objets dans une grille.
Les CAPTCHA audio diffusent des caractères ou des mots prononcés que l’utilisateur doit transcrire.
Les CAPTCHA signal-based (invisible) analysent en arrière-plan des signaux comportementaux et liés au device sans afficher de défi visible.
Les CAPTCHA Proof-of-Work modernes comme Friendly Captcha résolvent silencieusement un puzzle cryptographique sur l’appareil de l’utilisateur, sans aucune interaction.
Chaque type de CAPTCHA diffère fortement en matière de sécurité, d’accessibilité, d’expérience utilisateur et de conformité à la privacy.
Le CAPTCHA Proof-of-Work est le seul type entièrement conforme au RGPD et au CCPA par conception. Il ne nécessite aucun suivi comportemental, aucun cookie et aucune collecte de données intersite. Des solutions comme Friendly Captcha traitent toutes les données exclusivement sur des serveurs de l’UE, garantissant une souveraineté totale des données. Les CAPTCHA basés sur des images et les CAPTCHA signal-based, en particulier Google reCAPTCHA v2 et v3, transmettent les données des utilisateurs vers des serveurs basés aux États-Unis, ce qui crée d’importants risques de conformité pour les organisations soumises au GDPR.
Oui. Les bots modernes résolvent de manière fiable les CAPTCHA textuels et les CAPTCHA image grâce à la reconnaissance optique de caractères et à l’intelligence artificielle. Même les prompts de caractères aléatoires, autrefois considérés comme plus difficiles à casser, sont désormais traités de manière constante par des scripts avancés, ce qui alimente une course permanente entre les bots et les développeurs de CAPTCHA.
Les API de reconnaissance vocale gèrent les CAPTCHA audio avec la même fiabilité. Les CAPTCHA signal-based peuvent être contournés en imitant des schémas comportementaux humains. Les CAPTCHA Proof-of-Work adoptent une approche fondamentalement différente : au lieu de tester la perception, ils imposent un coût de calcul à chaque requête. Cela rend les attaques automatisées à grande échelle économiquement impraticables, quel que soit le niveau de sophistication du bot.
Oui, un CAPTCHA Proof-of-Work est le type de CAPTCHA le plus accessible. Comme le puzzle est résolu entièrement en arrière-plan par l’appareil de l’utilisateur, aucune reconnaissance visuelle, transcription audio ou interaction manuelle n’est requise. Cela rend les CAPTCHA Proof-of-Work intrinsèquement compatibles avec les lecteurs d’écran, la navigation au clavier et d’autres technologies d’assistance. Friendly Captcha est conçu pour répondre aux exigences WCAG 2.2 niveau AA et prend en charge la conformité à l’European Accessibility Act (EAA), devenu applicable en juin 2025.
Dans la plupart des cas, le puzzle cryptographique est résolu en quelques secondes, entièrement en arrière-plan pendant que l’utilisateur remplit le formulaire. Sur les appareils modernes, les utilisateurs ne remarquent aucun délai. Sur du matériel ancien ou limité en ressources, le processus peut durer un peu plus longtemps, mais l’utilisateur n’a jamais à attendre ni à effectuer une action. La difficulté du puzzle s’ajuste dynamiquement en fonction de signaux de risque en temps réel, de sorte que les requêtes à faible risque sont résolues plus vite tandis que le trafic suspect fait face à une barrière de calcul plus élevée.
English 
German 
French 
Spanish 
Italian 
Portuguese