Les différents types de captcha

Cette page présente une liste non exhaustive des différents types de captcha qu'on peut trouver sur internet.

Texte déformé

On présente à l'utilisateur une image contenant un texte déformé (déformation, flou...), pour réussir le test il faut écrire dans un champ le texte figurant sur l'image.

Le service Recaptcha utilise ce genre de captcha :

Recaptcha offre l'avantage d'être accessible (aux non-voyants par exemple) en offrant en alternative un captcha audio.

Captcha 3D

Le fonctionnement est similaire au texte déformé, si ce n'est qu'ici le texte est généré par image de synthèse en 3D :

Les captcha 3D résistent pour le moment un peu mieux aux robots que les textes déformés (pour lesquels les algorithmes decaptcher sont de plus en plus efficaces).

Exemple : ocr-research.org.ua.

Question / réponse

On pose une question simple (évidente, triviale) à l'utilisateur, à laquelle tout être humain normalement constitué est capable de réponde, par exemple la célèbre question à la con : Quelle est la couleur du cheval blanc d'Henri IV ?

Aussi rudimentaire que cela puisse paraître, ces captchas sont très efficaces et relativement simples à mettre en oeuvre.

C'est particulièrement intéressant pour les sites non anglophones. En effet les robots spammeurs peuvent essayer de trouver les réponses aux questions fréquentes (avec des dictionnaires par exemple), alors que c'est plus compliqué lorsque la question est posée en Français par exemple.

Captcha audio

On fait écouter un extrait sonore dans lequel une voix énonce des chiffres au milieu d'un bruit ambiant, le but est de recopier ces chiffres dans un champ texte, comme le captcha texte déformé.

Recaptcha propose ce mode de fonctionnement alternative pour des raisons d'accessibilité.

Champs cachés

Cette protection est "passive", c'est à dire qu'elle ne nécessite aucune action de la part de l'utilisateur (aucun champs à remplir ni test à effectuer).

Le principe est très simple : on insère des champs inutiles dans le formulaire, et on masque ces champs en CSS (avec des display:none; ou des position:absolute; par exemple).

Certains bots sont trop stupides pour se rendre compte que ces champs sont invisibles, alors ils vont les remplir au lieu de les laisser vide. Du coup on peut facilement détecter les soumissions automatiques côté serveur, simplement en vérifiant si ces champs spécifiques sont renseignés ou pas.

C'est une démarche inverse aux autres captchas. Ici on considère par défaut que l'utilisateur est un humain, à moins qu'il ne prouve le contraire (c'est un ordinateur) en remplissant les mauvais champs. Alors que les autres captchas considèrent que tous les utilisateurs sont des machines, à moins qu'il ne prouve le contraire en réussissant le test de Turing.

Test de compétence

Ce type de captcha est assez rare, il s'agit de poser une question à l'utilisateur, mais une question assez technique, par exemple :

Comme vous pouvez le voir, il n'est pas certain que ce test soit plus simple à résoudre pour un humain que pour une machine.

Il faut se méfier des captchas trop compliqués qui risquent de faire fuir les utilisateurs.

Ce genre de test très pointu peut-être intéressant sur un site très ciblé (un site sur l'électronique par exemple).

Exemple : Captcha resisty, lecture d'une résistance électronique.

Si vous voulez en savoir plus c'est par ici : nombre maximum de 256 colonnes sur excel.

Service tiers (API)

Il s'agit là aussi d'une protection passive, comme les champs cachés.

Le principe est de soumettre les données envoyées par l'utilisateur à un service de lutte contre le spam, comme Akismet ou Stop Forum Spam.

Annonce publicitaire

Le mode de fonctionnement est proche des captchas texte déformés, sauf qu'au lieu de présenter un texte déformé, on présente un logo d'une marque.

Ça permet de faire d'une pierre 2 coups : le captcha fait aussi office de publicité (advertising) !

Exemple: solvemedia.com.

Test de logique

Le principe est de faire passer à l'utilisateur un test de logique très simple, ludique et interactif.

Ces captchas utilisent généralement Javascript ou Flash, et demandent à l'utilisateur de faire un minijeu, une sorte de puzzle ou une action basique comme déplacer une glissière (comme slidelock, un plugin jQuery), ou encore de trier une liste (par glisser-déposer).

D'autres systèmes utilisent les réseaux sociaux, par exemple facebook a expérimenté le "Friend recognition" pour lutter contre les hackers, on vous présente une photo de vos amis en vous demandant leur nom.

Exemples :

• Confident Captcha
  On présente à l'utilisateur un tableau d'images hétérogènes et on lui demande de cliquer successivement sur 4 images : la maison, le château, l'arbre... :
  
  
  
  
• KittenAuth
  Le principe est le même : un tableau d'image présentant des photos d'animaux, le but étant de cliquer sur les petits chatons.
  Note importante : ce type de captcha n'est pas recommandé par le CCC, le comité contre les chats.

Encore faim ? allez lire ça : design d'un portfolio !