Comparatif

Une alternative à reCAPTCHA qui n'affiche jamais de défi

Ce que reCAPTCHA vous coûte réellement en conversion et en exposition des données, où ses scores atteignent leurs limites, et en quoi le scoring de réputation diffère en pratique.

Pourquoi les équipes commencent à chercher

Presque personne ne remplace reCAPTCHA parce qu'il n'arrête pas les bots. On le remplace pour trois raisons qui n'ont rien à voir avec la qualité de détection.

La conversion. Chaque défi interactif est une étape de votre tunnel où une part de vrais clients abandonne. Sur un paiement ou une inscription, cette perte est mesurable et définitive — celui qui a abandonné ne revient pas retenter le puzzle.

L'accessibilité. Les grilles d'images et les défis audio sont un obstacle pour les personnes ayant une déficience visuelle ou motrice, et « sélectionnez tous les bus » met en échec ceux qui n'ont jamais vu un bus scolaire américain. C'est une question de conformité dans un nombre croissant de juridictions.

Le flux de données. reCAPTCHA envoie des signaux de visiteurs à Google et les corrèle avec le graphe d'identité publicitaire de Google. Pour un opérateur européen, c'est un transfert à évaluer, un sous-traitant à nommer et un DPA à signer — et de plus en plus une question posée par un client avant de signer.

Où le modèle de score s'épuise

reCAPTCHA v3 renvoie un score entre 0,0 et 1,0 et vous laisse la décision. Cela paraît souple et crée en pratique deux problèmes.

Le score est opaque. Vous ne pouvez pas voir quels signaux l'ont produit ; quand une vraie cliente obtient 0,1, vous n'avez rien à instruire et rien à régler. Le support reçoit un ticket auquel vous ne pouvez pas répondre.

Le seuil, c'est à vous de le deviner. Réglez-le strictement, vous bloquez des clients ; réglez-le largement, vous laissez passer des bots. La plupart des équipes s'arrêtent sur un chiffre et n'y reviennent jamais, faute d'une boucle de retour qui leur dise ce que ce chiffre a coûté.

Et un score bas n'a qu'un seul remède intégré : afficher un défi. Vous revoilà à l'étape de tunnel que vous vouliez supprimer.

Ce que Karma fait autrement

Karma note l'adresse, pas seulement la session, et ne se rabat jamais sur un défi.

Les signaux viennent de deux couches. Comportement : comment la session interagit réellement avec la page. Transport : les empreintes TLS JA3/JA3N et les paramètres HTTP/2, qui identifient la pile cliente et sont nettement plus difficiles à falsifier qu'une chaîne user-agent.

Le verdict part vers votre passerelle, qui laisse passer les humains et arrête les bots elle-même. Pas d'interstitiel, pas de puzzle, pas d'iframe tierce dans votre page.

Et la décision est explicable : le panneau montre les signaux derrière chaque verdict, si bien qu'un blocage contesté est quelque chose que vous pouvez examiner au lieu de devoir l'accepter.

Côte à côte

Le comparatif honnête, y compris là où reCAPTCHA a réellement l'avantage :

	reCAPTCHA v3	Karma
Défi visible	Sur les scores bas	Jamais
Signaux utilisés	Comportementaux, opaques	Comportementaux + empreintes TLS/HTTP2
Décision expliquée	Score seulement	Signaux affichés par verdict
Application	À construire depuis le score	Sur votre passerelle, depuis le verdict
Réputation inter-sites	Interne à Google	Votre base + liste partagée (sur option)
Les données partent vers	Google	Le collecteur Karma uniquement
Prix	Gratuit sous quota, puis par évaluation	Gratuit sous 25 000 verdicts, puis par offre
Maturité	Très large base déployée	Plus petite, plus récente

Migrer sans jour J

Vous n'avez pas à choisir dès le premier jour, et vous ne devriez pas.

Ajoutez le snippet Karma à côté de reCAPTCHA et laissez l'application désactivée. C'est l'offre Detect, et elle ne coûte rien. Pendant une semaine ou deux, les deux systèmes voient le même trafic et vous comparez les verdicts aux scores de reCAPTCHA sur des sessions que vous pouvez réellement identifier — commandes abouties, clients connus, le scraper dont vous avez déjà connaissance.

Quand les verdicts vous paraissent justes, activez l'application sur votre passerelle et retirez l'appel à reCAPTCHA. Vos listes d'autorisation et de refus priment toujours sur la plateforme : un partenaire ou un robot dont vous dépendez peut être épinglé avant que vous ne basculiez quoi que ce soit.

FAQ

Existe-t-il une alternative à reCAPTCHA qui n'affiche pas de défi ?

Oui — la catégorie s'appelle généralement détection de bots invisible ou fondée sur la réputation. Karma note chaque session à partir de signaux comportementaux et de transport et transmet un verdict à votre passerelle, qui laisse passer ou arrête la requête elle-même. Rien n'est jamais affiché au visiteur : il n'y a donc aucune étape de tunnel où perdre des gens.

Pourquoi les équipes quittent-elles reCAPTCHA ?

Rarement pour la qualité de détection. Les trois raisons habituelles sont la perte de conversion à chaque défi, les obstacles d'accessibilité pour les personnes ayant une déficience visuelle ou motrice, et le flux de données vers Google, qui constitue au titre du RGPD un transfert à évaluer et un sous-traitant à nommer.

Quel est le problème du score de reCAPTCHA v3 ?

Il est opaque et le seuil, c'est à vous de le deviner. Vous ne voyez pas quels signaux ont produit un score, donc une vraie cliente à 0,1 ne vous donne rien à instruire ; et le seul remède intégré à un score bas est d'afficher un défi, ce qui remet l'étape de tunnel que vous vouliez supprimer.

Puis-je faire tourner Karma et reCAPTCHA en même temps ?

Oui, et c'est la manière sensée de migrer. Ajoutez le snippet Karma avec l'application désactivée — c'est l'offre gratuite Detect — et comparez les verdicts aux scores reCAPTCHA sur du trafic que vous pouvez identifier, pendant une ou deux semaines. N'activez l'application que lorsque les verdicts vous paraissent justes.