CAPTCHA.

Le CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart) propose une tâche facile pour un humain mais difficile pour un logiciel : texte déformé, sélection d'images, invites audio ou analyse comportementale invisible. Le terme a été forgé dans un article de 2003 par Luis von Ahn, Manuel Blum, Nicholas Hopper et John Langford à Carnegie Mellon, présentant le défi comme un « problème d'IA difficile » — tout programme qui le résout fait progresser l'IA, de sorte que le test reste utile dans les deux cas. reCAPTCHA, le projet dérivé de la même équipe qui a externalisé la numérisation de livres au moyen de défis, a été racheté par Google en 2009.

flowchart TD
  U[Le visiteur soumet un formulaire] --> W{CAPTCHA / contrôle de risque}
  W -->|signaux : souris, IP, navigateur| SC[Notation de la requête]
  SC -->|forte confiance : humain| P[Autoriser]
  SC -->|score faible| CH[Défi interactif]
  CH -->|réussit| P
  CH -->|échoue / ferme de solveurs| B[Bloquer ou renforcer]

Les services modernes tels que Google reCAPTCHA v3, hCaptcha et Cloudflare Turnstile notent les requêtes à partir des signaux du navigateur, de la réputation IP et des schémas d'interaction plutôt que d'afficher systématiquement une énigme. Les CAPTCHA réduisent le credential stuffing, le scraping, la création de faux comptes et le spam de commentaires, mais ce n'est pas de l'authentification : les défis d'image et de texte sont régulièrement déjoués à grande échelle par les modèles modernes de vision par ordinateur et par des fermes de solveurs humains rémunérées (des services comme 2Captcha facturent des milliers de résolutions pour quelques dollars). Ils soulèvent aussi des préoccupations d'accessibilité et de vie privée. Traitez le CAPTCHA comme une couche parmi le rate limiting, le MFA, la gestion des bots et l'analyse comportementale, plutôt que comme une barrière autonome.