CAPTCHA mathématique : fonctionnement, exemples et pourquoi il ne suffit plus

Qu’est-ce qu’un CAPTCHA mathématique ?

Un CAPTCHA mathématique est un test défi-réponse qui demande aux utilisateurs de résoudre un problème arithmétique simple avant de soumettre un formulaire web. Les questions courantes ressemblent à ceci : « Combien fait 4 + 9 ? », « Résoudre : 15 − 7 = ? », ou « Entrez le résultat : 6 × 3. » Si l’utilisateur fournit la bonne réponse, le formulaire accepte la soumission. Sinon, il la rejette comme probablement automatisée.

L’idée derrière un CAPTCHA mathématique est la même que pour tous les types de CAPTCHA : créer un test trivial pour les humains et difficile pour les ordinateurs. Au début des années 2000, quand la plupart des bots étaient des scripts rigides sans aucune capacité cognitive, les questions arithmétiques constituaient une vraie barrière. Aujourd’hui, ce n’est plus le cas. Cet article explique comment fonctionnent les CAPTCHAs mathématiques, pourquoi ils posent de sérieux problèmes de sécurité et d’accessibilité, et ce que les propriétaires de sites devraient utiliser à la place.

Comment fonctionne un CAPTCHA mathématique

L’implémentation technique d’un CAPTCHA mathématique est volontairement simple, ce qui explique en grande partie pourquoi il reste si répandu dans les systèmes hérités.

1. Génération de la question — Le serveur génère une expression arithmétique aléatoire (le plus souvent une addition ou une soustraction, parfois une multiplication).
2. Affichage — L’expression apparaît dans le formulaire, soit comme texte HTML simple, soit comme image rendue.
3. Saisie de l’utilisateur — L’utilisateur lit la question, calcule la réponse et la saisit dans un champ dédié.
4. Validation — Lors de la soumission du formulaire, le serveur compare la valeur saisie à la réponse attendue. Une discordance déclenche un message de rejet.

Exemples de CAPTCHAs mathématiques

Voici des formats de CAPTCHA mathématique représentatifs que l’on rencontre sur le web :

• Combien fait 6 + 4 ? → réponse attendue : 10
• 12 – 5 = ? (rendu sous forme d’image) → réponse attendue : 7
• Entrez la somme de 8 et 3 : → réponse attendue : 11
• Un « CAPTCHA numérique » avec le libellé Entrez le résultat : 9 + 6 → réponse attendue : 15

Cette simplicité est l’attrait : pas d’API tierce, pas de compte, pas de coût récurrent, et seulement quelques lignes de code côté serveur. Il est intégré dans d’anciens plugins WordPress comme Really Simple CAPTCHA, dans le logiciel de forum phpBB et dans d’innombrables formulaires de contact PHP personnalisés. Dans de nombreux cas, les propriétaires de sites n’ont pas revu leur choix de CAPTCHA depuis la configuration initiale — le CAPTCHA mathématique est simplement toujours là par défaut.

CAPTCHA mathématique et sécurité : la réalité

C’est là que l’écart critique entre perception et réalité devient apparent. Un CAPTCHA mathématique donne l’impression d’une protection. En pratique, face à tout attaquant disposant d’un minimum de compétences techniques, il n’en offre aucune.

L’IA résout les CAPTCHAs mathématiques instantanément

La démonstration la plus éloquente du problème : prenez une capture d’écran d’un CAPTCHA mathématique et collez-la dans ChatGPT, Claude, Gemini ou n’importe quel modèle d’IA multimodal. La bonne réponse apparaît avant qu’un utilisateur humain ait même fini de lire la question.

Résoudre des CAPTCHAs mathématiques ne nécessite aucune connaissance en programmation, aucune infrastructure, aucun outil dédié — juste un assistant IA que toute personne disposant d’un accès à internet possède déjà. Tout opérateur de bot qui intègre un appel à une API d’IA pour l’extraction d’image en texte et l’évaluation arithmétique peut automatiser cela entièrement en moins d’une journée. L’hypothèse de sécurité fondamentale des CAPTCHAs mathématiques — que l’arithmétique est difficile pour les ordinateurs — est fausse depuis des années.

Pour les CAPTCHAs mathématiques rendus en texte (où la question apparaît comme texte HTML plutôt que comme image), la barrière est encore plus basse. Un simple motif regex qui extrait deux nombres et un opérateur, suivi d’une arithmétique basique, résout chaque question en quelques millisecondes. Aucune IA nécessaire.

Des outils solveurs de CAPTCHAs mathématiques gratuits existent

Des scripts solveurs de CAPTCHAs mathématiques dédiés sont disponibles librement et activement maintenus. GitHub héberge des bibliothèques Python et des extensions de navigateur conçues spécifiquement pour automatiser les soumissions de formulaires en résolvant des défis arithmétiques. Ce sont des outils pratiques utilisés par des spammeurs, des scrapers et des bots de soumission massive.

La sécurité d’un CAPTCHA mathématique est donc conditionnelle à l’hypothèse qu’un attaquant soit ne connaît pas ces outils, soit ne peut pas consacrer quelques heures à les trouver. Ce n’est pas un modèle de menace réaliste pour tout site traitant des données sensibles, des inscriptions d’utilisateurs ou des formulaires commerciaux.

Ce contre quoi un CAPTCHA mathématique protège — et ce contre quoi il ne protège pas

Pour être équitable, un CAPTCHA mathématique dissuade encore :

• Les bots totalement rudimentaires sans capacité d’analyse de texte
• Les soumissions automatisées utilisant les scripts « remplir et soumettre » les plus primitifs

Un CAPTCHA mathématique ne protège pas contre :

• Tout bot avec un OCR basique, des expressions régulières ou une intégration IA
• Les scrapers automatisés et les spammeurs de formulaires de contact
• L’abus de création de comptes, le credential stuffing ou les bots de fraude à la carte
• Les attaques volumétriques — un CAPTCHA mathématique n’ajoute aucun coût computationnel, ne ralentit pas les requêtes et ne peut pas augmenter sa difficulté dynamiquement

Fondamentalement, un CAPTCHA mathématique ne détecte pas les bots. Il vérifie seulement si un chiffre correct a été saisi. Un bot capable de lire et de calculer réussit à chaque fois — il peut facilement soumettre un formulaire 1 000 fois en quelques minutes. Il n’y a pas d’analyse comportementale, pas de mécanisme de preuve de travail, pas de scoring de bot — juste une question statique avec une réponse prévisible et calculable. La conclusion pratique pour tout modèle de menace sérieux : un CAPTCHA mathématique équivaut à aucun CAPTCHA.

CAPTCHA mathématique et accessibilité : un risque de conformité pour les entreprises de l’UE

La sécurité est une dimension du problème. L’accessibilité en est une autre — et de plus en plus celle avec des conséquences juridiques directes.

Charge cognitive et expérience utilisateur

Résoudre un problème arithmétique, même simple, oblige les utilisateurs à interrompre ce qu’ils font. Ils doivent :

1. Détourner leur attention vers le CAPTCHA
2. Lire et analyser une expression mathématique
3. Effectuer un calcul mental
4. Saisir correctement le résultat avant de revenir au reste du formulaire

Pour la plupart des utilisateurs, cela ne prend que quelques secondes. Mais ces secondes créent des frictions — l’abandon de formulaire augmente chaque fois que des étapes supplémentaires sont ajoutées au flux de soumission. Plus significativement, ce processus n’est pas également facile pour tous.

Les utilisateurs atteints de dyscalculie (une difficulté d’apprentissage spécifique affectant le traitement mathématique) trouvent les tâches arithmétiques disproportionnellement difficiles. Les utilisateurs avec des handicaps cognitifs, un TDAH ou des changements cognitifs liés à l’âge peuvent éprouver des difficultés avec le changement de contexte et le calcul requis. Les CAPTCHAs mathématiques offrent rarement une alternative audio ou un mécanisme de secours non visuel — un utilisateur qui se fie à un lecteur d’écran peut se retrouver face à une question arithmétique sans moyen accessible de la compléter.

Loi européenne sur l’accessibilité et WCAG 2.1

Ce n’est pas seulement une question d’UX — c’est une exposition juridique pour les entreprises opérant dans l’Union européenne.

La Loi européenne sur l’accessibilité (EAA) est entrée en vigueur le 28 juin 2025, exigeant que les produits et services numériques proposés aux consommateurs dans l’UE respectent la norme d’accessibilité EN 301 549, qui incorpore WCAG 2.1 au niveau AA. L’EAA couvre la plupart des services web B2C — e-commerce, plateformes SaaS, applications web publiques, et plus encore.

Critères WCAG 2.1 pertinents que les CAPTCHAs mathématiques peuvent ne pas respecter :

• Critère de succès 1.1.1 (Contenu non textuel) — exige que les CAPTCHAs fournissent une alternative textuelle décrivant leur objectif et une alternative pour les utilisateurs qui ne peuvent pas compléter le format principal. Un CAPTCHA mathématique sans chemin alternatif audio ou visuel ne respecte pas cette exigence.
• Critère de succès 3.3.2 (Étiquettes ou instructions) — les formulaires doivent fournir des instructions suffisamment claires pour que les utilisateurs puissent les compléter. Un champ arithmétique sans étiquette claire ne satisfait souvent pas à cette exigence.
• Les propres recommandations du WCAG sur les CAPTCHAs stipulent explicitement que si un CAPTCHA est utilisé, au moins deux modalités différentes doivent être proposées (par exemple, une version visuelle et une version audio).

Un CAPTCHA mathématique qui affiche une équation textuelle sans alternative audio et sans chemin de secours accessible ne respecte pas ces exigences. Pour les entreprises de l’UE proposant des services numériques aux consommateurs, cela crée une exposition réelle en matière de conformité.

Où les CAPTCHAs mathématiques apparaissent encore aujourd’hui

Malgré ces limitations, les CAPTCHAs mathématiques restent répandus. Ils persistent principalement parce qu’ils sont inclus comme paramètres par défaut dans des outils largement utilisés et ont été configurés il y a des années sans jamais être réexaminés :

• Plugins de formulaires de contact WordPress — « Really Simple CAPTCHA » et des plugins hérités similaires restent installés sur des millions de sites
• phpBB et autres logiciels de forum — CAPTCHA mathématique intégré comme défi d’inscription par défaut
• Formulaires PHP et Python personnalisés — une implémentation DIY courante pour les développeurs évitant les dépendances tierces
• Sites gouvernementaux et institutionnels — anciens sites construits avant les standards modernes de CAPTCHA, jamais mis à jour
• Caisses e-commerce — anciennes configurations Magento, PrestaShop et WooCommerce avec des implémentations de CAPTCHA personnalisées

Dans de nombreux cas, le CAPTCHA mathématique n’a jamais été une décision de sécurité délibérée — c’était simplement l’option la plus facile disponible à l’époque et n’a jamais été réévalué depuis.

Que faut-il utiliser à la place d’un CAPTCHA mathématique ?

Puisqu’un CAPTCHA mathématique n’est plus adéquat, par quoi le remplacer ? La bonne réponse dépend du niveau de protection dont le site a réellement besoin.

Champs honeypot

Un honeypot est un champ de formulaire invisible, caché aux utilisateurs humains via CSS mais visible pour les bots qui analysent le HTML brut. Si le champ est rempli lors de la soumission, le serveur identifie la requête comme automatisée et la rejette silencieusement.

Les honeypots :

• Ne nécessitent aucune interaction de l’utilisateur
• N’ajoutent aucune charge cognitive ni friction
• Sont gratuits à implémenter avec quelques lignes de code
• Fonctionnent contre les bots peu sophistiqués

La limite : les bots modernes peuvent détecter et délibérément ignorer les champs honeypot. Un honeypot fonctionne bien comme première couche, mais ne constitue pas une protection suffisante contre un attaquant ciblé ou techniquement capable seul.

Limitation de débit et signaux côté serveur

Limiter les soumissions de formulaires par adresse IP, par session ou par fenêtre temporelle ajoute des frictions pour les bots qui s’appuient sur le volume. Combiné à des heuristiques côté serveur — vitesse de soumission inhabituelle, charges utiles identiques répétées, absence d’en-tête referer — cela permet d’intercepter une partie du trafic automatisé sans ajouter de complexité côté utilisateur.

La limitation de débit fonctionne mieux en combinaison avec d’autres mesures. Seule, elle est contournable par rotation d’IP, ce qui est simple pour la plupart des bots.

TrustCaptcha : protection invisible contre les bots, conçue pour l’Europe

Pour les sites qui ont besoin d’une protection fiable contre les bots sans sacrifier l’accessibilité ni la conformité réglementaire, TrustCaptcha représente une approche fondamentalement différente du problème.

Plutôt que de demander aux utilisateurs de répondre à une question, TrustCaptcha fonctionne entièrement en arrière-plan grâce à deux mécanismes complémentaires :

Preuve de travail — le navigateur de l’utilisateur résout automatiquement un défi cryptographique. Les utilisateurs légitimes ne remarquent rien ; TrustCaptcha démarre tôt et se termine avant que l’utilisateur ait fini de remplir le formulaire. Pour les bots qui tentent des attaques à grande échelle, le coût computationnel de la résolution de ces défis rend l’automatisation massive économiquement non viable.

Scoring de bot — chaque requête est évaluée par rapport à des signaux techniques et comportementaux. Lorsque le score de risque augmente — par exemple lors d’un pic de soumissions automatisées — TrustCaptcha augmente dynamiquement la difficulté du défi, augmentant le coût de l’attaque sans affecter l’expérience des vrais utilisateurs.

Le résultat du point de vue de l’utilisateur : rien ne se passe. Pas de question, pas d’arithmétique, pas de grille d’images, pas d’interruption. Du point de vue du bot : il existe une vraie barrière évolutive qui devient plus difficile à contourner sous charge.

TrustCaptcha est conçu spécifiquement pour l’environnement de conformité européen :

• Sans cookie et aucun stockage navigateur utilisé
• Hébergé dans l’UE — toutes les données traitées dans des centres de données certifiés UE, pas de transferts vers des pays tiers
• Conforme au RGPD — un accord de traitement des données (DPA) est fourni à chaque client
• Accessible par conception — comme il n’y a pas de défi visuel ou cognitif, il n’y a pas de mode d’échec en matière d’accessibilité WCAG ; il fonctionne de façon transparente avec les lecteurs d’écran et les technologies d’assistance

Pour les entreprises de l’UE qui remplacent un CAPTCHA mathématique et doivent satisfaire simultanément les exigences d’accessibilité de l’EAA et le RGPD, TrustCaptcha répond à toutes ces préoccupations avec une seule intégration.

Points clés à retenir

Les CAPTCHAs mathématiques étaient un outil raisonnable à une autre époque. Aujourd’hui, ils se situent à l’intersection de trois problèmes : ils sont trivialement contournés par toute IA ou solveur open source, ils imposent une charge cognitive aux utilisateurs, et ils créent une exposition en matière de conformité à l’accessibilité en vertu du droit européen.

La bonne nouvelle : les remplacer ne nécessite pas de demander aux utilisateurs d’en faire plus — il s’agit de ne rien leur demander du tout. Les champs honeypot, la limitation de débit et la détection moderne invisible de bots s’améliorent chacun par rapport à un CAPTCHA mathématique dans chaque dimension mesurable. Pour les entreprises qui ont besoin d’une vraie protection et d’une conformité européenne, la voie à suivre est invisible par conception.

Essayez TrustCaptcha gratuitement

Prêt à remplacer votre CAPTCHA mathématique par une protection qui fonctionne vraiment ? Essayez TrustCaptcha gratuitement et protégez vos formulaires invisiblement contre les bots et le spam.