Quel est le meilleur CAPTCHA ?
Il n’existe pas un seul meilleur CAPTCHA, seulement celui qui correspond à ce qui compte le plus pour vous. Si le prix décide, Cloudflare Turnstile est difficile à battre : il est gratuit avec des défis illimités. reCAPTCHA a du sens si vous travaillez déjà dans Google Cloud et voulez un score de risque réglable, et si les données doivent rester dans l’UE sans que les visiteurs aient rien à résoudre, TrustCaptcha et Friendly Captcha conviennent le mieux.
hCaptcha fait figure d’exception. Son offre gratuite affiche toujours des défis d’images, et le mode passif qui les masque coûte 99 $ par mois en facturation annuelle. Cela convient aux équipes qui veulent un défi familier sans Google, beaucoup moins à celles qui cherchent surtout à réduire les clics sur le formulaire d’inscription.
Cette page compare les cinq fournisseurs que la plupart des équipes retiennent. Si vous quittez Google en particulier, notre liste des alternatives à reCAPTCHA passe en revue sept options, dont des solutions open source à héberger vous-même.
Comparatif CAPTCHA : cinq fournisseurs côte à côte
Le tableau place les cinq côte à côte sur les points qui décident en général.
| Google reCAPTCHA | hCaptcha | Cloudflare Turnstile | Friendly Captcha | TrustCaptcha | |
|---|---|---|---|---|---|
| Tâche visible | v2 : case à cocher, grilles d'images en cas de doute ; v3 : aucune | Défis d'images sur l'offre gratuite ; mode passif dès Pro | Pas de puzzle ; le mode managed peut afficher une case à cocher | Aucune (preuve de travail) | Aucune (preuve de travail) |
| Cookies | Oui, _GRECAPTCHA, classé nécessaire | Oui, classés strictement nécessaires | Non précisé pour le widget | Aucun | Aucun |
| Siège de l'entreprise | États-Unis | États-Unis | États-Unis | Allemagne | Allemagne |
| Lieu de traitement | Variable, demande un examen juridique | Tout pays, y compris les États-Unis | Variable, demande un examen juridique | Endpoint UE à partir de l'offre Advanced | Centres de données dans l'UE |
| Offre gratuite | 10 000 évaluations par mois et par organisation | Offre Basic, 0 $ | Challenges illimités, jusqu'à 20 widgets | Sites non commerciaux, 1 000 requêtes par mois | Sites non commerciaux, 500 vérifications par mois |
| Payant dès | 8 $ par mois forfaitaires jusqu'à 100 000 | 99 $ par mois en facturation annuelle (Pro) | Enterprise, sur demande | 9 € par mois (Starter, 1 000 requêtes) | 8 € par mois (Hobby, 1 000 vérifications) |
Prix par mois : reCAPTCHA et hCaptcha en USD, Friendly Captcha et TrustCaptcha en EUR. Les prix de TrustCaptcha s’entendent hors TVA. hCaptcha Pro coûte 139 $ en facturation mensuelle.
hCaptcha vs reCAPTCHA
Ce sont deux services américains, et tous deux peuvent placer une grille d’images devant vos visiteurs. La différence tient à la fréquence. reCAPTCHA v2 n’affiche des images qu’en cas de doute, et v3 jamais : il attribue à chaque requête un score de 0,0 à 1,0 et laisse la décision à votre serveur. L’offre gratuite Basic de hCaptcha fonctionne en mode « Always Challenge », donc chaque visiteur reçoit une tâche ; le mode passif à 99,9 % commence avec Pro, et les scores de risque arrivent avec Enterprise. Côté prix, reCAPTCHA est gratuit jusqu’à 10 000 évaluations par mois et par organisation, tandis que hCaptcha Pro inclut 100 000 évaluations puis facture 0,99 $ pour 1 000.
Plus de détails dans nos guides sur les alternatives à hCaptcha et sur reCAPTCHA v2 vs v3.
reCAPTCHA vs Turnstile
Si vous avez cherché « Cloudflare vs reCAPTCHA », c’est bien cette comparaison : Turnstile est le CAPTCHA de Cloudflare, et il fonctionne sans aucun autre service Cloudflare. Sur le prix, il l’emporte nettement, avec des défis illimités dans l’offre gratuite. reCAPTCHA est gratuit jusqu’à 10 000 évaluations par mois pour toute votre organisation Google Cloud, puis Google facture un forfait de 8 $ jusqu’à 100 000 et 1 $ pour 1 000 au-delà. En échange, vous obtenez un score de risque réglable par action, même si l’offre gratuite Essentials ne renvoie que quatre niveaux de score. Turnstile n’affiche jamais de puzzle d’images, au plus une case à cocher en mode géré (managed), et sur le lieu de traitement aucun des deux n’est devant : ce sont deux entreprises américaines, et dans les deux cas les transferts demandent un examen juridique.
Le détail de la facture reCAPTCHA se trouve dans les tarifs de reCAPTCHA, et les options au-delà de Turnstile dans les alternatives à Cloudflare Turnstile.
hCaptcha vs Turnstile
Turnstile n’affiche de défis d’images dans aucune offre, alors que l’offre gratuite de hCaptcha en affiche toujours. Pour rapprocher hCaptcha de cette expérience, il vous faut son mode passif dès Pro, à 99 $ par mois en facturation annuelle, tandis que Turnstile reste gratuit. Côté accessibilité, Cloudflare revendique le niveau WCAG 2.2 AA pour Turnstile, et hCaptcha propose des défis textuels et une vérification par e-mail comme alternatives aux images. Les deux sont des entreprises américaines qui s’appuient sur l’EU-U.S. Data Privacy Framework pour les transferts. hCaptcha indique pouvoir traiter les données dans tout pays, y compris les États-Unis, et les transferts vers Cloudflare demandent un examen juridique.
Quel CAPTCHA gêne le moins les visiteurs ?
Ceux qui n’affichent jamais de tâche. Les CAPTCHAs à preuve de travail comme TrustCaptcha et Friendly Captcha font faire un petit calcul au navigateur, reCAPTCHA v3 évalue les visiteurs en arrière-plan, Turnstile peut fonctionner en mode non interactif ou invisible, et le mode passif de hCaptcha demande une offre payante.
Les défis d’images gênent le plus et excluent les visiteurs qui ne peuvent pas les voir. Une case à cocher se situe entre les deux : un seul clic, mais que chaque visiteur remarque. Un CAPTCHA discret peut quand même vous laisser du travail. reCAPTCHA v3 ne transmet qu’un score à votre serveur, et c’est à vous de décider ce qui se passe à 0,3. Le fonctionnement est expliqué dans notre article sur le CAPTCHA invisible.
Quel CAPTCHA pour la connexion et l’inscription à fort trafic ?
Les formulaires de connexion et d’inscription subissent les attaques de masse : credential stuffing, faux comptes et force brute. Trois questions comptent. Le CAPTCHA peut-il rendre les requêtes suspectes plus coûteuses au lieu de traiter tous les visiteurs de la même façon ? Votre serveur reçoit-il un score ou des règles sur lesquels agir ? Et combien coûte le volume ?
reCAPTCHA facture 1 $ pour 1 000 évaluations au-delà de 100 000, et hCaptcha Pro 0,99 $ pour 1 000 au-delà des 100 000 inclus. Turnstile reste gratuit. TrustCaptcha augmente la difficulté de la preuve de travail selon le risque de chaque requête, et ajoute la détection de bots, le score de risque et des règles personnalisées dès l’offre Solo. Un détail de reCAPTCHA mérite d’être connu avant un pic de trafic : au-delà de l’offre gratuite, sans facturation configurée, la vérification laisse tout passer. Elle répond par une réussite avec un score de 0,9 et ajoute seulement un message d’erreur, si bien qu’un backend qui ne lit que la réussite et le score ne remarque rien.
Côté attaques, voyez comment empêcher la création de faux comptes et notre page sur la protection contre la force brute. Si la protection des données est décisive, commencez par le CAPTCHA conforme au RGPD.
Essayer TrustCaptcha
Chaque offre TrustCaptcha commence par un essai gratuit de 14 jours, et les sites non commerciaux l’utilisent gratuitement. Démarrez votre essai gratuit et faites-le tourner à côté de votre CAPTCHA actuel sur un formulaire avant de basculer les autres.
