CAPTCHA pour Contact Form 7

À quoi ressemble le spam de Contact Form 7

Un formulaire qui transforme chaque soumission en e-mail est une cible facile. Dès qu’un bot a trouvé le vôtre, les messages suivent un schéma : offres de SEO et de backlinks, liens vers des sites de casino, de crypto ou de phishing, textes dans des langues qu’aucun de vos clients n’écrit, et noms faits de lettres au hasard. La plupart viennent de scripts qui envoient directement au formulaire, souvent depuis des adresses IP qui changent. Bloquer une adresse ne sert donc pas à grand-chose.

Il y a un second risque. Si votre formulaire envoie une confirmation à l’adresse saisie par le visiteur (Contact Form 7 appelle cela Mail (2)), un bot peut taper l’adresse d’un inconnu et faire envoyer des e-mails par votre site. Si cela dure, la réputation d’expéditeur de votre domaine en pâtit.

Les listes de mots-clés et Akismet en rattrapent une partie après coup. Un CAPTCHA agit plus tôt : une soumission qui échoue à la vérification ne devient jamais un e-mail.

Comment TrustCaptcha protège les formulaires Contact Form 7

La prise en charge de Contact Form 7 fait partie de notre plugin CAPTCHA WordPress : une seule configuration donne à tout votre site la même protection anti-spam des formulaires.

Quand un visiteur ouvre une page avec votre formulaire, le widget TrustCaptcha démarre tout seul. Le navigateur résout en arrière-plan une petite tâche de proof-of-work, et plus une requête paraît risquée, plus cette tâche est difficile. Envoyer du spam en masse devient ainsi lent et coûteux. À partir de l’offre Solo, TrustCaptcha calcule aussi un score de bot à partir de signaux techniques et comportementaux : 0 signifie probablement un humain, 1 probablement un bot.

Quand le visiteur clique sur envoyer, le plugin valide le résultat sur votre serveur WordPress, à l’intérieur du contrôle anti-spam de Contact Form 7. Si la vérification réussit, le message part comme d’habitude. Si le score de bot dépasse votre seuil (threshold) ou si le jeton manque, Contact Form 7 marque la soumission comme spam, n’envoie aucun e-mail et affiche un message d’erreur. Le plugin inscrit la raison dans le journal de spam de Contact Form 7. Le widget se réinitialise ensuite : une personne qui s’est trompée dans son adresse e-mail peut la corriger et renvoyer le formulaire sans recharger la page.

Comme TrustCaptcha s’appuie sur le contrôle anti-spam de Contact Form 7, les autres filtres anti-spam qui utilisent ce même contrôle, comme Akismet, continuent de fonctionner. Depuis la version 3.0, le plugin embarque lui-même le script du widget : vos pages ne chargent aucun script depuis un CDN externe.

Remplacer reCAPTCHA ou Really Simple CAPTCHA dans Contact Form 7

Quand un site sous Contact Form 7 a déjà un CAPTCHA, c’est en général l’un de ces deux : Google reCAPTCHA via l’intégration fournie avec Contact Form 7, ou Really Simple CAPTCHA, le plugin de CAPTCHA image de l’auteur de Contact Form 7. Les deux peuvent partir une fois TrustCaptcha en place. Configurez d’abord TrustCaptcha, envoyez un message de test et supprimez seulement ensuite l’ancien CAPTCHA, pour que votre formulaire ne reste jamais sans protection.

Passer de reCAPTCHA à TrustCaptcha

Contact Form 7 se connecte à reCAPTCHA v3 dans son propre menu, sous Intégration. reCAPTCHA v3 n’affiche pas non plus de puzzle, donc pour les visiteurs le changement est mince.

Si vous voulez un CAPTCHA pour Contact Form 7 sans reCAPTCHA, supprimez les clés reCAPTCHA sous Intégration une fois TrustCaptcha en ligne : Contact Form 7 cesse alors de charger le script de Google.

Passer de Really Simple CAPTCHA à TrustCaptcha

Really Simple CAPTCHA dessine sur votre serveur quelques caractères déformés, que le visiteur recopie dans un champ. Il ne dépend d’aucun service externe, c’est pourquoi on le trouve encore sur beaucoup de sites. Ce sont vos visiteurs qui paient : il faut lire et taper avant de pouvoir vous contacter, et les outils d’OCR comme les services de résolution de CAPTCHA lisent ce genre d’image de texte depuis des années.

Pour changer, ouvrez chaque formulaire dans l’éditeur de Contact Form 7, supprimez les balises [captchac] et [captchar] et enregistrez. Quand plus aucun formulaire ne les utilise, désactivez Really Simple CAPTCHA.