CAPTCHA : les bots transforment 5 secondes de vérification en corvée quotidienne

Publié le 17 mai 2026 · Mis à jour le 20 mai 2026 à 10h10

Yang Xiang, professeur de science informatique à la Swinburne University of Technology, a résumé le 15 mai 2026 un irritant devenu banal : de plus en plus de sites demandent aux internautes de prouver qu’ils sont humains avant d’acheter, de se connecter ou de créer un compte.

Le sujet paraît minuscule, presque ridicule. Quelques carrés avec des feux rouges, une case à cocher, un message qui bloque la page. Mais derrière cette gêne de quelques secondes, il y a un basculement plus large : le web ne part plus du principe que la visite vient d’une personne. Il demande une preuve avant de laisser passer, même quand on voulait seulement payer un billet ou ouvrir une appli de banque.

Dans son texte repris par TechXplore et publié par Tolerance, Yang Xiang donne la formule la plus nette : les sites « websites are fighting a rapidly escalating war against bots ». Autrement dit, la corvée du CAPTCHA n’est pas là pour vexer les humains. Elle tente de ralentir des machines.

À retenir. CAPTCHA signifie “Completely Automated Public Turing test to tell Computers and Humans Apart”. Les premières versions demandaient de recopier des lettres tordues. Les plus connues, comme reCAPTCHA v3, ont ensuite déplacé une partie du tri vers des signaux invisibles et des scores de risque.

Les images ne suffisent plus

Le vieux contrat était presque clair : une tâche facile pour une personne, difficile pour un ordinateur. Sauf que la vision par ordinateur a progressé. Des modèles savent reconnaître des objets, lire des formes, imiter des parcours. Et quand l’algorithme ne suffit pas, des services de très faible coût font résoudre des défis par de vrais humains, à la chaîne.

Voilà pourquoi les systèmes modernes regardent moins seulement la réponse et davantage la façon de répondre. Le déplacement de la souris, le rythme de frappe, l’adresse IP, l’appareil utilisé, le moment du clic et la cohérence du parcours deviennent des indices. Un humain hésite, corrige, revient en arrière, change légèrement de vitesse, rate parfois son premier geste. Un bot répète mieux, mais trop proprement, ou trop vite.

Ce glissement explique aussi le côté injuste de certaines expériences. On peut être parfaitement humain et se retrouver bloqué parce qu’on utilise un VPN, un navigateur trop protecteur, une connexion inhabituelle, ou parce qu’un site a réglé son seuil de méfiance trop haut. Le système ne juge pas une âme. Il calcule un risque, parfois avec trop peu d’explications pour la personne bloquée devant l’écran, seule.

Le test devient parfois invisible

Les alternatives avancent dans cette direction. Cloudflare Turnstile promet de réduire les défis visibles en combinant plusieurs signaux côté navigateur. hCaptcha propose aussi des outils de vérification et de gestion du risque. Le but est le même : laisser passer la majorité des vrais visiteurs sans leur demander un mini-examen.

Cette amélioration a son revers. Si la vérification devient silencieuse, elle devient aussi moins compréhensible. On ne sait pas toujours pourquoi une page s’ouvre chez un voisin et bloque chez soi. On ne sait pas non plus quels signaux ont pesé dans la balance. Pour un internaute, c’est une friction qui tombe au pire moment, juste avant un paiement ou une inscription. Pour une entreprise, c’est un arbitrage entre sécurité, conversion et vie privée.

La vraie question est la confiance

Les chercheurs en sécurité suivent cette course depuis longtemps. Une étude présentée à USENIX Security montrait déjà combien l’évaluation des CAPTCHA dépendait de l’écart entre ce que les humains réussissent vite et ce que les machines ratent encore. Cet écart se referme par endroits.

À faire. Quand un test tourne en boucle, trois vérifications simples évitent parfois de perdre dix minutes : désactiver provisoirement un VPN, changer de navigateur, ou vérifier que les cookies nécessaires au service ne sont pas bloqués. Cela ne règle pas le problème de fond, mais cela explique beaucoup de blocages absurdes.

Le plus intéressant n’est donc pas le carré de feu rouge. C’est ce qu’il raconte : l’arrivée massive de trafic automatisé oblige les sites à traiter chaque visite comme une hypothèse à confirmer. Le web devient un guichet où l’on ne demande plus seulement un mot de passe, mais une petite preuve comportementale. Cette preuve peut tenir dans une case cochée, dans un score calculé en arrière-plan, ou dans un parcours que l’on ne voit jamais. — à lire aussi : L’IA devient enfin intéressante quand elle aide des femmes à poser des questions….

Questions courantes

Pourquoi les CAPTCHA semblent-ils plus difficiles ? Parce que les bots et l’IA progressent, tandis que certains services humains résolvent aussi des défis à bas coût. Les sites durcissent donc leurs filtres.

Un CAPTCHA peut-il se tromper sur une vraie personne ? Oui. Un VPN, un navigateur très restrictif, une connexion inhabituelle ou un comportement jugé atypique peuvent déclencher un test plus dur.

Les CAPTCHA vont-ils disparaître ? Pas vraiment. Ils devraient surtout devenir moins visibles, avec davantage de signaux de fond, de scores de risque et de vérification de l’appareil.

Pour les sites, la bataille continuera tant que les comptes frauduleux, le spam, le scraping et les attaques automatisées rapporteront quelque chose. Pour les internautes, la meilleure nouvelle serait paradoxale : ne plus voir le test, parce qu’il aura été remplacé par une vérification moins pénible et mieux expliquée.

Article créé en collaboration avec l’IA.