Passer au contenu principal

Comparaison des fournisseurs de CAPTCHA pour les pages de connexion : reCAPTCHA, hCaptcha, Turnstile, GeeTest et Alibaba Cloud dans Casdoor

· Lecture de 9 minutes
Yang Luo
Yang Luo
Casdoor Maintainer

Pour la plupart des pages de connexion et d'inscription sur Internet mondial, Cloudflare Turnstile est le choix le plus simple : le plan gratuit n'a pas de limite sur les défis, et son mode par défaut n'affiche une case à cocher qu'aux visiteurs risqués. Si beaucoup de vos utilisateurs sont en Chine continentale, utilisez plutôt Alibaba Cloud Captcha ou GeeTest, car Cloudflare indique que Turnstile n'est pas pris en charge là-bas. Si vous avez besoin que le captcha fonctionne sans aucun service externe, utilisez le captcha d'image intégré de Casdoor. Casdoor prend en charge tous ces fournisseurs, ainsi que Google reCAPTCHA (v2 et v3) et hCaptcha, en tant que fournisseurs de captcha, et vous choisissez quand le captcha apparaît par application.

La comparaison​

Les prix et la disponibilité ci-dessous ont été vérifiés sur les sites officiels de chaque fournisseur le 2026-11-02. Lorsqu'un fournisseur ne publie pas de chiffre, le tableau l'indique au lieu de faire des suppositions.

FournisseurCe que voit l'utilisateurMode invisibleDonnées et confidentialitéNiveau gratuit et tarificationChine continentaleType Casdoor
Casdoor par défautSaisit cinq chiffres depuis une imageNonGénéré et vérifié par votre serveur Casdoor ; aucun tiersGratuit, inclus dans CasdoorFonctionne, aucun appel externeDefault
Google reCAPTCHA v2Case à cocher ; certains utilisateurs obtiennent un défi d'imagev2 a aussi une variante invisible qui ne défie que le trafic suspectGoogle ; définit le cookie _GRECAPTCHA pour l'analyse des risquesTier Essentials gratuit jusqu'à 10 000 évaluations par mois par organisation ; Premium est à 8 $ fixe jusqu'à 100 000, puis 1 $ par 1 000Google dit d'utiliser www.recaptcha.net lorsque www.google.com n'est pas accessiblereCAPTCHA, reCAPTCHA v2 (case à cocher)
Google reCAPTCHA v3Nothing; returns a score (Casdoor rejects scores below 0.5)YesSame as v2Same as v2Same as v2reCAPTCHA v3
hCaptchaCase à cocher avec défis d'image sur le plan gratuitMode passif sur Pro ("99,9 % passif") et un mode sans-CAPTCHA sur EnterpriseIndique que le plan gratuit est conforme au RGPD, CCPA, LGPD et PIPL ; certifié selon le cadre de protection des données UE-États-UnisBasic est gratuit ; Pro est à 139 $ par mois (ou 99 $ par mois facturés annuellement) avec 100 000 évaluations, puis 0,99 $ par 1 000 ; Enterprise via les ventesNon documenté par hCaptchahCaptcha
Cloudflare TurnstileLe mode géré affiche une case à cocher uniquement si nécessaireModes de widget non interactifs et invisiblesCloudflare indique qu'il ne traite que les données strictement nécessaires et ne lit pas les entrées de formulaire ; aucune proxy Cloudflare requisPlan gratuit : défis illimités, jusqu'à 20 widgets ; Enterprise via les ventesCloudflare : "non pris en charge en Chine continentale"Cloudflare Turnstile
GeeTest CAPTCHA v4Un clic, puzzle glissant, clic sur texte, jeu de correspondanceNon répertorié sur la page produit v4Fournisseur chinois ; politique de confidentialité spécifique au produitPas de liste de prix publique ; essai gratuit de 30 jours, puis ventesFournisseur chinoisGEETEST
Alibaba Cloud Captcha 2.0Un clic, curseur, puzzle, restauration d'imageMode sans trace dans les éditions Standard et EnterpriseFonctionne sur Alibaba CloudPaiement à l'usage : 0,005 CNY par appel en Chine continentale, 0,007 CNY ailleurs ; éditions par abonnement et forfaits de ressources également disponiblesOui ; Casdoor vérifie contre le point de terminaison de la région de ShanghaiAliyun Captcha

Deux notes sur les lignes reCAPTCHA. Google a déplacé reCAPTCHA dans Google Cloud Fraud Defense avec les niveaux Essentials, Premium et Enterprise, et l'allocation gratuite de 10 000 évaluations est mutualisée sur toute l'organisation Google Cloud. Casdoor communique avec reCAPTCHA via une clé de site et une clé secrète à travers le point de terminaison standard siteverify, et il charge le script depuis recaptcha.net plutôt que google.com, à la fois pour le script du navigateur et la vérification côté serveur.

Lequel choisir​

SaaS mondial​

Commencez avec Cloudflare Turnstile. Le plan gratuit ne mesure pas les défis, le mode géré évite à la plupart des utilisateurs de cliquer sur quoi que ce soit, et vous n'avez pas besoin de router votre site via Cloudflare. Si vous fonctionnez déjà sur Google Cloud et souhaitez les signaux de risque de reCAPTCHA, reCAPTCHA convient, mais surveillez les 10 000 évaluations gratuites : une page de connexion occupée ou une attaque par envoi massif de SMS peut dépasser ce quota en une journée. hCaptcha est l'autre choix courant ; son plan gratuit affiche toujours un défi, et les modes passifs sont payants.

Une application avec des utilisateurs en Chine continentale​

Turnstile est exclu, selon la propre documentation de Cloudflare. Pour reCAPTCHA, Google documente www.recaptcha.net comme le domaine à utiliser lorsque www.google.com n'est pas atteignable, et Casdoor l'utilise déjà, mais vous devriez tout de même tester depuis les réseaux de vos utilisateurs avant de compter dessus. hCaptcha ne publie aucune déclaration concernant la Chine, donc le même conseil s'applique.

Les deux choix sûrs sont Alibaba Cloud Captcha et GeeTest. Alibaba Cloud publie des prix par appel et permet de commencer en paiement à l'usage ; son mode sans trace (dans Casdoor, utilisez le sous-type Popup pour cela) se rapproche de l'expérience invisible de Turnstile. GeeTest vend via son équipe commerciale après un essai de 30 jours. Si vous servez à la fois la Chine et le reste du monde depuis un seul Casdoor, rappelez-vous qu'une application a un seul fournisseur de captcha, donc séparez les audiences en deux applications si elles nécessitent des captchas différents.

Utilisateurs soucieux de la vie privée dans l'UE​

Chaque captcha hébergé envoie des données sur le navigateur du visiteur au fournisseur. Si votre équipe juridique souhaite qu'aucun tiers n'intervienne dans le processus de connexion, le captcha par défaut de Casdoor est la seule option du tableau qui maintient tout sur votre propre serveur. Parmi les solutions hébergées, Turnstile et hCaptcha considèrent tous deux la confidentialité comme faisant partie intégrante du produit (données limitées à ce dont le contrôle a besoin, RGPD et cadre UE-États-Unis pour la protection des données respectivement). reCAPTCHA définit un cookie _GRECAPTCHA ; Google note que le service depuis www.recaptcha.net évite d'autres cookies que www.google.com peut définir. Quel que soit votre choix, mentionnez-le dans votre politique de confidentialité.

Auto-hébergement, intranet ou hors ligne​

Utilisez le captcha par défaut. Il ne nécessite aucune clé ni accès réseau sortant, il fonctionne donc dans des installations isolées (air-gapped). Associez-le à la règle Internet-Only (ci-dessous) afin que les personnes sur le réseau du bureau ne le voient jamais, tandis que les requêtes provenant d'Internet public le déclenchent toujours.

Le captcha par défaut est le plus faible du groupe face aux solveurs automatisés, car il s'agit d'une simple image de chiffres déformés. Pour une page de connexion publique à fort trafic, combinez-le avec l'authentification multi-facteurs ou faites migrer les utilisateurs vers une connexion sans mot de passe, ce qui supprime les tentatives de devinette de mot de passe que les captchas existent pour ralentir.

Comment fonctionne le CAPTCHA dans Casdoor​

Vous ajoutez un fournisseur avec Category défini sur Captcha et l'un de ces types : Default, reCAPTCHA, reCAPTCHA v2, reCAPTCHA v3, hCaptcha, Cloudflare Turnstile, GEETEST ou Aliyun Captcha. Ensuite, vous l'ajoutez à une application dans l'onglet Providers. Une application ne peut contenir qu'un seul fournisseur de captcha ; Casdoor refuse d'en enregistrer un second. Les étapes de configuration pour chaque fournisseur sont disponibles dans la documentation des fournisseurs captcha.

Où Casdoor le demande​

Le même fournisseur protège plusieurs actions, et Casdoor vérifie le jeton côté serveur, pas seulement dans le navigateur :

  • Connexion par mot de passe.
  • Soumission du formulaire d'inscription.
  • Envoi d'un code de vérification par e-mail ou SMS, ce qui couvre l'étape du code lors de l'inscription, la page de récupération de mot de passe et la connexion par code. C'est la protection contre les bots qui consomment votre budget SMS.

Quand Casdoor le demande​

La Rule du fournisseur de captcha dans l'application décide quand il apparaît :

RuleBehavior
NoneJamais ; le captcha est désactivé
DynamicSeulement après que les échecs de connexion de l'utilisateur atteignent la limite Failed signin limit de l'application
AlwaysÀ chaque fois
Internet-OnlyPour les requêtes provenant d'adresses IP publiques ; pas pour les adresses privées, de bouclage (loopback) ou autres non publiques

Dynamic est le paramètre le plus doux pour la connexion : les utilisateurs honnêtes ne voient jamais de défi, et quelqu'un qui devine des mots de passe en rencontre un après quelques échecs. Cependant, cela ne s'applique qu'aux comptes existants. Une inscription, ou un code envoyé à une adresse qui n'a pas encore de compte, ne le déclenche pas. Si l'abus de SMS ou d'e-mails lors de l'inscription est votre préoccupation, utilisez Always ou Internet-Only.

Où il apparaît sur la page​

Dans les éléments de connexion de l'application, l'élément Captcha a sa propre règle : Pop up affiche le captcha dans une boîte de dialogue lorsqu'il est nécessaire, et Inline le place directement sur la page. Voir Modifier le captcha. Alibaba Cloud Captcha possède un champ supplémentaire Sub type : Embed l'affiche à l'intérieur de la boîte de dialogue Casdoor, et Popup donne le contrôle à la fenêtre contextuelle propre d'Alibaba Cloud, ce qui est nécessaire pour les scénarios sans trace (traceless scenes).

Utilisez le bouton Preview sur la page du fournisseur pour vérifier les clés avant d'activer la règle.

Références​