Honeypot anti-spam : 5 méthodes pour arrêter les bots sans CAPTCHA

Les CAPTCHA sont-ils la solution anti-bot la plus idéale pour votre site web ?

Tout d’abord, qu’est-ce qu’un CAPTCHA ?
CAPTCHA est un acronyme qui signifie « Completely Automated Public Turing Test to Tell Computers and Humans Apart » (Test de Turing public entièrement automatisé pour distinguer les ordinateurs et les utilisateurs).

Le CAPTCHA est-il la meilleure solution anti-bot ? De nombreux utilisateurs d’Internet connaissent les CAPTCHA traditionnels, mais seraient surpris d’apprendre qu’ils existent depuis plus de deux décennies. Certains disent que le premier CAPTCHA a été inventé en 1997 par l’équipe d’Altavista, tandis que d’autres citent la version développée par Manuel Blum, Luis von Ahn, John Langford et Nicholas Hopper de l’Université Carnegie Mellon en 2000.

Comme le suggère le nom derrière l’acronyme, un CAPTCHA est un test (de Turing) conçu pour différencier les utilisateurs humains d’Internet des bots logiciels, en proposant un challenge facile à résoudre pour les utilisateurs mais très difficile, idéalement impossible, pour les programmes.

Les premiers CAPTCHA étaient assez simples. On demandait aux utilisateurs de lire du texte déformé ou masqué et de taper les lettres dans une boîte de réponse (vous vous en souvenez probablement). Avec le temps, les CAPTCHA ont évolué de manière significative. En 2009, Google a acquis reCAPTCHA, l’un des leaders du marché.

Problèmes croissants des CAPTCHA traditionnels

Des années 2000 jusqu’au début des années 2010, les CAPTCHA étaient assez efficaces pour bloquer les bots malveillants, qui restaient incapables de résoudre les tests. Les CAPTCHA étaient largement lors des créations de comptes, de la soumission de formulaires (pour éviter le spam de formulaire), de la publication de commentaires sur des blogs, de la confirmation d’achats en ligne et d’autres activités nécessitant une vérification humaine.

Aujourd’hui, les CAPTCHA traditionnels ne sont plus considérés comme la solution idéale pour lutter contre le spam de formulaire et d’autres attaques liées aux bots, principalement à cause de deux problèmes majeurs :

1. Efficacité des CAPTCHA traditionnels

Les concepteurs et opérateurs de bots se sont perfectionnés, tout comme leurs bots et programmes. L’intelligence artificielle actuelle est désormais capable de résoudre le reCAPTCHA de Google avec une précision alarmante. En fait, nos données clients montrent que 50% des reCAPTCHA réussis et d’autres CAPTCHA traditionnels sont en réalité complétés par des bots.
En conséquence, pour bloquer efficacement les bots malveillants, les tests CAPTCHA traditionnels ont dû devenir plus complexes, créant un second problème :

2. Les CAPTCHA traditionnels nuisent à l’expérience utilisateur (UX)

Selon des études menées par l’Université Stanford, environ 15 % des utilisateurs abandonnent un service web lorsqu’ils sont confrontés à un test CAPTCHA classique. Pourquoi ?
Car même si l’intention d’un CAPTCHA est d’être le plus facile possible pour les utilisateurs humains tout en étant très difficile pour les bots, c’est devenu un véritable casse-tête en raison des progrès de l’IA et de l’apprentissage automatique.

Présenté à un utilisateur, un CAPTCHA traditionnel (peu importe sa « simplicité ») ralentira inévitablement l’utilisateur et ajoutera de la friction pour compléter l’action désirée (que ce soit la navigation sur un site web, la soumission d’un formulaire, un achat en ligne ou une recherche).

Ainsi, les CAPTCHA traditionnels entravent l’expérience utilisateur en interrompant et en ralentissant leur parcours sur le site. Un autre problème d’UX lié aux CAPTCHA traditionnels est qu’ils sont souvent critiqués pour leur inaccessibilité aux utilisateurs ayant des handicaps, en particulier ceux qui sont malvoyants. L’accessibilité utilisateur est un aspect de plus en plus important de l’UX.

Les CAPTCHA sont-ils toujours efficaces ?

En fin de compte, un CAPTCHA idéal—lorsqu’il est utilisé correctement—peut être un signal utile pour la détection des bots afin de garder les bots malveillants hors de votre plateforme. Mais un CAPTCHA ne devrait jamais être votre première ligne de défense contre les bots, et les CAPTCHA traditionnels continueront d’être de plus en plus contournés au fil du temps.

Votre site a-t-il besoin d’un CAPTCHA ?

Comme discuté, l’implémentation d’un CAPTCHA traditionnel sur votre site web peut avoir un impact négatif sur l’expérience utilisateur car il oblige chaque utilisateur à perdre du temps à prouver qu’il n’est pas un bot.

Pour déterminer si vous devez implémenter un CAPTCHA, posez-vous les questions suivantes :

• Recevez-vous une quantité substantielle de trafic au quotidien ?
• Autorisez-vous les soumissions de formulaires sur votre site ?
• Recevez-vous beaucoup de spams de formulaires ?
• Autorisez-vous les soumissions de commentaires sur vos articles de blog ? (Ou votre site dispose-t-il d’un forum entièrement fonctionnel ?)
• Traitez-vous des paiements et des transactions sur votre site web ? (Sans intégrer un portail de paiement tiers ?)

En bref, si votre plateforme présente une action où la vérification de l’utilisateur est requise et que vous répondez « oui » à l’une des questions ci-dessus, alors l’implémentation d’un CAPTCHA pourrait être une bonne idée pour vous.

Cependant, si votre site n’a pas vraiment besoin de vérification des utilisateurs et publie principalement du contenu statique sans beaucoup de possibilités de contenu généré par les utilisateurs, il se peut qu’il n’ait pas vraiment besoin d’un CAPTCHA.

Alors, quelles sont les alternatives pour bloquer les bots malveillants, éviter le spam de formulaire et défendre notre système contre d’autres activités liées aux bots ?

De nombreuses technologies et approches ont été développées pour la protection contre le spam et les bots. Ci-dessous, nous discuterons de certaines des meilleures alternatives traditionnelles au CAPTCHA disponibles sur le marché aujourd’hui :

1. Le honeypot anti-spam

Le honeypot, ou pot de miel, est comme son nom l’indique un « piège » conçu pour attirer les bots et les programmes informatiques afin qu’ils révèlent accidentellement leur identité.

L’idée est de fournir quelque chose qui va attirer le bot, le « miel », qui est invisible ou caché aux utilisateurs humains légitimes.

Par exemple, pour combattre le spam de formulaire, une pratique courante et efficace de honeypot anti-spam consiste à ajouter un champ caché (généralement via du code CSS ou JavaScript ; ou simplement en utilisant la même couleur de police que l’arrière-plan de la page) dans le formulaire. Les utilisateurs humains ne verront pas ce champ caché, mais il sera analysé par les bots.

Ensuite, il suffit de filtrer les soumissions de formulaire qui sont soumises avec le champ caché rempli.

Les techniques de honeypot anti-spam peuvent être utilisées de différentes manières, mais le principe reste le même : attirer les bots avec quelque chose d’attrayant pour eux (en fonction de l’objectif des bots) et le rendre invisible aux utilisateurs humains.

Honeypots vs reCAPTCHA

Honeypot :

• Un honeypot CAPTCHA est un champ de formulaire caché ou un lien sur une page web qui est invisible pour les utilisateurs mais peut être détecté par des bots automatisés.
• Il est conçu pour attraper et bloquer les bots spammeurs en les trompant pour interagir avec le champ caché, contrairement aux utilisateurs humains.
• Lorsque le champ honeypot est rempli, cela indique la présence d’un bot, et la soumission du formulaire peut être rejetée.

reCAPTCHA :

• reCAPTCHA est une mesure de sécurité qui présente aux utilisateurs un challenge visible, tel que l’identification d’image ou des puzzles, pour vérifier leur identité humaine.
• Il a été initialement développé par Luis von Ahn et est maintenant la propriété de Google.
• Il distingue les utilisateurs des bots en fonction de l’interaction de l’utilisateur avec le challenge, permettant aux utilisateurs authentiques de poursuivre sur le site, tout en bloquant les bots automatisés.

2. Détection par mesure du temps

Une autre technique anti-spam courante qui n’implique pas un CAPTCHA est de détecter les activités des bots en mesurant le temps nécessaire pour accomplir certaines tâches.

Les bots sont naturellement conçus pour être beaucoup plus rapides que les utilisateurs humains. Ainsi, en mesurant le temps requis par un user-agent pour compléter une tâche (par exemple, remplir et soumettre un formulaire), nous pouvons différencier les bots des utilisateurs humains légitimes.

Bien qu’un opérateur de bot puisse ralentir l’opération d’un bot, les bots fonctionnent sur des ressources qui peuvent être coûteuses (par exemple, lorsque le bot est une location), donc la plupart des opérateurs de bots préfèrent exécuter les tâches aussi rapidement que possible.