La vérification humaine demande aux visiteurs d'un formulaire public de prouver qu'ils ne sont pas un robot : une case à cocher, ou un contrÎle invisible noté par le fournisseur. Elle s'ajoute aux protections déjà en place dans Portail ZAPP (champ caché, délai de remplissage, limites de débit, verrouillage des comptes), qui restent actives dans tous les cas.
L'Ă©cran VĂ©rification humaine (menu Administration âș Utilisateurs et accĂšs âș Authentification âș VĂ©rification humaine) est rĂ©servĂ© aux Administrateurs.
Choisir un fournisseur
| Fournisseur | Particularités |
|---|---|
| Aucun | Aucun challenge, aucun appel vers l'extérieur. C'est le réglage des instances sans accÚs à Internet. |
| Cloudflare Turnstile | Gratuit, discret, sans compte Google. |
| hCaptcha | Challenge visuel, orienté respect de la vie privée. |
| Google reCAPTCHA v2 | Case « Je ne suis pas un robot ». |
| Google reCAPTCHA v3 | Invisible : chaque envoi reçoit un score entre 0 et 1, refusé sous le score minimal que vous réglez (0,5 par défaut). |
Créez d'abord un site chez le fournisseur choisi : il vous remet une clé du site (publique) et une clé secrÚte. Saisissez les deux ici. La clé secrÚte n'est jamais réaffichée : l'écran indique seulement qu'elle est renseignée ; laissez le champ vide pour la conserver, cochez Effacer pour la supprimer.
Choisir les formulaires protégés
Chaque famille de formulaires s'active séparément :
- Inscription : inscription libre et renvoi du message de vérification ;
- Mot de passe oublié ;
- Connexion : le challenge n'apparaĂźt qu'aprĂšs plusieurs Ă©checs, depuis la mĂȘme adresse IP ou sur le mĂȘme compte. RĂ©glez le nombre d'Ă©checs (3 par dĂ©faut) et la fenĂȘtre de comptage (15 minutes) ;
- Formulaires invités : commentaire d'un invité sur un ticket ou une demande, commande du catalogue sans compte ;
- EnquĂȘtes de satisfaction : rĂ©ponse Ă une enquĂȘte reçue par courriel.
Les formulaires de l'inscription et du mot de passe oublié restent protégés dÚs qu'un fournisseur est choisi ; les autres familles sont à activer.
Si le fournisseur ne répond pas
Pour chaque famille, choisissez ce qui se passe quand le fournisseur est injoignable (panne, délai dépassé) ou refuse vos clés :
- Refuser (par dĂ©faut pour l'inscription, le mot de passe oubliĂ©, les formulaires invitĂ©s et les enquĂȘtes) : la soumission est rejetĂ©e tant que le fournisseur ne rĂ©pond pas ;
- Laisser passer (par défaut pour la connexion) : la soumission continue ; seuls le verrouillage des comptes et les limites de débit protÚgent alors le formulaire. Ne bloquez jamais la connexion sur une panne extérieure : plus personne ne pourrait s'identifier, vous compris.
Ce qu'il faut savoir
- Confidentialité : le fournisseur reçoit l'adresse IP et des données de navigation de chaque visiteur du formulaire. Mentionnez-le dans votre politique de confidentialité. Pour reCAPTCHA, un consentement préalable est en général exigé en Europe ; Turnstile et hCaptcha sont plus simples à justifier.
- Instance sans Internet : gardez Aucun.
- API : les appels d'API publics (connexion, inscription, mot de passe oublié) n'ont pas de widget ; ils gardent leurs limites de débit. Un client d'API peut joindre un jeton obtenu auprÚs du fournisseur. Les connexions échouées par l'API comptent toutefois dans le seuil d'échecs de la connexion : un compte attaqué par l'API voit le défi apparaßtre sur la page de connexion.
- Politique de sécurité du contenu : si votre serveur web impose une politique de sécurité du contenu (CSP), autorisez les adresses du fournisseur choisi (script, cadre et connexion), listées dans la documentation technique du module.
- Les réglages s'appliquent tout de suite, sans redémarrage.