CAPTCHA : Comment sécuriser les formulaires sans créer de barrières ?

CAPTCHA accessibles : points clés à retenir

• Les CAPTCHA peuvent exclure des personnes : Les puzzles d'images, les textes déformés et les défis audio sont souvent impossibles à résoudre pour les personnes atteintes de certains handicaps.

• Les coches invisibles ne sont pas automatiquement accessibles : Les personnes utilisant des lecteurs d'écran ou d'autres technologies d'assistance peuvent être identifiées par erreur comme des robots car leur comportement diffère de celui attendu par le système.

• Il existe des alternatives : Les champs Honeypot, les filtres anti-spam côté serveur et les méthodes de vérification modernes peuvent protéger les formulaires sans obliger les utilisateurs à résoudre des énigmes supplémentaires.

• L'ensemble du processus est important : Si un contrôle de sécurité est inaccessible, les utilisateurs doivent trouver une autre solution. Autrement, un simple CAPTCHA peut rendre inutilisable un site web pourtant accessible.

Quand la protection contre le spam devient un obstacle

Le contraste des couleurs est optimal, tout est accessible au clavier et le lecteur d'écran lit l'intégralité du contenu sans problème. Le site web semble accessible. Vous venez de remplir une demande de document officiel, de prendre rendez-vous chez le médecin ou de terminer vos achats en ligne. Il ne vous reste plus qu'à cliquer sur « Envoyer ».

Mais soudain, un CAPTCHA surgit. On vous demande de saisir des lettres déformées, de sélectionner des vélos sur des photos floues ou de glisser une pièce de puzzle à sa place.

Pour la plupart des gens, il s'agit simplement d'une étape supplémentaire agaçante. Pour les personnes en situation de handicap, en revanche, cela peut constituer un obstacle insurmontable, les empêchant de mener à bien la tâche, même si le reste du site web fonctionne correctement. Toute personne incapable de relever le défi doit alors solliciter l'aide d'autrui ou abandonner. Une mesure anti-spam finit par priver les personnes de leur autonomie.

Que sont les CAPTCHA et pourquoi sont-ils utilisés ?

CAPTCHA signifie « Test de Turing public entièrement automatisé permettant de distinguer les ordinateurs des humains ». Il a été développé pour différencier les humains des ordinateurs ou des robots.

Les CAPTCHA sont principalement utilisés pour protéger les formulaires contre le spam, les faux comptes et les attaques automatisées. Cela crée un conflit : les mesures conçues pour empêcher les bots d’accéder au service peuvent également empêcher de vraies personnes de l’utiliser.

Quels sont les différents types de CAPTCHA et qui excluent-ils ?

Les CAPTCHA ont évolué au fil des ans, parallèlement à l'essor des bots. Malheureusement, la quasi-totalité des types courants excluent certains groupes d'utilisateurs, pour des raisons très diverses.

Cela ne touche pas seulement les personnes atteintes d'un handicap permanent. De nombreuses personnes âgées rencontrent également des difficultés en raison du déclin de leur vue, de leur motricité fine ou de leur concentration. Par ailleurs, des limitations temporaires, comme une fracture du bras ou une migraine, peuvent aussi rendre la tâche plus difficile.

Texte déformé

Le texte déformé est le format CAPTCHA classique. Il remonte à une époque où les ordinateurs étaient moins performants que les humains pour reconnaître les caractères déformés. Aujourd'hui, c'est l'inverse : Étude de 2023 présentée à USENIX Security Une étude menée auprès de 1 400 participants a révélé que les personnes résolvaient correctement les CAPTCHA à texte déformé dans 50 à 84 % des cas, en 9 à 15 secondes. Les bots décrits dans cette étude atteignent une précision d'environ 99,8 % en moins d'une seconde.

Pour les personnes aveugles, l'image est illisible, car elle ne comporte aucune alternative textuelle. Les personnes malvoyantes peuvent avoir des difficultés à déchiffrer des caractères fortement déformés et peu contrastés. Enfin, pour les personnes dyslexiques, la saisie de suites de caractères dénuées de sens constitue un obstacle supplémentaire.

puzzles d'images et grilles de tuiles

Ces défis consistent à identifier des feux de circulation, des bus, des passages piétons ou des ponts sur des photos. Ils ont été introduits notamment parce que les robots sont devenus de plus en plus performants pour lire des textes déformés.

Ils sont particulièrement connus grâce à reCAPTCHA v2 de Google, considéré comme le service CAPTCHA le plus répandu. Il affiche d'abord la case à cocher « Je ne suis pas un robot » et ne demande généralement l'affichage d'images que lorsqu'une visite semble suspecte.

Les utilisateurs aveugles ne peuvent pas résoudre ces puzzles, car les images ne comportent volontairement aucun texte explicatif – cela donnerait la réponse aux robots. Le flou des images et la petite taille des tuiles posent également des difficultés aux personnes malvoyantes ou ayant des difficultés de motricité fine.

Même sans handicap, les instructions peuvent être déroutantes. Lorsqu'on choisit un feu tricolore, faut-il prendre en compte le poteau ou seulement le signal ?

Défis audio

Les CAPTCHA audio lisent à voix haute les chiffres ou les mots que les utilisateurs saisissent ensuite dans un champ. Ils ont été introduits comme alternative pour les personnes qui ne peuvent pas voir l'image et sont donc souvent considérés comme l'option accessible pour les utilisateurs aveugles.

Pour les personnes sourdes ou malentendantes, elles sont inutilisables. Quant aux personnes sourdaveugles, ni l'option visuelle ni l'option audio ne fonctionnent.

Pour rendre la reconnaissance vocale automatique plus difficile, les enregistrements sont délibérément altérés par du bruit de fond ou de la musique. De ce fait, ils peuvent être difficiles à comprendre, même pour les personnes sans déficience auditive.

Jeux coulissants et puzzles

Ces défis exigent des utilisateurs qu'ils fassent glisser une pièce de puzzle ou qu'ils déplacent un curseur jusqu'à la position exacte.

Cela exige une coordination main-œil précise. Cela peut s'avérer extrêmement difficile pour les personnes utilisant des dispositifs de saisie alternatifs ou la technologie de suivi oculaire, ainsi que pour les personnes souffrant de tremblements.

Ces défis sont souvent impossibles à relever avec un clavier ou un lecteur d'écran. Et quiconque ne peut voir la forme ou la position de la pièce manquante est dans l'incapacité de résoudre le puzzle.

Défis mathématiques

Les questions de mathématiques simples telles que « Combien font 7 + 4 ? » sont textuelles et peuvent donc être rendues plus accessibles que les puzzles d'images.

Toutefois, elles peuvent encore constituer un obstacle pour les personnes atteintes de dyscalculie ou de troubles cognitifs. Les personnes ayant des difficultés de concentration ou d'apprentissage peuvent également constater que cette tâche supplémentaire les perturbe.

Les robots, quant à eux, résolvent ces questions sans effort. Les défis mathématiques offrent peu de protection, mais les obstacles persistent pour les humains.

vérifications des antécédents

Les vérifications d'antécédents s'effectuent de manière invisible et évaluent la façon dont les visiteurs interagissent avec un site web, par exemple en analysant les mouvements de la souris, le temps passé sur la page ou les informations relatives à l'appareil.

La plupart des gens ne remarquent même pas ces contrôles, donc à première vue, ils semblent être la solution la plus accessible.

Des problèmes surviennent lorsqu'une personne est classée à tort comme robot parce que son comportement diffère de ce que le système considère comme typique. Cela peut arriver aux personnes qui utilisent des technologies d'assistance, qui naviguent uniquement au clavier ou qui ont besoin de plus de temps.

Il se peut alors qu'on leur demande de relever un défi visuel, ou qu'ils ne puissent tout simplement pas continuer. Sans alternative accessible, ils rencontrent exactement le même problème qu'avec les CAPTCHA traditionnels.

Qu'est-ce qui aggrave le problème ?

Quel que soit le type de CAPTCHA, certains facteurs peuvent transformer un défi difficile en un défi impossible :

• Délais non prolongeables : La tâche expire avant qu'une personne utilisant une technologie d'assistance ou ayant une motricité limitée n'ait terminé.

• Aucune autre façon de mener à bien le processus : Par exemple, aucun numéro de téléphone ni adresse électronique ne sont fournis aux personnes qui ne réussissent pas le contrôle de sécurité.

• Cookies d'accessibilité nécessitant un enregistrement séparé : Certains fournisseurs, comme hCaptcha, proposent un cookie permettant de contourner les tests visuels. Pour l'obtenir, les utilisateurs doivent s'inscrire avec leur adresse e-mail auprès d'un fournisseur tiers. Ce cookie peut cesser de fonctionner si le navigateur bloque les cookies tiers ou si l'utilisateur change d'appareil.

Que disent la loi et le règlement WCAG à propos des CAPTCHA ?

Le Directives pour l'accessibilité du contenu Web (WCAG) N’interdisez pas les CAPTCHA. Mais ils définissent des exigences claires :

• 1.1.1 Contenu non textuel (niveau A) : Un CAPTCHA a besoin d'un texte alternatif décrivant son objectif. De plus, formes alternatives utilisant différents types de perception sensorielle doivent être disponibles, par exemple une version visuelle et une version audio.

• 3.3.8 Authentification accessible (minimum) (niveau AA) : Nouveauté de WCAG 2.2. Lors d'une connexion, aucun test de fonction cognitive Des tâches telles que la résolution d'un puzzle ou la transcription de caractères peuvent être requises, sauf s'il existe une alternative ou un mécanisme d'assistance. La reconnaissance d'objets, comme « sélectionner tous les feux de circulation », constitue une exception à ce niveau.

• 3.3.9 Authentification accessible (améliorée) (niveau AAA) : Ici, l'exception relative à la reconnaissance d'objets ne s'applique plus.

• 2.5.7 Mouvements de glissement (niveau AA) : Nouveauté de WCAG 2.2 : tout ce qui nécessite un glissement, comme un CAPTCHA à curseur, doit également pouvoir être complété par un simple clic ou tapotement.

• 2.2.1 Réglage du temporisateur (niveau A) : Les utilisateurs doivent pouvoir désactiver, ajuster ou prolonger les limites de temps.

• 2.1.1 Clavier (niveau A) : Le défi complet doit être réalisable avec un clavier.

Au sein de l'UE, Loi européenne sur l'accessibilité (LEA) Elle s'applique depuis le 28 juin 2025, notamment aux boutiques en ligne, aux services bancaires et aux processus de réservation. Sa base technique est la norme européenne EN 301 549. Sa version actuelle, V3.2.1, correspond au niveau AA d'WCAG 2.1. Nouvelle version V4.1.1, publiée en septembre 2026 La norme WCAG 2.2, notamment ses articles 3.3.8 et 2.5.7, fait foi. Elle devient la référence légale dès sa publication au Journal officiel de l'Union européenne. Si vous prévoyez vos formulaires dès maintenant, il est conseillé d'appliquer la norme WCAG 2.2.

Est-il possible de protéger les formulaires contre le spam sans CAPTCHA ?

Il est compréhensible que les exploitants de sites web souhaitent protéger leurs formulaires, surtout maintenant que l'IA facilite les abus automatisés.

Mais si presque tous les types de CAPTCHA courants posent problème à au moins un groupe d'utilisateurs, la question est de savoir comment assurer une protection sans ces obstacles. La note du W3C à ce sujet… Inaccessibilité du CAPTCHA recommande de privilégier les approches qui ne nécessitent aucune interaction de la part des utilisateurs.

Il existe des alternatives qui demandent beaucoup moins d'efforts aux visiteurs. Cependant, elles ne sont pas non plus accessibles automatiquement et doivent être mises en œuvre correctement.

champs de miel

Un honeypot ajoute un champ supplémentaire à un formulaire, invisible pour les utilisateurs. Les bots qui remplissent automatiquement tous les champs qu'ils trouvent dans le code source se révèlent en les complétant, alors que les utilisateurs les laissent vides.

Cette méthode ne fonctionne que si le champ est invisible pour tous, y compris pour les utilisateurs de clavier et de lecteurs d'écran. Sinon, de vraies personnes pourraient le remplir et être bloquées comme robots.

• Option la plus simple : Masquer le champ avecdisplay: noneou lehiddenattribut. Il est alors masqué visuellement, pour les lecteurs d'écran et la navigation au clavier.

• Si vous positionnez plutôt le terrain hors écran : Ajoutertabindex="-1"Il n'est donc pas accessible avec le clavier.aria-hidden="true"les lecteurs d'écran l'ignorent donc, etautocomplete="off"Le navigateur ne le remplit donc pas automatiquement. Une étiquette comme « Laisser ce champ vide » est utile au cas où quelqu'un cliquerait dessus.

Filtres anti-spam côté serveur et limitation du débit

Cette approche permet au serveur de vérifier la légitimité d'une requête, par exemple en analysant les schémas de spam courants ou la rapidité avec laquelle le formulaire a été rempli. La limitation du débit restreint également le nombre de requêtes qu'une même adresse IP peut envoyer sur une courte période.

Ces contrôles sont invisibles pour les visiteurs. Toutefois, les règles ne doivent pas exclure les personnes qui mettent plus de temps à remplir un formulaire, par exemple parce qu'elles utilisent un lecteur d'écran ou la commande vocale, ou parce qu'elles ont un handicap moteur. Elles doivent également tenir compte du fait que plusieurs personnes peuvent partager une même adresse IP, notamment dans un bureau ou un établissement de soins.

Des services modernes sans énigmes

Des services tels que Friendly Captcha, reCAPTCHA v3 et Cloudflare Turnstile fonctionnent en grande partie sans défis visibles :

• Captcha convivial : Un fournisseur allemand. Le navigateur du visiteur effectue en arrière-plan une petite opération de calcul, peu gourmande en ressources pour un visiteur unique, mais coûteuse pour les robots envoyant un grand nombre de requêtes. Selon le fournisseur, cette opération évalue également les signaux de risque.

• reCAPTCHA v3 : ne montre jamais de défi Il attribue un score à chaque requête, et le site web détermine la suite des opérations. Si vous bloquez ou redirigez les utilisateurs ayant un score faible, l'étape suivante doit également être accessible.

• Tourniquet Cloudflare : offres trois modes de widget En mode « Géré », il ne demande aux visiteurs de cocher une case que si une vérification supplémentaire est nécessaire ; il n’y a pas d’énigmes.

Lorsque vous utilisez des services externes, vérifiez ce qui se passe en cas d'échec de la vérification et si une alternative accessible est disponible. Examinez également les données partagées avec le fournisseur et assurez-vous que la solution est conforme au RGPD. Si un fournisseur affirme être accessible, testez-le vous-même avec votre propre formulaire.

Clés d'accès, authentification à deux facteurs et liens magiques

Pour les processus de connexion, les mots de passe, l'authentification à deux facteurs et les liens de connexion par e-mail peuvent rendre les CAPTCHA superflus. Ces méthodes reposent plutôt sur un élément difficilement imitable par un robot, comme l'accès à un compte de messagerie ou à un appareil enregistré.

Ces méthodes permettent également de respecter la norme WCAG 3.3.8, car les utilisateurs n'ont pas à mémoriser de mot de passe ni à résoudre d'énigme. Veillez à proposer plusieurs options : un code uniquement lu à voix haute, par exemple, exclut les personnes sourdes.

Comment Eye-Able peut vous aider

Les tests automatisés peuvent détecter de nombreux obstacles dans les formulaires, tels que des étiquettes manquantes ou un contraste insuffisant. Audit et rapport Eye-Able Vous pouvez ainsi vérifier vos formulaires pour détecter de telles erreurs et les corriger à la source. Notre guide formulaires en ligne accessibles indique ce à quoi il faut faire attention.

Cependant, la possibilité de compléter un CAPTCHA ne peut être testée que manuellement : avec un clavier, avec un lecteur d’écran et en vérifiant ce qui se passe en cas d’échec de la vérification.

Conclusion

Le meilleur CAPTCHA, c'est l'absence de CAPTCHA.

Quel que soit le type choisi, il y a de fortes chances qu'il exclue au moins un groupe d'utilisateurs. Même les personnes valides connaissent la frustration du troisième feu rouge.

Un site web peut être conçu avec le plus grand soin, mais si la dernière étape échoue, tout le processus est voué à l'échec. Si vous avez besoin d'une protection anti-spam, suivez ces principes :

1. Évitez les défis visibles : Utilisez d'abord des pots de miel, des filtres côté serveur ou des services sans énigmes.

2. Proposer des alternatives : Si un CAPTCHA est inévitable, prévoyez au moins deux versions pour différents sens, comme la vue et l'ouïe.

3. Proposez toujours une autre solution : Veuillez fournir un numéro de téléphone ou une adresse courriel pour toute personne qui ne réussit pas le test. Aucun test visuel ni auditif ne convient aux personnes sourdaveugles.

4. Rendez le CAPTCHA lui-même accessible : Tout doit fonctionner au clavier, sans glisser-déposer et sans limite de temps.

5. Tester l'ensemble du processus : Utilisez un clavier et un lecteur d'écran, y compris ce qui se passe lorsque la vérification échoue.

L'accessibilité ne s'arrête pas à la conception. Chacun doit pouvoir mener à bien la procédure après avoir cliqué sur « Envoyer ».

Vous vous demandez à quel point votre propre site web est accessible ? vérification d'accessibilité gratuite vous donne un premier aperçu en moins de 2 minutes.

FAQ : CAPTCHA et accessibilité

Les CAPTCHA sont-ils accessibles ?

Pas automatiquement. Les CAPTCHA traditionnels, qui consistent en des puzzles d'images, du texte déformé ou des défis audio, peuvent exclure les personnes souffrant de déficiences visuelles, auditives, motrices ou cognitives. Même les CAPTCHA invisibles ne sont pas nécessairement accessibles s'ils identifient par erreur des utilisateurs légitimes comme des robots et ne proposent aucune alternative accessible.

Les CAPTCHA violent-ils la loi WCAG ?

Les CAPTCHA ne sont pas explicitement interdits par les Règles pour l'accessibilité des contenus Web (WCAG). Toutefois, ils doivent respecter certaines exigences d'accessibilité. Le critère de succès 1.1.1, par exemple, exige des alternatives textuelles identifiant et décrivant l'objectif d'un CAPTCHA, ainsi que des formes alternatives adaptées aux différentes capacités sensorielles. L'accessibilité au clavier et les autres exigences pertinentes doivent également être prises en compte.

Quelles sont les alternatives aux CAPTCHA ?

D'autres solutions existent, comme les champs honeypot, les filtres anti-spam côté serveur, la limitation du débit et des services modernes tels que Friendly Captcha ou Cloudflare Turnstile. Ces solutions permettent de détecter ou de limiter les requêtes automatisées sans que les utilisateurs aient à identifier des images ou à résoudre des énigmes. Toutefois, leur accessibilité doit être testée.

Google reCAPTCHA est-il accessible ?

Cela dépend de la version et de son implémentation. Les reCAPTCHA basés sur des images peuvent constituer un obstacle pour les personnes ayant une déficience visuelle ou motrice. reCAPTCHA v3, en revanche, utilise une évaluation des risques contextuels. L'essentiel est de garantir aux utilisateurs un accès simplifié pour terminer la procédure en cas d'échec de la vérification.

Comment protéger les formulaires contre le spam sans créer de barrières d'accessibilité ?

Une approche par couches, minimisant les tâches supplémentaires pour les utilisateurs, est généralement la meilleure option. Cela peut inclure des filtres anti-spam côté serveur, une limitation du débit et des champs honeypot correctement implémentés. L'essentiel est de veiller à ce que les mesures de sécurité ne désavantagent pas les personnes handicapées et qu'une alternative accessible soit disponible si une personne est identifiée par erreur comme un robot.