Captcha : codes, images et de­vi­nettes pour prévenir le spam

Les captchas basés sur du texte

La plus ancienne forme de vé­ri­fi­ca­tion humaine est le captcha textuel. Les mots connus ou les com­bi­nai­sons aléa­toires de lettres et de chiffres sont masqués. Pour réussir le test, l'uti­li­sa­teur doit dé­chif­frer la solution affichée dans la zone captcha et la saisir dans un champ de texte dédié. Les méthodes tra­di­tion­nelles utilisées pour créer des captchas textuels sont Gimpy, ez-Gimpy, Gimpy-r et HIP de Simard.

Le brouil­lage partiel implique dif­fé­rentes étapes au cours des­quelles les ca­rac­tères in­di­vi­duels du mot de la solution sont déformés, changent d'échelle, ou sont courbés et combinés avec d'autres éléments gra­phiques tels que des lignes, des arcs, des points, des dégradés de couleurs ou des bruits de fond. Les il­lus­tra­tions suivantes montrent une sélection de trans­for­ma­tions de texte possibles que l’on peut ren­con­trer sur Internet.

Les captchas de texte n'offrent une pro­tec­tion fiable contre le spam que si le mot de solution affiché re­pré­sente un obstacle in­sur­mon­table pour les pro­grammes avec re­con­nais­sance au­to­ma­tique de texte. Cependant, cela suppose gé­né­ra­le­ment une dé­for­ma­tion, ce qui limite aussi con­si­dé­ra­ble­ment la li­si­bi­lité pour les uti­li­sa­teurs humains.

Ce problème est bien illustré à travers les exemples suivants. Pour en­re­gis­trer une adresse email gratuite chez GMX, on est par exemple confronté à des captchas basés sur du texte selon le schéma suivant.

Un uti­li­sa­teur humain peut fa­ci­le­ment re­con­naître les ca­rac­tères 1VYEJX, mais le code est parfois plus compliqué à lire à cause de ca­rac­tères fortement déformés.

La dé­for­ma­tion va parfois si loin que même les uti­li­sa­teurs humains peuvent être dépassés. En général, un captcha bien mis en œuvre offre la pos­si­bi­lité de sauter la première pro­po­si­tion et d'essayer avec un autre mot, un peu plus lisible. Mais il est évident que ce n’est pas une partie de plaisir pour les visiteurs du site Web qui sont le plus souvent con­fron­tés à des captchas com­pli­qués.

Au fil du temps, de nom­breuses al­ter­na­tives à la tech­no­lo­gie captcha textuelle ont été mises en place. Google offre une variante célèbre de la capture de texte classique avec reCAPTCHA. Au lieu de générer des mots de solution aléa­toires, reCAPTCHA se nourrit de divers projets de nu­mé­ri­sa­tion tels que Google Books ou Google Street View. Par exemple, les uti­li­sa­teurs peuvent afficher des noms de rue, des numéros de maison, des panneaux de sig­na­li­sa­tion routière, des enseignes de ville et des fragments de segments de texte numérisés, qui doivent être dé­chif­frés et saisis dans un champ de texte à l'aide du clavier. Le logiciel offre toujours deux éléments : un élément connu, déjà confirmé et un élément non confirmé. En principe, les uti­li­sa­teurs n'ont qu’à re­con­naître le premier élément afin de compléter le captcha avec succès. Les uti­li­sa­teurs qui dé­chiffrent également le deuxième élément par­ti­ci­pent au programme de nu­mé­ri­sa­tion de Google. Les entrées sont vérifiées sur une base sta­tis­tique. Les éléments décryptés sont toujours présentés à plusieurs uti­li­sa­teurs. La réponse la plus courante est correcte.

L'exemple suivant montre deux requêtes reCAPTCHA de con­cep­tion dif­fé­rente que les uti­li­sa­teurs ren­contrent dans le contexte des en­re­gis­tre­ments com­mu­nau­taires, par exemple.

Les captchas basés sur les images

Les méthodes basées sur l'image cons­ti­tuent une al­ter­na­tive aux captchas de texte. Au lieu de présenter aux uti­li­sa­teurs une solution composée de chiffres et de lettres, les captchas basées sur l'image s'ap­puient sur des éléments gra­phiques qui peuvent être reconnus ra­pi­de­ment. En règle générale, plusieurs motifs sont présentés côte à côte. L'uti­li­sa­teur a la tâche de cliquer sur un certain motif, d'iden­ti­fier des motifs si­mi­laires ou de re­pré­sen­ter une connexion sé­man­tique.

L'exemple suivant montre un captcha basé sur l'image, qui est utilisé dans le service Google reCAPTCHA. L'uti­li­sa­teur est invité à sé­lec­tion­ner toutes les images montrant du café.

Par ailleurs, Google utilise des captchas qui per­met­tent aux uti­li­sa­teurs de ne sé­lec­tion­ner que certaines zones d'une photo, comme tous les champs où des parties d'un panneau de sig­na­li­sa­tion sont affichées. Con­trai­re­ment aux re­CAPT­CHAs textuels, il suffit de cliquer sur les zones d'écran cor­res­pon­dantes pour réussir cette étape de test.

Les captchas audio

Des captures de texte et d'images peuvent être affectées aux pro­cé­dures de vé­ri­fi­ca­tion graphique humaine. L'ap­ti­tude d'un uti­li­sa­teur humain à réussir cette étape de test dépend de sa capacité à re­con­naître les in­for­ma­tions tex­tuelles ou ico­no­gra­phiques. Pour les personnes ayant une dé­fi­cience visuelle, un captcha graphique peut cons­ti­tuer un obstacle in­sur­mon­table. Les captchas, qui ne peuvent être perçus que par l'un des sens humains, pré­sen­tent donc une faible usabilité et ne sont pas con­si­dé­rés comme étant sans obstacle. Les ex­ploi­tants de sites Web utilisant des captchas devraient donc s'assurer que la méthode d'essai choisie offre aux uti­li­sa­teurs de multiples solutions sur dif­fé­rents canaux sen­so­riels.

Afin de permettre aux personnes mal­voyantes d'accéder aux zones protégées par captcha d'une ap­pli­ca­tion Web, les méthodes de test basées sur du texte ou de l'image sont gé­né­ra­le­ment combinées avec des captchas audio. Souvent, il s’agit d’un bouton avec lequel les uti­li­sa­teurs peuvent écouter un en­re­gis­tre­ment audio, par exemple une courte séquence de chiffres, qui doit ensuite être tapée dans un champ prévu  cet effet.

Google im­plé­mente ac­tuel­le­ment des captchas audio de la façon suivante :

Afin de garantir une grande facilité d'uti­li­sa­tion du captcha, le son en­re­gis­tré doit être com­pré­hen­sible et adaptée à la langue de l'uti­li­sa­teur. Google n'est pas un bon modèle pour cela. Bien que l'in­ter­face graphique du captcha puisse s’afficher en français, il est seulement possible de jouer un son anglais.

Captchas ma­thé­ma­tiques et logiques

Une al­ter­na­tive captcha, qui prend également en compte les besoins des mal­voyants, s'appuie sur des tâches ma­thé­ma­tiques ou des énigmes pour filtrer les robots spammeurs. Une tâche comme celle de l’exemple ci-dessous peut également être lue avec un lecteur d'écran si né­ces­saire et est donc également dis­po­nible pour les uti­li­sa­teurs via des pé­ri­phé­riques de sortie non visuels.

Les tâches ma­thé­ma­tiques simples ne re­quiè­rent en général que des con­nais­sances scolaires de base, mais elles ne cons­ti­tuent pas un gros obstacle pour les robots spammeurs, car les or­di­na­teurs sont clai­re­ment su­pé­rieurs aux humains dans le trai­te­ment des chiffres. Ce type de capcha est donc souvent combiné avec les dif­fé­rentes pos­si­bi­li­tés de dé­for­ma­tion du texte, mais ceci élimine l'ac­ces­si­bi­lité pour les lecteurs d'écran. Il devient beaucoup plus difficile pour les pro­grammes si le résultat du calcul n'est pas demandé sous forme de chiffre, mais sous forme de mot numérique ou s’il est suivi d’une consigne (Exemple : calculer 7 x 7 et entrer le premier chiffre du résultat dans le champ prévu à cet effet). Le résultat du calcul serait 49, mais la solution captcha 4.

En plus des tâches ma­thé­ma­tiques, des tâches logiques ou des questions de culture générale sont également utilisées dans les captchas, souvent avec une référence thé­ma­tique à l'ap­pli­ca­tion Web cor­res­pon­dante.

La lu­di­fi­ca­tion dans les captchas

Les opé­ra­teurs de sites Web qui redoutent d'ef­frayer leurs visiteurs avec des captchas de texte cryptés ou des tâches ma­thé­ma­tiques ardues peuvent profiter de la tendance du jeu qui s’empare des captchas. Des four­nis­seurs tels que Sweet­Capt­cha et Fun­Capt­cha offrent des mini-jeux plus ou moins di­ver­tis­sants qui peuvent être intégrés sous forme de captchas ludiques.

Sweet­Capt­cha s'appuie sur la capacité des uti­li­sa­teurs à s'as­so­cier avec les autres et leur propose des jeux simples. Dans l'exemple suivant, il suffit de déplacer les baguettes sur le tambour pour s’iden­ti­fier en tant qu'être humain.

Sweet­Capt­cha utilise également une variante classique de puzzle captcha, dans laquelle les uti­li­sa­teurs doivent glisser et déposer des éléments d'image dans la bonne position :

Fun­Capt­cha fait pivoter les images. Ce n'est que lorsque le motif est dans la bonne position que le logiciel que l’uti­li­sa­teur peut accéder au contenu du site.  

Même si les captchas sont om­ni­pré­sents au­jour­d'hui, les pro­cé­dures basées sur le test de Turing ne sont en aucun cas la seule façon de sécuriser un site Web in­te­rac­tif contre le spam. Dès 2005, le WAI a publié la Working Group Note 23. Avec Inac­ces­si­bi­lity of CAPTCHA – Al­ter­na­tives to Visual Turing Tests on the Web, le WAI a développé un catalogue de pro­po­si­tions pour la pré­ven­tion du spam sans captcha. Au fil du temps, de nom­breuses méthodes ont été mises au point pour iden­ti­fier les requêtes ou les entrées au­to­ma­tiques :

• Black lists : si une certaine source peut être iden­ti­fiée pour des messages spam ou des requêtes au­to­ma­ti­sées en masse, les ex­ploi­tants de sites Web ont la pos­si­bi­lité de bloquer toutes les in­te­rac­tions en pro­ve­nance de cette adresse en les ajoutant à la black list, c’est-à-dire liste noire. Il s'agit d'une liste qui rassemble tous les serveurs ou adresses IP à bloquer pour de futures requêtes. Une telle liste noire peut être créée ma­nuel­le­ment via .htaccess. Il existe également dif­fé­rents réseaux anti-spam et four­nis­seurs de services pro­fes­sion­nels sur Internet qui offrent des listes noires cen­tra­li­sées et cons­tam­ment mises à jour.
   
• Honeypots : certains ex­ploi­tants de sites Web exposent les candidats po­ten­tiels à la liste noire en envoyant des for­mu­laires en ligne avec des pièges à spam. Ces dis­po­si­tifs d’appât, qui sig­ni­fient lit­té­ra­le­ment pot de miel, cor­res­pon­dent à des champs de saisie cachés aux in­ter­nautes par CSS ou Ja­vaS­cript. Les robots spammeurs simples ne lisent gé­né­ra­le­ment que le code HTML d'un site Web et rem­plis­sent même des champs cachés avec du contenu généré au­to­ma­ti­que­ment. Ceci indique donc clai­re­ment que la demande émane d’un robot et non d’un d'uti­li­sa­teur humain.
   
• Filtre de contenu : les filtres de contenu offrent un moyen de contrer le spam de com­men­taires sur les blogs, dans les boutiques en ligne ou les forums. Ils fonc­tion­nent également avec les listes noires. Les ex­ploi­tants de sites Web dé­fi­nis­sent ce que l'on appelle les hot words, des mots-clés qui ap­pa­rais­sent prin­ci­pa­le­ment dans les com­men­taires de spam afin d'iden­ti­fier au­to­ma­ti­que­ment les entrées suspectes comme étant générées par or­di­na­teur. Cependant, si des filtres de contenu sont utilisés, il y a un risque accru que les con­tri­bu­tions des uti­li­sa­teurs humains soient également bloquées si ces mots-clés de la liste noire sont inclus.
   
• Le filtrage côté serveur : sur la plupart des serveurs Web, le logiciel de filtrage est utilisé pour détecter les in­te­rac­tions visibles avec certaines zones d'un site Web, limitant ainsi les dommages causés par les robots spammeurs. Les filtres anti-spam s'ap­puient sur des analyses statiques, heu­ris­tiques et com­por­te­men­tales pour iden­ti­fier les in­te­rac­tions suspectes basées sur des ca­rac­té­ris­tiques visibles et des modèles connus. Les analyses dans le cadre du filtrage des spams se réfèrent aux ca­rac­té­ris­tiques tech­niques de l'agent uti­li­sa­teur. Par exemple, l'étendue des données, l'adresse IP, les méthodes de saisie des données utilisées, ainsi que les données de signature et les sites Web visités pré­cé­dem­ment sont évalués. En outre, on peut utiliser des ho­ro­da­tages pour suivre le temps écoulé entre la remise d'un for­mu­laire en ligne et la réception de la réponse. Con­trai­re­ment aux uti­li­sa­teurs humains, les robots spammeurs font preuve d’une vitesse con­si­dé­rable lors­qu'ils rem­plis­sent les champs de saisie.

Il existe une al­ter­na­tive courante au captcha classique, basée sur des analyses com­por­te­men­tales, provenant également de Google. Sous le nom de "No CAPTCHA reCaptcha", Google propose depuis 2013 un service de vé­ri­fi­ca­tion humaine qui protège ef­fi­ca­ce­ment les sites in­te­rac­tifs contre les abus et dans la plupart des cas, sans captcha.

Au lieu de proposer aux uti­li­sa­teurs une tâche basée sur des con­nexions visuelles, auditives ou logiques, le dernier reCAPTCHA de Google ne comporte qu'une simple case à cocher.

Si un uti­li­sa­teur coche la case "Je ne suis pas un robot", le logiciel vérifie en arrière-plan avec quelle pro­ba­bi­lité il s'agit d'une saisie au­to­ma­tique. Google s'appuie sur une analyse avancée des risques. Les étapes de test de cet al­go­rithme sont tenues secrètes par Google. Cependant, les ca­rac­té­ris­tiques suivantes sont discutées dans le réseau :

• Les cookies ;
• L’adresse IP ;
• Les mou­ve­ments de souris dans la zone de la case à cocher ;
• La durée.

Si le logiciel conclut que l'uti­li­sa­teur est un être humain, celui-ci peut accéder à la page souhaitée. En revanche, si le résultat de l'analyse conclue à un risque élevé de spam, il est né­ces­saire d’avoir recours à un captcha. No captcha est donc une procédure de test pré­li­mi­naire qui évalue si la vé­ri­fi­ca­tion par le biais du Turing Test est né­ces­saire ou peut être ignorée. Ceci est pratique pour l'uti­li­sa­teur en termes d'er­go­no­mie, mais pose des problèmes de pro­tec­tion des données.

Les ex­ploi­tants de sites Web qui utilisent le nouveau reCAPTCHA trans­met­tent au­to­ma­ti­que­ment les données de tran­sac­tion Google à leurs uti­li­sa­teurs. Les uti­li­sa­teurs doivent donc être ex­pli­ci­te­ment informés dans la dé­cla­ra­tion de pro­tec­tion des données que des logiciels tiers sont utilisés dans le cadre de la pré­ven­tion des spams.

Il est également frappant de constater que Google indique les con­di­tions générales d'uti­li­sa­tion et une dé­cla­ra­tion de con­fi­den­tia­lité globale pour le nouveau reCAPTCHA. Ceci vaut également pour tous les autres services Google. Il n'est donc pas exclu que l'en­tre­prise utilise également les données col­lec­tées au-delà de la pré­ven­tion du spam pour optimiser ses propres services, par exemple dans le domaine de la publicité. Ce problème est abordé dans un article du magazine en ligne Business Insider.

En janvier 2017, la page d'accueil du projet reCaptcha de Google annonce, avec Invisible reCAPTCHA un dé­ve­lop­pe­ment du No CAPTCHA reCAPTCHA, qui fonc­tionne sans case à cocher.