reCAPTCHA v3
et CapMonster Cloud

Travailler avec CapMonster Cloud via l’API comprend généralement les étapes suivantes :

1. Accédez à la page du panneau d’administration reCAPTCHA.

2. Enregistrez un nouveau site et choisissez le type de captcha — reCAPTCHA v3

3. Récupérez deux clés :

• Site key — clé publique (utilisée côté frontend) ;
• Secret key — clé privée (utilisée côté serveur pour la vérification)

Vous pouvez ouvrir les paramètres où, par exemple, vous pouvez indiquer des domaines supplémentaires autorisés à utiliser reCAPTCHA ou configurer des notifications concernant des problèmes sur le site ou une augmentation du trafic suspect.

4. Exemples de code pour la partie cliente

La façon la plus simple d’utiliser reCAPTCHA v3 consiste à connecter l’API JavaScript et à ajouter des attributs au bouton.

Connexion de l’API :

<script src="https://www.google.com/recaptcha/api.js"></script>

Fonction de rappel (callback) pour le formulaire :

<script>
  function onSubmit(token) {
    document.getElementById("form").submit();
  }
</script>

Bouton avec les attributs reCAPTCHA :

<button class="g-recaptcha" 
        data-sitekey="reCAPTCHA_sitekey" 
        data-callback='onSubmit' 
        data-action='submit'>Submit</button>

Pour un contrôle complet, utilisez grecaptcha.execute avec le paramètre render:

Connexion de l’API avec la clé :

<script src="https://www.google.com/recaptcha/api.js?render=reCAPTCHA_site_key"></script>

Appel programmatique :

<script>
  function onClick(e) {
    e.preventDefault();
    grecaptcha.ready(function() {
      grecaptcha.execute('reCAPTCHA_sitekey', {action: 'submit'}).then(function(token) {
          // Envoyez le jeton au serveur pour vérification
      });
    });
  }
</script>

Le jeton doit être envoyé immédiatement au serveur pour vérification.

Remarques importantes :

• Durée de validité du jeton : le jeton reçu de reCAPTCHA v3 est valable pendant 2 minutes. Assurez-vous de l’envoyer au serveur dans ce délai.
• Vérification côté serveur : après avoir reçu le jeton, le serveur doit envoyer une requête POST à https://www.google.com/recaptcha/api/siteverify avec les paramètres suivants :
  – secret : votre clé secrète
  – response : le jeton reçu du client
  – remoteip (facultatif) : l’adresse IP de l’utilisateur
• Le serveur de Google renverra une réponse JSON contenant des informations sur le résultat de la vérification.

Vous trouverez plus de détails dans la documentation officielle du captcha.

5. Effectuez maintenant la vérification de la réponse côté serveur

Exemple en PHP

<?php
// Votre clé secrète reCAPTCHA v3
$secret = 'YOUR_SECRET_KEY';

// Récupérer le jeton depuis le formulaire
$token = $_POST['recaptcha-token'] ?? '';

// Envoyer une requête à Google pour vérifier le jeton
$response = file_get_contents(
    "https://www.google.com/recaptcha/api/siteverify?secret={$secret}&response={$token}"
);

$result = json_decode($response, true);

// Vérifier la réussite et le score de confiance
if ($result['success'] && $result['score'] >= 0.5 && $result['action'] === 'submit') {
    echo "Vérification réussie";
} else {
    http_response_code(403);
    echo "Vérification échouée";
}
?>

Remarques :

• Assurez-vous que, côté client, le jeton est envoyé dans un champ caché du formulaire nommé recaptcha-token :

<input type="hidden" name="recaptcha-token" id="recaptcha-token">


• Le seuil score peut être ajusté en fonction du niveau de sévérité souhaité (par exemple 0,3–0,7).
• La vérification action === 'submit' augmente la sécurité et permet de s’assurer que le jeton est destiné à l’action spécifique sur la page.