hCaptcha

Le widget classique demande au visiteur de résoudre une petite tâche avant l'envoi du formulaire. Le mode passif est l'option discrète: il note la session en arrière-plan et n'interrompt que lorsque le risque le justifie, ce que hCaptcha chiffre à 99,9% du trafic sans énigme sur la formule Pro. Sur un formulaire de support ou une newsletter, cette différence décide si quelqu'un va au bout.

Chaque session reçoit un score bâti sur des signaux d'appareil, de réseau, de comportement et d'intention. Les signatures de menace regroupent des attaquants répartis sur des milliers d'IP et d'appareils, ce qui compte parce que presque tout botnet moderne change d'adresse plus vite qu'une liste de blocage ne peut suivre. Au lieu d'entretenir une liste d'IP, vous fixez un seuil et laissez le score trancher.

Les parcours utilisateur recousent une session au fil des pages et des actions, si bien qu'un événement isolé retrouve son contexte. Une connexion échouée semble inoffensive seule. La même connexion après dix fiches produit, une réinitialisation de mot de passe et une tentative de paiement se lit autrement. L'enquêteur voit cette chronologie d'un seul coup d'œil et s'épargne les suppositions.

Agent Controls prend le trafic qui n'est ni franchement un bot ni franchement une personne: assistants IA, robots d'indexation et navigateurs agentiques qui agissent pour un utilisateur. hCaptcha lit ses propres signaux même quand l'agent masque son identité et prend en charge Web Bot Auth pour les plateformes qui signent leurs requêtes. Vous définissez la politique par sitekey: un assistant peut parcourir un catalogue, doit présenter un jeton valide avant de réserver du stock, et se voit refuser les flux où l'automatisation n'est pas permise. Les appels d'outils WebMCP sont enregistrés par leur nom pour revue, sans arguments ni résultats.

Account Defense surveille inscription, connexion et sessions authentifiées pour repérer les vols de compte et les comptes multiples. Fraud Protection couvre les paiements: test de cartes, chargeback, abus d'incitations et pompage SMS. Les deux nourrissent le même modèle de risque, donc une inscription suspecte fait monter le score du paiement qui arrive dix minutes plus tard.

hCaptcha n'exige aucune information personnelle identifiable pour noter le trafic, et le client peut masquer les champs de compte et de transaction avant l'envoi. La liste de conformité comprend le RGPD, le CCPA, la LGPD et le PIPL. Pour une entreprise dont le service juridique a déjà refusé un entrepôt de données de plus, cela réduit le périmètre de la revue.

Les formules Enterprise ajoutent des API de reporting, un tableau de bord multi-utilisateurs avec SAML SSO et des SLA entreprise. Managed Defense va plus loin et place un SOC 24/7 sur le compte, si bien que les alertes passent par des personnes qui observent les mêmes schémas d'attaque chez de nombreux clients. Les équipes sans veille de nuit gagnent une couverture qu'elles ne pourraient pas financer seules.