Alternative à Google reCAPTCHA 100% conforme au RGPD

Google reCAPTCHA, tout comme Google Fonts et Google Analytics, est considéré comme non conforme au RGPD par la CNIL. Alors, si vous l’utilisez, c’est ballot, car il va vous falloir trouver une alternative à Google reCAPTCHA.

Dans cet article, vous trouverez un petit topo sur le CAPTCHA.

Je vous expliquerai également pourquoi Google reCAPTCHA est hors la loi vis-à-vis du RGPD.

Et enfin, je vous présenterai La Sentinelle antispam, une extension 100% conforme au RGPD que j’utilise pour lutter contre les spams.

Qu’est-ce qu’un CAPTCHA ?

CAPTCHA est l’acronyme de Completely Automated Public Turing tests to tell Computers and Humans Apart.

Il s’agit d’un outil utilisé pour lutter contre le spam qui permet de distinguer les utilisateurs réels des utilisateurs automatisés comme les robots.

Pour la petite histoire, ce sont des chercheurs de l’université Carnegie-Mellon, aux Etats-Unis qui ont développé la technologie reCAPTCHA. Puis, Google a racheté la start-up reCAPTCHA en 2009.

Pour faire le tri, un CAPTCHA classique propose des tâches réputées difficiles pour les robots, mais relativement faciles à résoudre pour les humains. Par exemple, reconnaître des lettres ou des chiffres étirés ou cliquer dans une zone spécifique d’une image.

Le reCAPTCHA est plus avancé que les tests CAPTCHA.

Avec reCAPTCHA v1, arrêté le 31 mars 2018, il fallait saisir deux mots scannés, puis deux OCR (Reconnaissance Optique de Caractères) faisaient l’analyse.

Actuellement, Google propose deux versions de reCAPTCHA : v2 et v3.

reCAPTCHA v2 a vu le jour en 2014 sous la forme d’un widget avec une case à cocher “Je ne suis pas un robot”. Parfois, il propose de résoudre un problème pour s’assurer que vous êtes bien humain.

Puis en 2017, toujours sous reCAPTCHA v2, apparait Invisible reCAPTCHA. Et là, fini les cases à cocher et les tests. Google identifie par votre comportement si vous êtes un robot ou un humain.

Enfin, avec Google reCAPTCHA v3, lancé en octobre 2018, reCAPTCHA travaille en arrière-plan et évalue chaque visiteur avec un score de risque allant de 0 à 1. Pour être perçu comme un humain, le score doit être autour de 1. S’il est inférieur à 0,7, reCAPTCHA proposera un test à résoudre.

Google reCAPTCHA est-il en conformité avec le RGPD ?

La réponse est non. Voyons tout de suite pourquoi.

Pourquoi Google reCAPTCHA n’est pas conforme au RGPD

En fait, pour qu’un site soit en règle avec le RGPD, l’utilisateur doit pouvoir donner son consentement avant le chargement d’un contenu qui exploite ses données personnelles.

De plus, ce consentement, pour être valide au regard du RGPD, doit être libre, spécifique, éclairé et univoque.

Or, Google reCAPTCHA est non conforme au RGPD pour quatre raisons :

Premièrement, il génère un dépôt de cookie automatique.

Deuxièmement, Google reCAPTCHA impose au visiteur de se connecter aux serveurs Google fonts.gstatic.com pour afficher la police Roboto sur son badge via son script.

Troisièmement, Google collecte des données personnelles lors de l’utilisation du reCAPTCHA. Et celles-ci sont plus ou moins nombreuses selon que le visiteur est connecté à son compte Google ou pas.

Quatrièmement, les données personnelles sont transférées vers des serveurs situés aux États-Unis hors de l’Union Européenne.

Google est bien gentil. Dans les conditions d’utilisation de reCAPTCHA à accepter, il précise que :

“Il nous incombe d’en informer les utilisateurs et de leur demander leur autorisation pour la collecte et le partage de ces données avec Google.”… Allez débrouillez-vous !

Idem pour la CNIL : pour que l’utilisation de Google reCAPTCHA soit conforme au RGPD, il faut obtenir le consentement des visiteurs.

Plus facile à dire, qu’à faire !

Pour ce qui est d’inclure les informations dans la politique de confidentialité, c’est simple. Mais après, pour afficher un bandeau style cookie juste pour le reCAPTCHA, c’est une autre paire de manches.

Imaginez…

Nous avons besoin de votre consentement pour charger le service reCAPTCHA! Il n’est pas permis de charger le contenu en raison de trackers qui ne sont pas divulgués au visiteur.

Et là, c’est le drame : si le visiteur refuse les cookies, le reCAPTCHA ne se charge pas et hop, le visiteur pourra charger ses spams.😟

Mais, rassurez-vous, pour éviter les spams, il n’y a pas que Google reCAPTCHA. Il y a beaucoup d’autres solutions qui sont conformes au RGPD, voici celle que j’utilise sur ce site : La Sentinelle antispam.

La Sentinelle antispam alternative à Google reCAPTCHA conforme au RGPD

La Sentinelle antispam est une extension gratuite qui dispose d’un code léger. En bref, elle ne nuira pas à la performance de votre site.

De plus, son utilisation est complètement transparente pour le visiteur, puisqu’il n’y a aucun CAPTCHA à résoudre. Mais, son grand atout, est qu’elle est 100% conforme au RGPD. En effet, elle n’utilise aucun service tiers et ne suit pas les visiteurs.

Il s’agit donc d’une solution parfaite pour protéger votre site Web WordPress contre le spam de manière simple et efficace.

La Sentinelle antispam propose 3 fonctionnalités anti-spam qui, toutes trois, dépendent de JavaScript pour l’interface utilisateur. :

• Pot de miel (Honeypot)
• Nonce
• Délai d’attente pour l’envoi du formulaire

La Sentinelle antispam protège de nombreux types de formulaires, comme bien évidemment, ceux de WordPress :

• Formulaire de commentaires WordPress
• Formulaire de connexion WordPress
• Formulaire d’inscription WordPress
• Formulaire de mot de passe WordPress perdu

Et également les formulaires créés avec ces extensions :

• Caldera Forms
• Contact Form 7
• Everest Forms
• Formidable Form Builder
• WPForms Lite
• Clean Login (formulaire de connexion)
• Easy Digital Downloads (formulaire de connexion (non-AJAX), formulaire d’inscription)
• Newsletter Optin Box plugin (noptin) (formulaires autonomes)
• WooCommerce (formulaire de connexion, formulaire de mot de passe perdu)
• WP Job Manager plugin (soumission du formulaire lorsque l’enregistrement est activé)

Installation et paramétrage de la Sentinelle antispam alternative à Google reCAPTCHA

Comme pour toute autre extension, allez dans Extensions/Ajouter. Puis, saisissez le mot-clé “sentinelle”, installez et activez l’extension.

À présent, allez dans les réglages de l’extension. Vous pouvez y accéder, soit en cliquant sur “Réglages” de l’extension, soit par le tableau de bord/Réglages/La Sentinelle.

Les paramètres par défaut vous protègent déjà contre les spams sans aucune intervention de votre part. En effet, le “pot de miel” est activé et un délai d’attente pour l’envoi du formulaire est en place.

Néanmoins, dans “Filtres contre les indésirables“, il y a une option supplémentaire. Si vous avez un forum sur votre site, vous pouvez opter pour le service gratuit Stop Forum Spam.

Après, sous l’onglet “Formulaires“, toutes les cases pour protéger les formulaires WordPress sont déjà cochées.

Si vous n’avez pas d’extension de formulaire installée ou si la vôtre n’est pas prise en charge, vous en aurez l’information.

Sinon, l’extension trouvera automatiquement celle que vous utilisez et la protégera, comme ici, pour WPForms.

Ensuite, sous l’onglet “Divers“, la case “enregistrer les soumissions indésirables” sera cochée.

Je vous conseille de la laisser cochée. Ainsi, vous pourrez consulter les messages considérés comme spams dans le journal de la Sentinelle (Réglages/Journal de la Sentinelle).

Si vous souhaitez que l’extension supprime automatiquement les soumissions indésirables de plus de trois mois, cochez la case dédiée.

Pour information, voici comment s’affiche le journal de la Sentinelle :

Enfin, sous l’onglet “À propos“, vous pourrez consulter le nombre de blocages que la Sentinelle antispam a effectué. Ces statistiques concernent les formulaires WordPress et aussi l’extension de formulaires que vous utilisez.

Trouver des alternatives aux produits Google

Google est sympa, car il offre des outils gratuits.

Néanmoins, il ne faut pas se leurrer, pour Google, c’est vous le produit. En effet, dès que vous installez un de ces outils, il se sert des données recueillies pour son propre compte.

Or, le recueil des données personnelles sans le consentement de l’utilisateur est contraire au RGPD.

Alors, changez vos habitudes et trouvez des alternatives aux outils Google.

Pour Google Analytics, vous pouvez, par exemple, utiliser Independent Analytics.

Et pour les Google Fonts, pensez à les héberger localement. 😉