Alternatives européennes à Google reCAPTCHA

Google reCAPTCHA figure sur une très large part des formulaires de contact du web, et pour un exploitant européen c'est une présence gênante. Il est géré par Google LLC, dépose des cookies et inspecte l'adresse IP, les caractéristiques du navigateur et le rythme d'interaction de chaque visiteur avant que celui-ci n'ait consenti à quoi que ce soit. Dans les outils de consentement, il atterrit dans la catégorie marketing ou mesure d'audience plutôt que strictement nécessaire, ce qui impose une entrée dans la bannière, et un formulaire protégé par un script refusé est un formulaire qui ne fonctionne pas. Avec Google Fonts, c'est l'élément le plus souvent signalé lors de l'audit d'un site allemand ou autrichien, et l'accessibilité des défis visuels est devenue un risque à part entière depuis l'entrée en application de l'European Accessibility Act en juin 2025.

Bonne nouvelle : c'est l'un des remplacements les moins coûteux de tout le répertoire. Chaque option ci-dessous partage la forme d'intégration de reCAPTCHA, un script plus une vérification de jeton côté serveur, le travail se compte donc en heures et non en sprints. CaptchaFox (Allemagne, exposition Mineure) est le meilleur choix hébergé car c'est le seul fournisseur ici à publier nommément les sous-traitants du parcours widget, tous deux européens. TrustCaptcha (Allemagne, exposition Mineure) est l'entrée hébergée dans l'UE la moins chère, sur Hetzner à Nuremberg à partir de 8 € par mois. ALTCHA (Tchéquie, MIT, exposition Significative) et mosparo (association suisse, MIT, exposition Aucune) s'auto-hébergent, ce qui dissout entièrement la question du sous-traitant. captcha.eu (Autriche, exposition Significative), Friendly Captcha (Allemagne) et Prosopo (Royaume-Uni, exposition Significative) complètent le tableau.

Une mise en garde avant la comparaison, car c'est le constat de cette catégorie : un logo européen ne signifie pas une pile européenne. Regardez la ligne hébergement et le tableau de sous-traitants de chaque fiche plutôt que le drapeau, car plusieurs fournisseurs qui vendent la sortie de Google tournent eux-mêmes sur AWS, CloudFront ou l'analytique Google.

Que retrouve-t-on en quittant reCAPTCHA ?

• La forme de l'intégration : un script, un élément widget, une clé de site et un appel de vérification côté serveur.
• Une vérification invisible ou peu contraignante, proposée par toutes les options ici.
• Des signaux de bot de type score pour votre propre logique (CaptchaFox, TrustCaptcha, Prosopo).
• Des extensions WordPress et CMS, ainsi que des composants React et Angular.
• Des listes d'autorisation et de blocage, du géoblocage et des règles personnalisées sur les offres payantes.
• Une meilleure accessibilité que les défis visuels, puisque aucune de ces solutions ne demande d'identifier quoi que ce soit.

Tout ne suit pas, en revanche :

• Le graphe de trafic de Google. reCAPTCHA note un visiteur au regard de signaux issus d'une part énorme du web. Aucun fournisseur européen ne dispose de ce jeu de données, et les honnêtes ne le prétendent pas. Pour du spam de formulaire ordinaire, ce n'est pas la contrainte que l'on imagine ; pour du credential stuffing à grande échelle, évaluez soigneusement.
• L'outillage antifraude entreprise. Les fonctions de défense de compte et de risque multifacteur de reCAPTCHA Enterprise n'ont pas d'équivalent direct ici ; Prosopo en couvre la plus large part.
• La gratuité à toute échelle. reCAPTCHA est gratuit pour la plupart des usages. Ici, gratuit signifie une petite offre (Prosopo, Botpoison) ou l'auto-hébergement sur votre serveur (mosparo, ALTCHA).
• Les SDK mobiles. La couverture native iOS et Android est plus mince dans ce champ que chez Google ; vérifiez fournisseur par fournisseur si vous protégez une application plutôt qu'un formulaire web.

Remplacer reCAPTCHA relève surtout du rechercher-remplacer, avec deux étapes que l'on oublie.

1. Recensez d'abord tous les formulaires. Cherchez la clé de site reCAPTCHA dans le code, puis passez en revue les extensions WordPress, les générateurs de formulaires, les widgets d'assistance, les pages d'atterrissage créées par le marketing et tout client mobile. L'échange est simple ; c'est le formulaire tiers oublié qui laisse un script Google sur le site après que vous avez annoncé l'avoir retiré.
2. Basculez le client et le serveur ensemble. Remplacez la balise de script et l'élément widget, puis redirigez l'appel de vérification côté serveur de www.google.com/recaptcha/api/siteverify vers le point de terminaison du nouveau fournisseur et adaptez le nom du champ de jeton. Gardez les deux chemins derrière un drapeau de fonctionnalité pendant un déploiement si le formulaire est très fréquenté.
3. Faites tourner les clés et supprimez les anciennes. Effacez les clés reCAPTCHA de votre compte Google une fois le trafic migré, et retirez le secret des fichiers d'environnement et des variables de CI.
4. Retirez reCAPTCHA de la bannière de consentement et de la politique de confidentialité. C'est l'étape qui produit le bénéfice de conformité réel, et c'est celle qu'on saute. Supprimez l'entrée reCAPTCHA de votre outil de consentement, retirez le paragraphe Google de votre politique et ajoutez une courte section nommant le nouveau sous-traitant. Si le nouveau widget est sans cookies, le formulaire fonctionne désormais sans consentement : supprimez aussi le verrou de consentement que vous aviez placé autour.
5. Retestez l'accessibilité, pas seulement le fonctionnement. Parcourez le formulaire au clavier seul puis avec un lecteur d'écran. C'est le moment de vérifier que vous n'avez pas troqué une barrière contre une autre, et au titre de l'European Accessibility Act il vaut la peine de documenter cette vérification.
6. Surveillez le taux de spam pendant deux semaines. Ajustez la difficulté ou le seuil de risque plutôt que de conclure au bout de deux jours. La plupart des fournisseurs exposent un réglage de sensibilité, et la valeur par défaut est volontairement prudente.

L'alternative européenne qui convient dépend de ce que vous remplacez réellement.

• Pour un remplacement européen direct et vérifiable, CaptchaFox : le seul fournisseur ici à nommer les sous-traitants du parcours widget, Hetzner et bunny.net, tous deux européens, sur une page publique, à partir de 15 EUR par mois. Seule lacune : le DPA arrive par e-mail au lieu d'être publié.
• Pour l'option hébergée dans l'UE la moins chère, TrustCaptcha, à partir de 8 € par mois sur Hetzner à Nuremberg, avec preuve de travail plutôt que profilage comportemental et journaux d'audit sur les offres supérieures.
• Pour un contrôle maximal, l'auto-hébergement : mosparo (MIT, association suisse, analyse de contenu, aucune offre hébergée) ou ALTCHA (MIT, widget et serveur de vérification auto-hébergés, ou offre Cloud gérée). Ni l'un ni l'autre ne laisse de tiers dans le parcours du formulaire.
• Pour les sites où l'accessibilité est critique, ALTCHA, conçu pour la conformité WCAG 2.2 AA et l'European Accessibility Act, avec un DPA publié en PDF téléchargeable.
• Pour une offre gratuite réellement gratuite, Prosopo, avec 10 000 requêtes par mois et la documentation publique la plus complète de la catégorie, étant entendu que l'exploitant est britannique et que sa propre chaîne nomme AWS, Cloudflare et Hostwinds à côté des fournisseurs européens.
• Pour une PME autrichienne ou allemande qui achète au prix et aux extensions, captcha.eu, à partir de 9 € par mois, avec des sous-traitants nommés, tout en notant que le site lui-même est diffusé depuis un CDN américain.