Captcha et protection anti-bots

Les services de CAPTCHA et de protection anti-bots déterminent si un visiteur est humain avant l'envoi d'un formulaire. Google reCAPTCHA est la solution par défaut et aussi le script tiers le plus souvent signalé dans les audits de consentement européens, parce qu'il dépose des cookies et transmet des données de visiteurs à Google LLC. Les options européennes présentes sur EU Vetted sont CaptchaFox (Allemagne), TrustCaptcha (Allemagne), ALTCHA (Tchéquie, licence MIT), captcha.eu (Autriche), Friendly Captcha (Allemagne), mosparo (Suisse, auto-hébergé), Prosopo (Royaume-Uni) et Botpoison. La distinction qui compte ici oppose le parcours du widget, c'est-à-dire la chaîne que traversent réellement les adresses IP de vos visiteurs, et l'arrière-boutique du fournisseur. CaptchaFox est le seul à nommer publiquement ses sous-traitants du parcours widget, et tous deux sont des entreprises européennes.

Figure 1Exposition au CLOUD Act dans cette catégorie 8 référencés

Aucune: 1 13%
Mineure: 2 25%
Significative: 5 63%
Directe: 0 0%

Tableau 1Produits listés : hébergement, souveraineté, certifications, tarifs et signaux
		Souveraineté	Certifications	Tarifs
mosparo Protection anti-spam auto-hébergée sous licence MIT, publiée par une association suisse à but non lucratif : vous l'exécutez sur votre propre serveur, il n'y a donc aucune chaîne de sous-traitants. DPA public: Non évalué Sous-traitants: Non Open source: Oui	Suisse		—	Gratuit
ALTCHA CAPTCHA à preuve de travail sous licence MIT depuis Brno (BAU Software s.r.o.), avec DPA public et points de terminaison Cloud exclusivement européens, le Cloud tournant toutefois sur AWS. DPA public: Oui Sous-traitants: Non Open source: Oui	Tchéquie	auto-héberg. Souverain UE	—	Freemium
captcha.eu Captcha viennois (Captcha GmbH, groupe Krone Multimedia) avec sous-traitants nommés, à partir de 8,90 EUR/mois, mais le site lui-même tourne sur AWS CloudFront et l'analytique Google. DPA public: Non Sous-traitants: Oui Open source: Non	Autriche		—	Payant 9 €/mois
CaptchaFox Captcha de la région de Munich (Scoria Labs GmbH) avec une chaîne de sous-traitants publiée à deux noms pour le widget : Hetzner et bunny.net, tous deux européens, à partir de 15 EUR/mois. DPA public: Non évalué Sous-traitants: Oui Open source: Non	DE Allemagne		—	Payant 15 €/mois
Prosopo Service britannique de protection anti-bots (Prosopo Limited) doté du DPA le plus transparent de la catégorie, nommant sept sous-traitants, quatre européens et trois américains ; offre gratuite de 10 000 requêtes par mois. DPA public: Oui Sous-traitants: Oui Open source: Non	Royaume-Uni		—	Freemium
TrustCaptcha Captcha à preuve de travail munichois (Trustcaptcha GmbH) sur Hetzner Nuremberg, à partir de 8 EUR/mois, avec journaux d'audit mais sans DPA ni liste de sous-traitants publiés. DPA public: Non évalué Sous-traitants: Non Open source: Non	Nuremberg · DE Allemagne		—	Payant 8 €/mois
Botpoison Filtre anti-spam invisible à preuve de travail pour formulaires (équipe Formspark), gratuit jusqu'à 1 000 vérifications par mois, avec une liste de sous-traitants publiée majoritairement américaine et aucune entité juridique nommée. DPA public: Non Sous-traitants: Oui Open source: Non	IE Irlande		—	Freemium 2 $/mois
Friendly Captcha Captcha allemand sans cookies à preuve de travail (Friendly Captcha GmbH) à partir de 9 EUR/mois, mais le DPA et sa liste de sous-traitants sont protégés par mot de passe et l'hébergement 100 % UE est une option payante. DPA public: Non Sous-traitants: Non Open source: Non	Allemagne		—	Freemium 9 €/mois

Source : base EU Vetted, 8 produits, méthodologie v2026.05, au août 2026.

À propos de Captcha et protection anti-bots

Un CAPTCHA se place devant vos formulaires et décide si le visiteur est une personne. Pour cela, il doit l'observer : adresse IP, caractéristiques du navigateur et de l'appareil, rythme des interactions. C'est donc l'un des rares scripts tiers qui s'exécute pour chaque visiteur avant que celui-ci n'ait consenti à quoi que ce soit, et c'est précisément pourquoi Google reCAPTCHA est devenu l'élément le plus fréquemment signalé dans les audits de consentement européens, aux côtés de Google Fonts sur la liste de ce qu'un exploitant soucieux de conformité doit retirer. reCAPTCHA est exploité par Google LLC, dépose des cookies et place un sous-traitant américain dans le parcours de chaque formulaire de contact de votre site.

Le paysage européen est plus fourni qu'on ne le suppose, et il se divise selon une ligne qu'il vaut mieux comprendre avant de comparer les prix. Certains fournisseurs sont des services hébergés, où vous faites confiance à l'infrastructure d'un tiers : CaptchaFox et TrustCaptcha en Allemagne tournent tous deux sur Hetzner et maintiennent le parcours du widget dans l'UE, captcha.eu est un produit autrichien issu du groupe de presse Kronen Zeitung, Friendly Captcha est le nom allemand le plus connu, et Prosopo est un exploitant britannique à la documentation inhabituellement complète. D'autres suppriment la question : mosparo, d'une association suisse à but non lucratif, et ALTCHA, sous licence MIT depuis Brno, peuvent tous deux tourner sur votre propre infrastructure, et il n'y a alors aucun sous-traitant à auditer.

Deux points méritent vérification sur chaque fiche ci-dessous, et aucun n'est le drapeau de l'entreprise. Le premier est le parcours du widget, la chaîne que traversent réellement les données de vos visiteurs, distincte de la pile de facturation et de support du fournisseur ; un fournisseur peut être irréprochable sur la première et utiliser Stripe et Google sur la seconde, et un seul acteur ici documente la différence. Le second est de savoir si le DPA est lisible avant l'inscription : deux des huit en publient un, deux le délivrent sur demande, un le place derrière un mot de passe, et deux n'en publient aucun. L'accessibilité constitue un troisième axe devenu juridique, l'European Accessibility Act s'appliquant depuis juin 2025 et un défi fondé sur une énigme étant une barrière par conception.

Comparatif des fonctionnalités

Au-delà de la conformité : comment ces alternatives se comparent sur les fonctionnalités que vous utilisez au quotidien.

Tableau 2Fonctionnalités par produit
Fonctionnalité	mosparo	ALTCHA	captcha.eu	CaptchaFox	Prosopo	TrustCaptcha	Botpoison	Friendly Captcha
Auto-hébergeable	Oui	Oui	Non	Non	Non	Non	Non	Non
Aucun cookie ni stockage navigateur	Oui	Oui	Non évalué	Oui	Non évalué	Non évalué	Non évalué	Oui
Vérification invisible	Oui	Oui	Oui	Oui	Oui	Oui	Oui	Oui
Preuve de travail	Non évalué	Oui	Non évalué	Non évalué	Non évalué	Oui	Oui	Oui
Score de risque bot	Non évalué	Non évalué	Non évalué	Oui	Oui	Oui	Non évalué	Non évalué
Conformité accessibilité WCAG	Oui	Oui	Non évalué	Non évalué	Oui	Oui	Oui	Oui
Extensions CMS	Oui	Oui	Oui	Oui	Oui	Oui	Oui	Oui
Offre gratuite	Oui	Oui	Non	Non	Oui	Non	Oui	Oui

Source : documentation de l’éditeur, au août 2026.

Vous quittez un outil américain de captcha et protection anti-bots ?

Alternatives européennes comparées côte à côte (mêmes vérifications d’hébergement, de propriété et d’exposition au CLOUD Act) pour les outils de captcha et protection anti-bots les plus remplacés.

Questions fréquentes

Quelle est la meilleure alternative à reCAPTCHA conforme au RGPD ?

Pour un service hébergé, CaptchaFox (Allemagne) présente la chaîne publiée la plus propre : ses sous-traitants du parcours widget sont Hetzner (Allemagne) et bunny.net (Slovénie), tous deux nommés sur une page publique, avec une exposition enregistrée comme Mineure. TrustCaptcha (Allemagne) est l'option hébergée dans l'UE la moins chère à 8 € par mois sur Hetzner à Nuremberg, exposition Mineure. Si vous pouvez auto-héberger, ALTCHA et mosparo retirent complètement le fournisseur du parcours des données, ce qui vaut mieux que toute promesse d'un service hébergé.

L'utilisation de reCAPTCHA impose-t-elle une bannière de cookies ?

En pratique, oui. reCAPTCHA dépose des cookies et transmet des données de visiteurs à Google : ce n'est donc pas un cookie strictement nécessaire au sens qui dispense du consentement, et les outils de consentement le classent couramment en marketing ou en mesure d'audience. Les CAPTCHA sans cookies évitent le problème par construction : plusieurs fournisseurs listés ici ne déposent aucun cookie et n'écrivent rien de persistant dans le navigateur, si bien que le formulaire peut être protégé sur la base de l'intérêt légitime au titre de l'article 6, paragraphe 1, point f) plutôt qu'en attendant le consentement.

Lesquels de ces fournisseurs publient un DPA ?

Deux seulement : ALTCHA publie un DPA téléchargeable en PDF, et Prosopo en publie un sous forme de page lisible contenant sa liste de sous-traitants. CaptchaFox et TrustCaptcha indiquent qu'un DPA est inclus dans chaque offre mais le délivrent sur demande. L'adresse du DPA de Friendly Captcha est protégée par mot de passe. captcha.eu et Botpoison n'en publient aucun. mosparo n'en a pas besoin, puisqu'il est auto-hébergé et que l'association ne traite jamais vos données.

Quelle différence entre le parcours du widget et le reste de la pile d'un fournisseur ?

Le parcours du widget est la chaîne que traversent réellement l'adresse IP et les signaux de navigateur d'un visiteur lorsqu'un formulaire est protégé. Tout le reste, facturation, ticketing du support, mesure d'audience du site du fournisseur, touche vos données de compte et non vos visiteurs. La distinction importe parce qu'un fournisseur peut être entièrement européen sur le parcours du widget tout en utilisant Stripe ou Google en arrière-boutique. CaptchaFox est le seul ici à séparer les deux publiquement : Hetzner et bunny.net pour le widget, Simple Analytics et Stripe côté service.

Un CAPTCHA pose-t-il un problème d'accessibilité ?

Les CAPTCHA classiques par image ou audio, oui, et depuis juin 2025 l'European Accessibility Act en fait une question de conformité plutôt qu'une politesse pour de nombreux exploitants. Les défis à preuve de travail et invisibles l'évitent en ne demandant jamais rien au visiteur : ALTCHA est conçu pour la conformité WCAG 2.2 AA et EAA, TrustCaptcha et Prosopo documentent l'accessibilité, et Friendly Captcha revendique une conformité WCAG 2.2 AA certifiée par le TÜV, sans toutefois publier de rapport ni de date d'audit.

Puis-je auto-héberger la protection anti-bots au lieu d'acheter un service ?

Oui, et c'est la meilleure posture de la catégorie. mosparo (MIT, association suisse) n'existe qu'en auto-hébergement et analyse le contenu des formulaires sur votre propre serveur, de sorte qu'aucun tiers ne voit jamais un visiteur. ALTCHA (MIT) peut être auto-hébergé sous forme de widget et de serveur de vérification, ou acheté en offre Cloud gérée. Dans les deux cas, vous prenez en charge l'exploitation, les mises à jour et les correctifs de sécurité en échange d'une absence totale de chaîne de sous-traitants.

Les fournisseurs européens de CAPTCHA sont-ils eux-mêmes hébergés en Europe ?

Pas tous, et c'est le constat de la catégorie. CaptchaFox tourne sur Hetzner et bunny.net, TrustCaptcha sur Hetzner à Nuremberg, tous deux entièrement dans l'UE. ALTCHA Cloud tourne sur AWS avec un engagement de résidence exclusivement européenne. captcha.eu, malgré son nom de domaine, est servi depuis Amazon S3 derrière CloudFront, avec une messagerie Microsoft 365 et une mesure publicitaire Google. Prosopo nomme AWS, Cloudflare et Hostwinds aux côtés de Hetzner, Contabo, OVHcloud et bunny.net. Botpoison nomme AWS, Google Analytics, Sentry et Stripe. Regardez la ligne hébergement de chaque fiche plutôt que le drapeau du logo.