Botpoison est un filtre anti-spam invisible pour formulaires web fondé sur la preuve de travail, conçu par l'équipe qui exploite également Formspark. Il n'y a ni énigme ni clic pour le visiteur : le navigateur calcule un défi en arrière-plan et la soumission en transporte le résultat. Le périmètre est volontairement restreint, sans code, et vise les formulaires de contact et d'inscription plutôt que le filtrage de bots au niveau du trafic, avec une offre gratuite couvrant 1 000 vérifications par mois, puis 2 USD pour 5 000 et 7 USD pour 50 000, installations illimitées sur toutes les offres.
Sa place ici tient à une raison sans rapport avec la technique : Botpoison publie ses sous-traitants nommément sur une page publique, ce qui le place devant la plupart de cette catégorie en matière de transparence. En lisant la liste, le tableau de souveraineté est toutefois net. Les sous-traitants nommés sont Amazon Web Services pour l'infrastructure cloud, Formspark pour le support client, Google Analytics pour la mesure d'audience, Sentry pour la journalisation des erreurs et Stripe pour les paiements. Quatre de ces cinq sont constitués aux États-Unis, et AWS comme Sentry se situent dans le parcours opérationnel et non dans la facturation. La politique de confidentialité indique que les produits et propriétés web sont exploités depuis la Belgique et que les informations sont transférées et stockées en Irlande : les données sont donc dans l'UE tandis que l'opérateur d'infrastructure est américain : Significative. L'infrastructure observée concorde, le site étant servi depuis Amazon S3 derrière CloudFront et la messagerie d'entreprise sur Google Workspace.
La lacune la plus importante pour un acheteur européen ne figure pas du tout sur cette liste. Aucune entité juridique n'est publiée sur le site : ni raison sociale, ni numéro d'enregistrement, ni adresse enregistrée dans les conditions, la politique de confidentialité ou des mentions légales, seulement un nom commercial et une ligne de copyright. Pour un service vendu à des entreprises européennes elles-mêmes soumises à des obligations de mentions légales, c'est une omission significative, et c'est pourquoi le pays enregistré ici repose entièrement sur la phrase du fournisseur évoquant une exploitation depuis la Belgique. Il n'existe pas non plus de DPA.