Un CAPTCHA peut sembler être un détail technique dans un formulaire en ligne. Pourtant, lorsqu’il demande de reconnaître des images ou de recopier des caractères, il ajoute une étape au parcours usager et peut empêcher certaines personnes de terminer leur démarche. Pour une collectivité, l’enjeu consiste donc à limiter les envois automatisés sans transformer la protection contre les robots en obstacle pour le public. Ce choix se réfléchit à partir du risque réel, des solutions disponibles et de leur accessibilité.
Les CAPTCHA visuels ou sonores reposent sur une tâche que l’utilisateur doit résoudre avant de poursuivre. Elle peut être difficile pour une personne malvoyante, sourde, dyslexique, ayant des difficultés de compréhension ou utilisant un appareil ancien. Les difficultés concernent aussi les personnes pressées, celles qui ne maîtrisent pas bien le français et les usagers sur téléphone, où les petites images et les interactions répétées compliquent la saisie. Un formulaire peut ainsi fonctionner techniquement tout en restant impraticable pour une partie de son public.
Avant d’ajouter ce contrôle, l’équipe doit préciser ce qu’elle cherche à prévenir : une vague de demandes fictives, la collecte automatisée d’informations ou l’envoi répété d’un même formulaire. Les journaux techniques et les signalements des agents peuvent aider à caractériser le problème, à condition de ne recueillir que les données nécessaires et de limiter leur conservation. Il faut aussi distinguer les abus automatisés des erreurs ordinaires ou des usages légitimes depuis un réseau partagé, comme celui d’une bibliothèque. Un contrôle fondé uniquement sur l’adresse IP peut alors gêner plusieurs personnes sans identifier correctement l’origine du problème.
Des mesures moins visibles pour l’usager peuvent réduire certains abus : limiter la fréquence des envois, repérer les répétitions inhabituelles ou contrôler la cohérence des champs côté serveur. Ces protections ne sont pas infaillibles et doivent être adaptées au formulaire concerné. Un champ piège, par exemple, peut être rempli par certains robots, mais sa mise en œuvre doit éviter de perturber les technologies d’assistance et les outils de remplissage automatique. Il convient de tester le comportement complet, notamment sur mobile, plutôt que de considérer une mesure comme efficace sur la seule base de son principe.
Si un CAPTCHA reste nécessaire, son accessibilité doit être vérifiée dans les conditions réelles d’utilisation. Une version audio ne constitue pas à elle seule une alternative suffisante pour les personnes sourdes ou malentendantes, et une consigne visuelle complexe peut rester inaccessible malgré un texte explicatif. Prévoir une autre voie de validation, comme un contact humain ou un traitement différé, permet de ne pas enfermer l’usager dans une épreuve qu’il ne peut pas résoudre. Les tests avec des personnes aux profils variés complètent les vérifications de conformité et révèlent des blocages que l’équipe technique ne repère pas toujours.
Le choix d’un service tiers appelle également un examen des données personnelles et des responsabilités. La collectivité doit comprendre quelles informations sont traitées, par qui, à quelles fins et selon quelles modalités, puis documenter ces éléments dans le cadre de ses obligations de protection des données. L’intégration doit être évaluée avec les équipes informatique, juridique et accessibilité, et expliquée clairement si elle modifie le parcours ou les informations transmises. Cette vérification concerne aussi les mises à jour : un outil qui fonctionne aujourd’hui peut évoluer et nécessiter de nouveaux tests.
Un CAPTCHA ne devrait donc pas être activé par réflexe sur toutes les démarches en ligne. La collectivité gagne à documenter le risque, à essayer des protections proportionnées et à mesurer leurs effets sur les demandes légitimes comme sur les abandons. Si un défi reste indispensable, une solution de recours accessible et connue des agents fait partie du dispositif, au même titre que le contrôle technique. L’objectif est de réduire les abus sans faire porter aux usagers le coût d’une protection mal ajustée.
